Accès Internet sortant : contrôler la sortie de Azure

Cet article explique comment contrôler l’accès Internet sortant à partir de Azure réseaux virtuels. Il compare la passerelle NAT, les Pare-feu Azure et les modèles de sortie combinés pour vous aider à choisir une méthode prévisible et sécurisée pour vos charges de travail.

Présentation de cet article

Le contrôle de sortie sortant détermine la façon dont vos charges de travail Azure atteignent l’Internet public. Une stratégie de sortie bien conçue fournit des adresses IP publiques prévisibles, empêche l’épuisement des ports SNAT et filtre éventuellement les connexions sortantes par destination.

Qui a besoin de cet article

Lisez cet article si une ou plusieurs de ces conditions s’appliquent :

• Vos charges de travail ont besoin d’un accès sortant contrôlé à Internet pour les mises à jour, les API ou les services externes.
• Vous avez besoin d’adresses IP publiques prévisibles pour les connexions sortantes.
• Vous devez éviter l’épuisement des ports SNAT ou augmenter la capacité de la connectivité sortante pour les charges de travail avec un grand nombre de connexions.
• Vous devez choisir entre la passerelle NAT, Pare-feu Azure ou un modèle combiné pour le contrôle de sortie et l’inspection.

Azure services et fonctionnalités

Le tableau suivant décrit les services et fonctionnalités disponibles pour l’accès Internet sortant dans Azure réseaux virtuels.

Comment choisir

Comment contrôler l’accès sortant

Utilisez le tableau suivant pour sélectionner une méthode de sortie en fonction de vos besoins.

NAT Gateway par rapport à Pare-feu Azure pour le trafic sortant

Utilisez la comparaison suivante pour comprendre les compromis entre la passerelle NAT et Pare-feu Azure lorsqu’elles sont utilisées indépendamment.

Priorité de routage pour le trafic sortant

Azure évalue les méthodes sortantes dans l’ordre de priorité suivant. Les méthodes de priorité supérieure remplacent les méthodes de priorité inférieure sur le même sous-réseau :

1. UDR vers une appliance virtuelle ou une passerelle de réseau virtuel : remplace toutes les autres méthodes sortantes, y compris la passerelle NAT.
2. Passerelle NAT : prévaut sur les adresses IP publiques associées à l’instance et les règles de sortie de l’équilibreur de charge.
3. Adresse IP publique au niveau de l’instance sur la machine virtuelle.
4. Règles de sortie de l’équilibreur de charge.
5. Itinéraire système par défaut vers Internet (Microsoft mis hors service cette option pour les nouveaux déploiements).

Architecture combinée : passerelle NAT + Pare-feu Azure

Le modèle de production recommandé pour la sortie d’entreprise combine les deux services :

1. Les sous-réseaux de charge de travail ont un UDR qui envoie le trafic 0.0.0.0/0 au Pare-feu Azure adresse IP privée.
2. Pare-feu Azure inspecte et filtre le trafic sortant à l’aide de règles réseau, de règles d’application ou des deux.
3. La passerelle NAT s’associe à AzureFirewallSubnet et fournit une SNAT évolutive pour les connexions sortantes du pare-feu.
4. Il n’y a pas de double NAT. Le pare-feu envoie le trafic à la passerelle NAT à l’aide de son adresse IP privée et la passerelle NAT applique SNAT une fois à l’aide de ses adresses IP publiques.

Cette architecture vous offre une inspection centralisée avec SNAT scalable. AzureFirewallSubnet n’a pas besoin d’UDR supplémentaires, car la passerelle NAT achemine automatiquement le trafic Internet sortant lorsqu’elle est associée.

Procédure pas à pas du flux de données

La séquence suivante montre comment une requête sortante unique transite par l’architecture combinée :

1. Une machine virtuelle dans un sous-réseau de charge de travail démarre une connexion TCP à une API externe (par exemple). api.contoso.com:443
2. L'UDR du sous-réseau correspond à 0.0.0.0/0 et envoie le paquet à l'adresse IP privée Pare-feu Azure.
3. Pare-feu Azure évalue la connexion par rapport aux règles d’application et aux règles réseau. Si une règle d'application avec une entrée d'autorisation FQDN correspond, le pare-feu autorise la connexion.
4. Le pare-feu envoie le paquet autorisé à partir de sa propre interface sur AzureFirewallSubnet.
5. La passerelle NAT, associée à AzureFirewallSubnet, exécute SNAT. Il traduit l’adresse IP source privée du pare-feu en une de ses adresses IP publiques et alloue un port SNAT à partir du pool.
6. La réponse de l’API externe retourne à l’adresse IP publique de la passerelle NAT. La passerelle NAT effectue une traduction inverse et remet le paquet au pare-feu.
7. Le pare-feu envoie la réponse à la machine virtuelle d’origine via l’état de connexion existant.

