Tutoriel : Déployer et configurer des Pare-feu Azure et une stratégie dans un réseau hybride à l’aide du portail Azure

Lorsque vous connectez votre réseau local à un réseau virtuel Azure pour créer un réseau hybride, vous devez contrôler l’accès à vos ressources réseau Azure dans le cadre de votre plan de sécurité global.

Pare-feu Azure et la stratégie de pare-feu contrôlent l’accès réseau dans un réseau hybride à l’aide de règles qui définissent le trafic réseau autorisé et refusé.

Pour ce tutoriel, vous créez trois réseaux virtuels :

• VNet-Hub : le pare-feu se trouve dans ce réseau virtuel.
• VNet-Spoke : le réseau virtuel spoke représente la charge de travail située sur Azure.
• VNet-Onprem : le réseau virtuel local représente un réseau local. Dans un déploiement réel, vous pouvez le connecter à l’aide d’une connexion VPN ou ExpressRoute. Par souci de simplicité, ce tutoriel utilise une connexion de passerelle VPN et un réseau virtuel Azure situé représente un réseau local.

Dans ce tutoriel, vous allez apprendre à :

Pour utiliser Azure PowerShell à la place, consultez Déployer et configurer Pare-feu Azure dans un réseau hybride à l’aide de Azure PowerShell.

Prérequis

Un réseau hybride utilise le modèle d’architecture Hub and Spoke pour router le trafic entre des réseaux virtuels Azure et des réseaux locaux. L’architecture Hub and Spoke présente les conditions suivantes :

• Pour router le trafic de sous-réseau spoke via le pare-feu hub, utilisez un itinéraire défini par l’utilisateur (UDR) qui pointe vers le pare-feu avec l’option de propagation de la passerelle de réseau virtuel désactivée. L’option désactivée Propagation de la route de la passerelle de réseau virtuel empêche la distribution des routes vers les sous-réseaux spoke. Cette option empêche les itinéraires appris d’entrer en conflit avec votre UDR. Si vous souhaitez que la propagation de l’itinéraire de passerelle de réseau virtuel soit activée, veillez à définir des itinéraires spécifiques au pare-feu pour remplacer ces itinéraires publiés à partir d’un emplacement local via BGP.
• Vous devez configurer une UDR sur le sous-réseau de passerelle hub qui pointe vers l’adresse IP du pare-feu comme prochain tronçon vers les réseaux spoke. Aucun UDR n’est requis sur le sous-réseau du Pare-feu Azure, puisqu’il apprend les itinéraires à partir de BGP.

Pour savoir comment ces itinéraires sont créés, consultez Créer les itinéraires dans ce didacticiel.

Si vous n’avez pas d’abonnement Azure, créez un compte gratuit avant de commencer.

Créer le réseau virtuel du hub de pare-feu

Tout d’abord, créez le groupe de ressources qui doit contenir les ressources de ce tutoriel :

1. Connectez-vous au portail Azure.
2. Dans la page d’accueil du portail Azure, sélectionnez Groupes de ressources>Créer.
3. Pour Abonnement, sélectionnez votre abonnement.
4. Pour le nom du groupe de ressources, entrez FW-Hybrid-Test.
5. Pour Région, sélectionnez (États-Unis) USA Est. Toutes les ressources que vous créez par la suite doivent se trouver dans le même emplacement.
6. Sélectionnez Réviser + Créer, puis sélectionnez Créer.

Ensuite, créez le réseau virtuel :

1. Dans la page d’accueil du portail Azure, sélectionnez Créer une ressource.
2. Sous Mise en réseau, sélectionnez Réseau virtuel, puis sélectionnez Créer.
3. Pour Groupe de ressources, sélectionnez FW-Hybrid-Test.
4. Pour Nom, entrez VNet-Hub.
5. Sous l’onglet Sécurité, sélectionnez Suivant.
6. Pour l’espace d’adressage IPv4, entrez 10.5.0.0/16.
7. Dans Sous-réseaux, sélectionnez par défaut.
8. Pour Objectif du sous-réseau, sélectionnez Pare-feu Azure.
9. Pour l’adresse de départ, entrez 10.5.0.0/26.
10. Sélectionnez Enregistrer, Vérifier + créer, puis Créer.

Créez un deuxième sous-réseau pour la passerelle.

