Plages d’adresses IP privées de SNAT du Pare-feu Azure

Utilisez Azure PowerShell pour spécifier des plages d’adresses IP privées pour le pare-feu.

Nouveau pare-feu

Pour un nouveau pare-feu utilisant des règles classiques, créez-le en utilisant New-AzFirewall :

$azFw = @{
   Name               = '<fw-name>'
   ResourceGroupName  = '<resourcegroup-name>'
   Location           = '<location>'
   VirtualNetworkName = '<vnet-name>'
   PublicIpName       = '<public-ip-name>'
   PrivateRange       = @("IANAPrivateRanges", "192.168.1.0/24", "192.168.1.10")
}

New-AzFirewall @azFw

Pare-feu existant

Pour configurer un pare-feu existant utilisant des règles classiques, obtenez le pare-feu en utilisant Get-AzFirewall et mettez-le à jour en utilisant Set-AzFirewall :

$azfw = Get-AzFirewall -Name '<fw-name>' -ResourceGroupName '<resourcegroup-name>'
$azfw.PrivateRange = @("IANAPrivateRanges", "192.168.1.0/24", "192.168.1.10")
Set-AzFirewall -AzureFirewall $azfw

Utilisez Azure CLI pour spécifier des plages d’adresses IP privées pour le pare-feu.

Nouveau pare-feu

Pour un nouveau pare-feu utilisant les règles classiques, créez le pare-feu en utilisant le pare-feu réseau az create :

az network firewall create \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

Pare-feu existant

Pour configurer un pare-feu existant utilisant des règles classiques, mettez-le à jour en utilisant la mise à jour du pare-feu réseau az :

az network firewall update \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

Règles classiques

Pour configurer SNAT pendant le déploiement du modèle ARM, ajoutez le code suivant à la additionalProperties propriété :

"additionalProperties": {
   "Network.SNAT.PrivateRanges": "IANAPrivateRanges, IPRange1, IPRange2"
},

Stratégie de pare-feu

Les pare-feux Azure associés à une politique de pare-feu prennent en charge les plages privées SNAT à partir de la version API 2020-11-01. Utilisez un modèle pour mettre à jour la plage privée SNAT sur la politique de pare-feu. L’exemple suivant configure le pare-feu pour qu’il fasse toujours une traduction SNAT du trafic réseau :

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "privateRanges": "[255.255.255.255/32]"
      }
   }
}

Règles classiques

Utilisez le portail Azure pour spécifier des plages d’adresses IP privées pour le pare-feu.

1. Sélectionnez votre groupe de ressources, puis votre pare-feu.

2. Dans le panneau Aperçu , sous Plages IP privées, sélectionnez la valeur par défaut IANA RFC 1918.

   La page Modifier les préfixes des adresses IP privées s'ouvre :

3. Par défaut, Pare-feu Azure configure IANAPrivateRanges.

4. Modifiez les plages d'adresses IP privées de votre environnement, puis sélectionnez Enregistrer.

Stratégie de pare-feu

1. Sélectionnez votre groupe de ressources, puis votre stratégie de pare-feu.
2. Sélectionnez Plages d’adresses IP privées (SNAT) dans la colonne Paramètres.
3. Pour personnaliser la configuration SNAT, sélectionnez les conditions pour effectuer le SNAT de votre environnement sous Effectuer SNAT.
4. Sélectionnez Appliquer.

Azure CLI ne supporte pas la configuration des routes SNAT d'apprentissage automatique. Utilisez un modèle ARM, Azure PowerShell ou le portail Azure.

Utilisez le JSON suivant pour activer l’auto-apprentissage dans une politique de pare-feu :

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "autoLearnPrivateRanges": "Enabled"
      }
   }
}

Utilisez le JSON suivant pour associer un Serveur de routes Azure au pare-feu :

{
   "type": "Microsoft.Network/azureFirewalls",
   "apiVersion": "2024-05-01",
   "name": "[parameters('azureFirewalls_testFW_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "name": "AZFW_VNet",
         "tier": "Standard"
      },
      "threatIntelMode": "Alert",
      "additionalProperties": {
         "Network.RouteServerInfo.RouteServerID": "[parameters('virtualHubs_TestRouteServer_externalid')]"
      }
   }
}

Dans les exemples suivants, remplacez les noms des variables ($azureFirewallName, $rgname, $location, etc.) par vos propres valeurs.

1. Créez un nouveau pare-feu avec un identifiant de serveur de routage en utilisant New-AzFirewall.

   # Specify the Route Server resource ID
   $routeServerId="/subscriptions/your_sub/resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
   
   # Create the firewall
   $azureFirewall = New-AzFirewall -Name $azureFirewallName `
       -ResourceGroupName $rgname `
       -Location $location `
       -RouteServerId $routeServerId
   
   # Verify the Route Server ID is set
   Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   

2. Associez un serveur de routage à un pare-feu existant en utilisant Get-AzFirewall et Set-AzFirewall.

   # Specify the Route Server resource ID
   $routeServerId="/subscriptions/your_sub/resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
   
   # Get the firewall
   $azFirewall = Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   
   # Associate the Route Server and update the firewall
   $azFirewall.RouteServerId = $routeServerId
   Set-AzFirewall -AzureFirewall $azFirewall
   
   # Verify the Route Server ID is updated
   Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   

3. Créez une nouvelle politique de pare-feu avec l’auto-apprentissage activé en utilisant New-AzFirewallPolicySnat et New-AzFirewallPolicy.