Dans ce flux de bout en bout, le pare-feu inspecte exactement le trafic une seule fois et la passerelle NAT applique la SNAT exactement une seule fois, sans double NAT.

Surveillance et diagnostics

Surveillez votre infrastructure de sortie pour détecter les problèmes de capacité avant d’affecter les charges de travail :

• Métriques de passerelle NAT : Surveillez le nombre total de connexions SNAT, le nombre de connexions SNAT (par état) et la disponibilité du chemin de données dans Azure Monitor. Définissez des alertes lorsque l’utilisation du port SNAT dépasse 80% de capacité allouée.
• Journaux d’Pare-feu Azure : Activez les paramètres de diagnostic pour envoyer les journaux à Log Analytics. Utilisez les catégories de journaux AzureFirewallApplicationRule et AzureFirewallNetworkRule pour auditer les connexions sortantes autorisées et refusées.
• Moniteur de connexion : utilisez Network Watcher Moniteur de connexion pour tester la connectivité de bout en bout des machines virtuelles de charge de travail vers des points de terminaison externes. Moniteur de connexion détecte les augmentations de latence et les défaillances de connectivité susceptibles d’indiquer l’épuisement SNAT ou la configuration incorrecte du pare-feu.
• Métriques de pare-feu : Suivez le débit, le nombre d’accès aux règles et l’utilisation du port SNAT pour dimensionner correctement votre référence SKU de pare-feu et identifier les règles chaudes.

Considérations relatives à la conception

Prerequisites

Avant d’implémenter des contrôles de sortie sortants, confirmez les éléments suivants :

• Un réseau virtuel est déployé avec des sous-réseaux dimensionnés pour vos charges de travail. Consultez les réseaux virtuels et les sous-réseaux pour obtenir des conseils de conception de sous-réseau.
• Vous comprenez les itinéraires définis par l’utilisateur et la façon dont ils remplacent le routage par défaut Azure. Pour plus d’informations sur la configuration de l’UDR, consultez les réseaux virtuels et les sous-réseaux .
• Votre sous-réseau de pare-feu est correctement dimensionné si vous utilisez Pare-feu Azure. AzureFirewallSubnet nécessite un minimum de /26 (64 adresses).
• Vous connaissez vos exigences de mise à l’échelle SNAT. Calculez les pics de connexions sortantes simultanées pour déterminer le nombre d’adresses IP publiques de la passerelle NAT dont vous avez besoin (64 512 ports par adresse IP).

Considérations relatives à la sécurité

Remplacer l’accès sortant par défaut

L’accès sortant par défaut est supprimé. Pour les versions d’API publiées après le 31 mars 2026, les nouveaux réseaux virtuels par défaut sont des sous-réseaux privés (pas de trafic sortant automatique). Les réseaux virtuels existants ne sont pas affectés, mais vous devez migrer vers une méthode sortante explicite. Pour plus d’informations, consultez la documentation d’accès sortant par défaut.

Routage UDR pour l’inspection centralisée du pare-feu

Lorsque vous utilisez Pare-feu Azure pour le contrôle de sortie, créez un UDR sur chaque sous-réseau de charge de travail avec :

• Destination : 0.0.0.0/0
• Type du saut suivant : Appliance virtuelle
• Adresse du saut suivant : l’adresse IP privée d’Pare-feu Azure (par exemple, 10.0.1.4)

Cette configuration garantit que tout le trafic lié à Internet à partir de sous-réseaux de charge de travail passe par le pare-feu pour inspection. Sans cette UDR, le trafic contourne le pare-feu et utilise la méthode sortante configurée directement sur le sous-réseau.