1. Sur la page VNet-hub, sélectionnez Sous-réseaux.
2. Sélectionnez +Sous-réseau.
3. Pour Objectif du sous-réseau, sélectionnez Passerelle de réseau virtuel.
4. Pour l’adresse de départ, entrez 10.5.2.0/26.
5. Sélectionnez Ajouter.

Créer le réseau virtuel spoke

1. Dans la page d’accueil du portail Azure, sélectionnez Créer une ressource.
2. Dans Mise en réseau, sélectionnez Réseau virtuel, puis sélectionnez Créer.
3. Pour Groupe de ressources, sélectionnez FW-Hybrid-Test.
4. Pour Nom, entrez VNet-Spoke.
5. Pour Région, sélectionnez (États-Unis) USA Est.
6. Cliquez sur Suivant. Sous l’onglet Sécurité, sélectionnez Suivant.
7. Pour l’espace d’adressage IPv4, entrez 10.6.0.0/16.
8. Dans Sous-réseaux, sélectionnez par défaut.
9. Pour Nom, entrez SN-Workload.
10. Pour l’adresse de départ, entrez 10.6.0.0/24.
11. Sélectionnez Enregistrer, Vérifier + créer, puis Créer.

Créer le réseau virtuel local

1. Dans la page d’accueil du portail Azure, sélectionnez Créer une ressource.
2. Dans Mise en réseau, sélectionnez Réseau virtuel, puis sélectionnez Créer.
3. Pour Groupe de ressources, sélectionnez FW-Hybrid-Test.
4. Pour Nom, entrez VNet-OnPrem.
5. Pour Région, sélectionnez (États-Unis) USA Est.
6. Cliquez sur Suivant. Sous l’onglet Sécurité, sélectionnez Suivant.
7. Pour l’espace d’adressage IPv4, entrez 192.168.0.0/16.
8. Dans Sous-réseaux, sélectionnez par défaut.
9. Pour Nom, entrez SN-Corp.
10. Pour l’adresse de départ, entrez 192.168.1.0/24.
11. Sélectionnez Enregistrer, Vérifier + créer, puis Créer.

Créez un deuxième sous-réseau pour la passerelle.

1. Dans la page VNet-OnPrem , sélectionnez Sous-réseaux.
2. Sélectionnez +Sous-réseau.
3. Pour Objectif du sous-réseau, sélectionnez Passerelle de réseau virtuel.
4. Pour l’adresse de départ, entrez 192.168.2.0/24.
5. Sélectionnez Ajouter.

Configurer et déployer le pare-feu

Déployez le pare-feu dans le réseau virtuel du hub de pare-feu.

1. Dans la page d’accueil du portail Azure, sélectionnez Créer une ressource.

2. Recherchez Pare-feu, sélectionnez-le dans les résultats, puis sélectionnez Créer.

3. Dans Créer un pare-feu, utilisez le tableau suivant pour configurer le pare-feu :

   Paramètre	Valeur
   Abonnement	<votre abonnement>
   groupe de ressources	FW-Hybrid-Test
   Nom	AzFW01
   Région	USA Est
   Niveau de pare-feu	Standard
   Gestion de pare-feu	Utiliser une stratégie de pare-feu pour gérer ce pare-feu
   Stratégie de pare-feu	Ajouter nouveau : hybrid-test-pol USA Est
   Choisir un réseau virtuel	Utiliser l’existant : VNet-hub
   Adresse IP publique	Ajouter nouveau : fw-pip

4. Sélectionnez Suivant : Balises, Suivant : Vérifier + créer, puis Créer.

   Le déploiement prend quelques minutes.

5. Une fois le déploiement terminé, accédez au groupe de ressources FW-Hybrid-Test , puis sélectionnez le pare-feu AzFW01 .

6. Notez l’adresse IP privée. Vous l’utiliserez plus tard lors de la création de l’itinéraire par défaut.

Configurer des règles de réseau

Tout d’abord, ajoutez une règle de réseau pour autoriser le trafic web.

1. Dans le groupe de ressources FW-Hybrid-Test, sélectionnez la stratégie de pare-feu hybrid-test-pol.
2. Sous Paramètres, sélectionnez Règles du réseau.
3. Sélectionnez Ajouter une collection de règles.
4. Pour Nom, entrez RCNet01.
5. Pour Priorité, entrez 100.
6. Pour Action de collection de règles, sélectionnez Autoriser.
7. Sous Règles, pour Nom, entrez AllowWeb.
8. Pour Type de source, sélectionnez Adresse IP.
9. Pour Source, entrez 192.168.1.0/24.
10. Pour Protocole, sélectionnez TCP.
11. Pour Ports de destination, entrez 80.
12. Pour Type de destination, sélectionnez Adresse IP.
13. Pour Destination, entrez 10.6.0.0/16.
14. Sélectionnez Ajouter.