   # Include AutoLearnPrivateRange to enable auto-learn
   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange -AutoLearnPrivateRange
   
   # Create the firewall policy with SNAT configuration
   $azureFirewallPolicy = New-AzFirewallPolicy -Name $azureFirewallPolicyName `
       -ResourceGroupName $rgname `
       -Location $location `
       -Snat $snat
   
   # Verify the firewall policy
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

4. Mettez à jour une politique de pare-feu existante avec SNAT en utilisant New-AzFirewallPolicySnat et Set-AzFirewallPolicy.

   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange2 -AutoLearnPrivateRange
   
   # Update the firewall policy
   $azureFirewallPolicy.Snat = $snat
   Set-AzFirewallPolicy -InputObject $azureFirewallPolicy
   
   # Verify the update
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

5. Vérifiez les préfixes appris en utilisant Get-AzFirewallLearnedIpPrefix.

   Get-AzFirewallLearnedIpPrefix -Name $azureFirewallName -ResourceGroupName $rgname
   

Pour configurer les routes SNAT d’apprentissage automatique sur votre pare-feu VNet en utilisant le portail Azure :

1. Sélectionnez votre pare-feu, puis sélectionnez Préfixes IP SNAT appris. Ajoutez le serveur de route.
2. Sélectionnez votre politique de pare-feu, puis sélectionnez les plages d’IP privées (SNAT). Activez les préfixes IP d’apprentissage automatique, puis sélectionnez Appliquer.
3. Pour vérifier, retournez sur votre pare-feu et sélectionnez Préfixes IP SNAT appris pour voir les routes apprises.

Azure CLI ne supporte pas la configuration des routes SNAT d'apprentissage automatique. Utilisez un modèle ARM, Azure PowerShell ou le portail Azure.

Utilisez le JSON suivant pour activer l’apprentissage automatique dans une politique de pare-feu. Pour les déploiements vHub, vous n'avez pas besoin d'associer manuellement Serveur de routes Azure.

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "autoLearnPrivateRanges": "Enabled"
      }
   }
}

Dans les exemples suivants, remplacez les noms des variables ($azureFirewallName, $rgname, $location, etc.) par vos propres valeurs.

1. Créez une nouvelle politique de pare-feu avec l’auto-apprentissage activé en utilisant New-AzFirewallPolicySnat et New-AzFirewallPolicy.

   # Include AutoLearnPrivateRange to enable auto-learn
   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange -AutoLearnPrivateRange
   
   # Create the firewall policy with SNAT configuration
   $azureFirewallPolicy = New-AzFirewallPolicy -Name $azureFirewallPolicyName `
       -ResourceGroupName $rgname `
       -Location $location `
       -Snat $snat
   
   # Verify the firewall policy
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

2. Mettez à jour une politique de pare-feu existante avec SNAT en utilisant New-AzFirewallPolicySnat et Set-AzFirewallPolicy.

   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange2 -AutoLearnPrivateRange
   
   # Update the firewall policy
   $azureFirewallPolicy.Snat = $snat
   Set-AzFirewallPolicy -InputObject $azureFirewallPolicy
   
   # Verify the update
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

3. Obtenez le hub virtuel en utilisant Get-AzVirtualHub et la politique de pare-feu en utilisant Get-AzFirewallPolicy.

   $Hub = Get-AzVirtualHub -ResourceGroupName $rgname -Name $virtualHubName
   $azureFirewallPolicy = Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

4. Créez une configuration IP publique en utilisant New-AzFirewallHubPublicIpAddress et New-AzFirewallHubIpAddress.

   $azureFirewallPIPs = New-AzFirewallHubPublicIpAddress -Count 1
   $azureFirewallHubIPs = New-AzFirewallHubIpAddress -PublicIP $azureFirewallPIPs
   

5. Créez le pare-feu vHub avec la politique d’auto-apprentissage en utilisant New-AzFirewall.

   $azureFirewall = New-AzFirewall -Name $azureFirewallName `
       -ResourceGroupName $rgname `
       -Location $location `
       -VirtualHubId $Hub.Id `
       -FirewallPolicyId $azureFirewallPolicy.Id `
       -SkuName "AZFW_Hub" `
       -HubIPAddress $azureFirewallHubIPs `
       -SkuTier $FirewallTier
   

6. Vérifiez les préfixes appris en utilisant Get-AzFirewallLearnedIpPrefix.

   Get-AzFirewallLearnedIpPrefix -Name $azureFirewallName -ResourceGroupName $rgname
   

Comme Serveur de routes Azure est déjà déployé dans des environnements de hub virtuel sécurisés, il suffit d’activer la fonctionnalité dans votre politique de pare-feu :

1. Sélectionnez votre politique de pare-feu, puis sélectionnez les plages d’IP privées (SNAT). Activez les préfixes IP d’apprentissage automatique, puis sélectionnez Appliquer.
2. Pour vérifier, retournez sur votre pare-feu et sélectionnez Préfixes IP SNAT appris pour voir les routes apprises.