Filtrage FQDN du Pare-feu Azure

Un nom de domaine complet (FQDN) est le nom de domaine complet d’un hôte sur Internet, tel que www.microsoft.com. Dans les stratégies de pare-feu et de firewall Azure, les FQDN peuvent être utilisés pour filtrer le trafic à travers les règles DNAT, réseau et application, en fonction du type et de la direction du trafic inspecté.

Fonctionnement

Le Pare-feu Azure gère le filtrage basé sur le nom de domaine complet en fonction du type de règle :

  • Les règles d’application utilisent des noms de domaine complets pour filtrer le trafic HTTP/S et MSSQL. Ils s'appuient sur un proxy transparent au niveau de l'application et l'en-tête SNI (Indication du Nom de Serveur) pour différencier entre les noms de domaine pleinement qualifiés qui se résolvent vers la même adresse IP. En d’autres termes, les noms de domaine complets sont mis en correspondance et filtrés par rapport au domaine d’origine demandé par le client, et non en fonction de l’adresse IP résolue.
  • Les règles réseau et DNAT filtrent le trafic en fonction des adresses IP résolues des noms de domaine complets, à l’aide d’Azure DNS ou d’un serveur DNS personnalisé. Le Pare-feu Azure gère et met à jour dynamiquement la liste des adresses IP associées pour les noms de domaine complets, ce qui garantit que le trafic est routé correctement même si les adresses IP sous-jacentes changent.

Lorsque la résolution DNS est utilisée, pare-feu Azure :

  • Résout le nom de domaine complet en son adresse IP correspondante.
  • Utilise l’adresse IP résolue pour appliquer le type de règle approprié (DNAT ou réseau)
  • Actualise les FQDN-to-IP mappings toutes les 15 secondes.
  • Supprime les adresses IP qui ne sont plus résolues ou utilisées après 15 minutes.

Remarque

Ce comportement de rafraîchissement s’applique aux mappages FQDN-to-IP que Pare-feu Azure maintient pour le traitement des règles. C'est distinct du cache proxy DNS Pare-feu Azure, qui stocke les réponses DNS selon leur TTL et ne pré-charge pas les enregistrements avant l'expiration du TTL. Pour le comportement de mise en cache du proxy DNS, voir les paramètres DNS d’Pare-feu Azure et les détails du proxy DNS d’Pare-feu Azure.

Différences entre le filtrage par FQDN dans les règles DNAT, les règles réseau et les règles d'application

Règles DNAT

Les règles DNAT (Traduction d’adresses réseau de destination) sont utilisées pour router le trafic entrant vers les serveurs principaux. Ces règles vous permettent de spécifier une adresse IP ou un nom de domaine complet comme cible pour la traduction. L’utilisation de noms de domaine complets dans les règles DNAT vous permet de spécifier un nom de domaine complet pour le serveur principal, ce qui est particulièrement utile dans les environnements dynamiques où l’adresse IP du serveur principal peut changer fréquemment.

Principales caractéristiques :

  • Activez le routage du trafic entrant vers les serveurs principaux.
  • Assurez le support pour le ciblage basé sur un nom de domaine complet (FQDN) pour les environnements dynamiques.
  • Utile pour les scénarios nécessitant des configurations de serveur principal flexibles.

Règles réseau

Les règles réseau sont utilisées pour filtrer le trafic en fonction de n’importe quel protocole TCP ou UDP, tel que NTP (Network Time Protocol), Secure Shell (SSH) et RDP (Bureau à distance Protocol). Contrairement aux règles d’application, les règles réseau ne dépendent pas d’un proxy au niveau de l’application ou de l’en-tête SNI.

Remarque

Les règles réseau avec filtrage FQDN ne prennent pas en charge l’utilisation de caractères génériques. Cette limitation est intentionnelle par conception.

Principales caractéristiques :

  • Applicable à tous les protocoles TCP et UDP.
  • Idéal pour le trafic non HTTP/S ou MSSQL.
  • Fonctionnez au niveau de la couche réseau sans inspection spécifique au protocole.

Règles d’application

Les règles d’application sont conçues pour filtrer le trafic HTTP/S et MSSQL. Ils s'appuient sur un proxy transparent au niveau de l'application et l'en-tête SNI (Indication du Nom de Serveur) pour différencier entre les noms de domaine pleinement qualifiés qui se résolvent vers la même adresse IP. Ces règles sont idéales pour les scénarios où vous devez contrôler l’accès aux services web ou aux bases de données.

Principales caractéristiques :

  • Adapté aux protocoles HTTP/S et MSSQL.
  • Utilisez des balises FQDN pour les services Azure tels que Sauvegarde Azure et HDInsight.
  • Fournir une précision plus précise pour les protocoles pris en charge.

En comprenant les différences entre ces types de règles, vous pouvez configurer efficacement le Pare-feu Azure pour répondre aux besoins de sécurité et de gestion du trafic de votre organisation.

Étapes suivantes

  • Dernière mise à jour :