Créer et connecter les passerelles VPN

Le hub et les réseaux virtuels locaux se connectent via des passerelles VPN.

Créer les passerelles VPN

Créez une passerelle VPN pour le hub et les réseaux virtuels locaux. Les configurations de réseau virtuel à réseau virtuel nécessitent un VPN de type RouteBased. La création d’une passerelle VPN nécessite généralement au moins 45 minutes, selon la référence SKU de passerelle VPN sélectionnée.

Répétez les étapes suivantes pour chaque passerelle à l’aide des valeurs de la table.

1. Dans la page d’accueil du portail Azure, sélectionnez Créer une ressource.
2. Dans la zone de recherche, tapez la passerelle de réseau virtuel et appuyez sur Entrée.
3. Sélectionnez Passerelle de réseau virtuel, puis sélectionnez Créer.
4. Entrez le Nom du tableau.
5. Pour Région, sélectionnez la même région que celle utilisée précédemment.
6. Pour Type de passerelle, sélectionnez VPN.
7. Pour SKU, sélectionnez VpnGw1.
8. Sélectionnez le réseau virtuel dans la table.
9. Pour l’adresse IP publique, sélectionnez Créer, puis entrez le nom de la table.
10. Pour la deuxième adresse IP publique, sélectionnez Créer, puis entrez le nom de la table.
11. Acceptez les valeurs par défaut restantes, sélectionnez Vérifier + créer, puis sélectionnez Créer.

Créer les connexions VPN

Créez les connexions VPN entre les passerelles hub et locale. Vous avez besoin d’une connexion à partir de chaque direction, et la clé partagée doit correspondre aux deux.

Répétez les étapes suivantes pour chaque connexion à l’aide des valeurs de la table.

1. Ouvrez le groupe de ressources FW-Hybrid-Test et sélectionnez la passerelle dans la table.
2. Sous Paramètres, sélectionnez Connexions dans la colonne de gauche.
3. Sélectionnez Ajouter.
4. Entrez le nom de connexion dans le tableau.
5. Pour Type de connexion, sélectionnez Réseau virtuel à réseau virtuel.
6. Sélectionnez Suivant : Paramètres.
7. Sélectionnez la première passerelle de réseau virtuel et la deuxième passerelle de réseau virtuel dans la table.
8. Pour Clé partagée (PSK), entrez AzureA1b2C3.
9. Sélectionnez Vérifier + créer, puis sélectionnez Créer.

Vérifier la connexion

Après environ cinq minutes, l’état des deux connexions doit être Connecté.

Appairer les réseaux virtuels hub et spoke

Appairez les réseaux virtuels hub et spoke.

1. Ouvrez le groupe de ressources FW-Hybrid-Test et sélectionnez le réseau virtuel VNet-hub.

2. Dans la colonne de gauche, sélectionnez Peerings.

3. Sélectionnez Ajouter.

4. Sous Résumé du réseau virtuel distant :

   Nom du paramètre	Valeur
   Nom du lien de peering	SpoketoHub
   Abonnement	<votre abonnement>
   Réseau virtuel	VNet-Spoke
   Autoriser « VNet-Spoke » à accéder à « VNet-hub »	sélectionné
   Autoriser « VNet-spoke » à recevoir le trafic transféré de « VNet-Hub »	sélectionné
   Autoriser la passerelle ou le serveur de routes dans « VNet-Spoke » à transférer le trafic vers « VNet-Hub »	non sélectionné(s)
   Activer « VNet-Spoke » pour utiliser la passerelle distante ou le serveur de routage « VNet-hub »	sélectionné

5. Sous Résumé du réseau virtuel local :

   Nom du paramètre	Valeur
   Nom du lien de peering	HubtoSpoke
   Autoriser « VNet-hub » à accéder à « VNet-Spoke »	sélectionné
   Autoriser « VNet-hub » à recevoir le trafic transféré de « VNet-Spoke »	sélectionné
   Autoriser la passerelle ou le serveur de routes dans « VNet-Hub » à transférer le trafic vers « VNet-Spoke »	sélectionné
   Activer « VNet-hub » pour utiliser la passerelle distante ou le serveur de routage « VNet-Spoke »	non sélectionné(s)

6. Sélectionnez Ajouter.

   

Créer les itinéraires

Ensuite, créez deux tables de routage :

• Un itinéraire à partir du sous-réseau de passerelle hub vers le sous-réseau spoke via l’adresse IP du pare-feu
• Un itinéraire par défaut à partir du sous-réseau spoke via l’adresse IP du pare-feu

Répétez les étapes suivantes pour chaque table de routage à l’aide des valeurs de la table.