Empêcher l’épuisement des ports SNAT

L’épuisement des ports SNAT se produit lorsqu’une charge de travail ouvre plus de connexions sortantes simultanées que l’inventaire des ports disponible prend en charge. Les symptômes incluent des délais d'expiration de connexion intermittents, des paquets TCP RST sur les connexions sortantes et des requêtes HTTP échouées avec des erreurs de socket. Les journaux d’application affichent les erreurs « adresse déjà en cours d’utilisation » ou « impossible d’affecter l’adresse demandée ». L’épuisement se manifeste généralement sous charge lorsque de nombreuses connexions de courte durée s’ouvrent rapidement vers la même adresse IP et le même port de destination.

Pour éviter l’épuisement :

• Utilisez la passerelle NAT pour les charges de travail avec un nombre élevé de connexions sortantes. Chaque adresse IP publique fournit 64 512 ports SNAT avec une allocation dynamique sur toutes les ressources du sous-réseau.
• Ajoutez des adresses IP publiques à votre passerelle NAT si la surveillance affiche l’utilisation du port supérieure à 80%. Ajoutez jusqu’à 16 adresses IP publiques.
• Utilisez le regroupement de connexions dans le code d’application pour réutiliser les connexions existantes au lieu d’en ouvrir de nouvelles pour chaque requête.
• Diversifier les points de terminaison de destination lorsque cela est possible. L’allocation de port SNAT est par adresse IP/tuple de port de destination, de sorte que la distribution du trafic entre plusieurs adresses IP de destination réduit la pression des ports.
• Réduisez les délais d’inactivité pour récupérer les ports plus rapidement. Le délai d’inactivité par défaut de la passerelle NAT est de 4 minutes. Réduisez cette valeur pour les charges de travail qui créent de nombreuses connexions de courte durée.

Les groupes de sécurité réseau complètent le contrôle de sortie

Les groupes de sécurité réseau (NSG) et les méthodes de sortie sortantes servent différents objectifs et fonctionnent ensemble. Les groupes de sécurité réseau filtrent le trafic par adresse IP et par port au niveau du sous-réseau ou de la carte réseau. La passerelle NAT et Pare-feu Azure contrôlent la manière dont le trafic accède à Internet. Utilisez les deux couches pour la défense en profondeur. Consultez les groupes de sécurité réseau et les groupes de sécurité des applications pour obtenir des conseils de conception de groupe de sécurité réseau.

Considérations relatives au tunneling forcé

Le tunneling forcé du trafic de sortie via les réseaux locaux peut introduire de la latence et ajoute une dépendance au pare-feu local. Envisagez Pare-feu Azure pour l’inspection de sortie si une faible latence est importante. Si la conformité impose une inspection locale, testez la latence de bout en bout à partir de sous-réseaux de charge de travail et assurez-vous que le chemin local peut gérer les exigences de débit sans devenir un goulot d’étranglement.

Empêcher l’exfiltration de données

Le filtrage FQDN d’Pare-feu Azure empêche l’exfiltration de données en limitant les connexions sortantes aux seuls noms de domaine approuvés. Définissez des règles d’application qui autorisent le trafic vers des noms de domaine complets spécifiques (par exemple, *.blob.core.windows.net ou api.partner.com) et refusez toutes les autres connexions sortantes. Cette approche garantit que les charges de travail compromises ne peuvent pas envoyer de données à des points de terminaison contrôlés par l’attaquant.

Articles connexes

• Réseaux virtuels et sous-réseaux : conception de sous-réseau et routage UDR
• Planification des adresses IP : allocation d’adresses IP publiques pour la passerelle NAT
• Positionnement et règles d’Pare-feu Azure : guide détaillé sur le pare-feu couvrant les priorités des collections de règles et les modèles d’architecture
• Groupes de sécurité réseau et groupes de sécurité d’application : filtrage du trafic qui complète le contrôle de sortie
• Connectivité hybride : le tunnel forcé achemine le trafic sortant vers l’infrastructure locale si nécessaire
• Connectivité Internet entrante : l'équivalent entrant du trafic de sortie

Learn more

• Documentation sur Azure NAT Gateway
• Documentation du Pare-feu Azure
• Accès sortant par défaut pour les machines virtuelles dans Azure
• Mettre à l’échelle les ports SNAT avec Azure NAT Gateway (intégration du pare-feu)
• Fonctionnalités du Pare-feu Azure Premium

Étapes suivantes