1. Dans la page d’accueil du portail Azure, sélectionnez Créer une ressource.
2. Dans la zone de recherche, tapez la table de routage et appuyez sur Entrée.
3. Sélectionnez Table de route, puis Créer.
4. Sélectionnez FW-Hybrid-Test pour le groupe de ressources.
5. Pour Région, sélectionnez le même emplacement que celui utilisé précédemment.
6. Saisissez le nom de la table de routage Name dans le tableau. Le cas échéant, définissez l’itinéraire de propagation de la passerelle sur Non.
7. Sélectionnez Réviser + Créer, puis sélectionnez Créer.
8. Une fois la table de routage créée, sélectionnez-la pour ouvrir la page correspondante.
9. Sous Paramètres, sélectionnez Itinéraires dans la colonne de gauche.
10. Sélectionnez Ajouter.
11. Entrez le nom de l’itinéraire à partir de la table.
12. Pour le type de destination, sélectionnez Adresses IP
13. Entrez les plages d’adresses IP de destination/CIDR de la table.
14. Pour le type de saut suivant, sélectionnez Appliance virtuelle.
15. Pour l’adresse de tronçon suivant, tapez l’adresse IP privée du pare-feu que vous avez notée précédemment.
16. Sélectionnez Ajouter.

Associez chaque table de routage à son sous-réseau.

1. Dans la page de la table de routage, sélectionnez Sous-réseaux.
2. Sélectionnez Associer.
3. Sélectionnez le réseau virtuel et le sous-réseau dans la table.
4. Sélectionnez OK.

Créer des machines virtuelles

Créez les machines virtuelles de charge de travail spoke et locale, et placez-les dans les sous-réseaux appropriés.

Créer la machine virtuelle de charge de travail

Créez une machine virtuelle dans le réseau virtuel spoke, exécutant NGINX, sans adresse IP publique.

1. Dans la page d’accueil du portail Azure, sélectionnez Créer une ressource.
2. Sous Produits populaires de la Place de marché, sélectionnez Ubuntu Server 24.04 LTS.
3. Entrez ces valeurs pour la machine virtuelle :
   • Groupe de ressources : sélectionnez FW-Hybrid-Test
   • Nom de la machine virtuelle : VM-Spoke-01
   • Région - Même région que celle que vous avez utilisée précédemment
   • Image - Ubuntu Server 24.04 LTS - x64 Gen2
   • Taille - Standard_B2s
   • Type d’authentification - Clé publique SSH
   • Nom d’utilisateur : azureuser
   • Source de clé publique SSH - Générer une nouvelle paire de clés
   • Nom - VM-Spoke-01_key
4. Pour Ports d’entrée publics, sélectionnez Aucun.
5. Sélectionnez Suivant : Disques, acceptez les valeurs par défaut, puis sélectionnez Suivant : Mise en réseau.
6. Sélectionnez VNet-Spoke pour le réseau virtuel et SN-Workload pour le sous-réseau.
7. Pour Adresse IP publique, sélectionnez Aucune.
8. Sélectionnez Suivant : Gestion, puis Suivant : Surveillance.
9. Pour Diagnostics de démarrage, sélectionnez Désactiver.
10. Sélectionnez Vérifier + Créer, vérifiez les paramètres de la page récapitulative, puis sélectionnez Créer.
11. Dans la boîte de dialogue Générer une nouvelle paire de clés , sélectionnez Télécharger la clé privée et créer une ressource. Enregistrez le fichier de clé en tant que VM-Spoke-01_key.pem.

Installer Nginx

Après avoir créé la machine virtuelle, installez le serveur web Nginx.

1. À partir du portail Azure, ouvrez Cloud Shell et assurez-vous qu’il est défini sur Bash.

2. Exécutez la commande suivante pour installer Nginx sur la machine virtuelle :

   az vm run-command invoke \
      --resource-group FW-Hybrid-Test \
      --name VM-Spoke-01 \
      --command-id RunShellScript \
      --scripts "sudo apt-get update && sudo apt-get install -y nginx && echo '<h1>'$(hostname)'</h1>' | sudo tee /var/www/html/index.html"
   

Créer la machine virtuelle locale

Utilisez cette machine virtuelle pour vous connecter à l’aide de Azure Bastion. À partir de là, vous vous connectez au serveur spoke via le pare-feu.

1. Dans la page d’accueil du portail Azure, sélectionnez Créer une ressource.
2. Sous Produits populaires de la Place de marché, sélectionnez Ubuntu Server 24.04 LTS.
3. Entrez ces valeurs pour la machine virtuelle :
   • Groupe de ressources - Sélectionnez Existant, puis FW-Hybrid-Test.
   • Nom de la machine virtuelle - VM-Onprem.
   • Région : région que vous avez utilisée précédemment.
   • Image - Ubuntu Server 24.04 LTS - x64 Gen2
   • Taille - Standard_B2s
   • Type d’authentification - Clé publique SSH
   • Nom d’utilisateur : azureuser
   • Source de clé publique SSH - Générer une nouvelle paire de clés
   • Nom - Vm-Onprem_key
4. Pour Ports d’entrée publics, sélectionnez Aucun.
5. Sélectionnez Suivant : Disques, acceptez les valeurs par défaut, puis sélectionnez Suivant : Mise en réseau.
6. Sélectionnez VNet-Onprem pour le réseau virtuel et SN-Corp pour le sous-réseau.
7. Sélectionnez Suivant : Gestion, puis Suivant : Surveillance.
8. Pour Diagnostics de démarrage, sélectionnez Désactiver.
9. Sélectionnez Vérifier + Créer, vérifiez les paramètres de la page récapitulative, puis sélectionnez Créer.
10. Dans la boîte de dialogue Générer une nouvelle paire de clés , sélectionnez Télécharger la clé privée et créer une ressource. Enregistrez le fichier de clé en tant que vm-Onprem_key.pem.

Déployer Azure Bastion

Déployez Azure Bastion pour fournir un accès sécurisé à la machine virtuelle.

1. Dans le menu du portail Azure, sélectionnez Créer une ressource.

2. Dans la zone de recherche, tapez Bastion et sélectionnez-le dans les résultats.

3. Sélectionnez Create (Créer).

4. Lors de la création d’un bastion, configurez les paramètres suivants :

   Paramètre	Valeur
   Abonnement	Sélectionnez votre abonnement
   groupe de ressources	FW-Hybrid-Test
   Nom	Hub-Bastion
   Région	Identique à vos autres ressources
   Niveau	Développeur
   Réseau virtuel	VNet-hub

5. Sélectionnez Vérifier + créer. Une fois la validation réussie, sélectionnez Créer.

Tester le pare-feu

1. Tout d’abord, notez l’adresse IP privée de la machine virtuelle VM-spoke-01.

2. À partir du portail Azure, accédez à la machine virtuelle vm-Onprem.

3. Sélectionnez Se connecter>via Bastion.

4. Sélectionnez Utiliser une clé privée SSH à partir du fichier local.

5. Pour nom d’utilisateur, entrez azureuser.

6. Accédez au fichier vm-Onprem_key.pem que vous avez téléchargé précédemment.

7. Sélectionnez Se connecter.

8. À partir de la session SSH sur VM-Onprem, testez le serveur web sur le réseau virtuel spoke :

   curl http://<VM-spoke-01 private IP>
   

   Le serveur web retourne une réponse.

Modifiez ensuite l’action de collecte des règles du réseau de pare-feu en Refuser pour vérifier que les règles de pare-feu fonctionnent comme prévu.

1. Sélectionnez la stratégie de pare-feu hybrid-test-pol.
2. Sélectionnez Collection de règles.
3. Sélectionnez la collection de règles RCNet01.
4. Comme Action de collection de règles, sélectionnez Refuser.
5. Cliquez sur Enregistrer.

Réexécutez le test. Cette fois, le test échoue.

Nettoyer les ressources

Conservez vos ressources de pare-feu pour le tutoriel suivant, ou si vous n’en avez plus besoin, supprimez le groupe de ressources FW-Hybrid-Test pour supprimer toutes les ressources liées au pare-feu.

Étapes suivantes