Ridimensionare le porte SNAT con Gateway NAT di Azure

Firewall di Azure fornisce 2.496 porte SNAT per ogni indirizzo IP pubblico configurato per ogni istanza del set di scalabilità di macchine virtuali back-end (almeno due istanze) ed è possibile associare fino a 250 indirizzi IP pubblici. A seconda dell'architettura e dei modelli di traffico, potrebbero essere necessari più di 1.248.000 porte SNAT disponibili con questa configurazione. Ad esempio, quando viene usato per proteggere distribuzioni di grandi dimensioni Desktop virtuale Azure che si integrano con Microsoft 365 Apps.

Uno dei problemi relativi all'uso di un numero elevato di indirizzi IP pubblici è quando esistono requisiti di filtro degli indirizzi IP downstream. Firewall di Azure non supporta l'associazione diretta di un prefisso IP pubblico, ma può utilizzare singoli indirizzi IP pubblici SKU standard sottoposti a provisioning da un prefisso IP pubblico. Quando Firewall di Azure è associato a più indirizzi IP pubblici, il filtraggio a valle deve consentire tutti gli indirizzi IP pubblici ad esso associati. Se esegui il provisioning di questi indirizzi dai prefissi IP pubblici, puoi permettere i corrispondenti intervalli di prefissi invece di elencare ogni indirizzo singolarmente.

Un'opzione migliore per ridimensionare e allocare dinamicamente le porte SNAT in uscita consiste nell'usare un Gateway NAT di Azure. Fornisce 64.512 porte SNAT per indirizzo IP pubblico e supporta fino a 16 indirizzi IP pubblici IPv4. In questo modo è possibile ottenere fino a 1.032.192 porte SNAT in uscita. Gateway NAT di Azure anche alloca dinamicamente le porte SNAT a livello di subnet, quindi tutte le porte SNAT fornite dagli indirizzi IP associati sono disponibili su richiesta per fornire connettività in uscita.

Quando associ un gateway NAT a AzureFirewallSubnet, il traffico internet in uscita dal firewall utilizza gli indirizzi IP pubblici del gateway NAT. Non serve un percorso aggiuntivo definito dall'utente (UDR) per inviare quel traffico dal firewall attraverso il NAT gateway. Tieni le rotte di sottorete del carico di lavoro che indirizzano il traffico all'indirizzo IP privato del firewall per l'ispezione. Il traffico di risposta verso un flusso in uscita passa anche attraverso il gateway NAT. Se più indirizzi IP pubblici sono associati al gateway NAT, questo seleziona un indirizzo casualmente. Non puoi specificare quale indirizzo usare.

Questa architettura non include il doppio NAT. Le istanze di Firewall di Azure inviano il traffico al gateway NAT usando il loro indirizzo IP privato anziché l'indirizzo IP pubblico di Firewall di Azure.

Scegliere tra più indirizzi IP pubblici e gateway NAT

Quando il firewall sta esaurendo le porte SNAT, è possibile aggiungere più indirizzi IP pubblici o utilizzare un gateway NAT:

• Aggiungere più indirizzi IP pubblici quando si è sensibili ai costi e le esigenze di scalabilità sono moderate. Ogni indirizzo IP pubblico aggiunge 2.496 porte SNAT per ogni istanza backend, e puoi associare fino a 250 indirizzi IP pubblici. Per la procedura, vedere Distribuire un Firewall di Azure con più indirizzi IP pubblici.
• Usa un gateway NAT quando hai bisogno di un'allocazione dinamica delle porte SNAT attraverso la subnet. Fornisce fino a 64.512 porte SNAT per ogni indirizzo IP pubblico.

Per un confronto completo dei vantaggi e degli svantaggi, vedi Procedure consigliate per le prestazioni di Firewall di Azure.

Per creare un gateway NAT StandardV2 come parte di una distribuzione Firewall di Azure nel portale, seleziona Abilita gateway NAT nella scheda Avanzato. Per la procedura completa, vedi Crea Firewall di Azure con un gateway NAT StandardV2. I seguenti esempi di PowerShell e CLI associano un gateway NAT Standard a una subnet firewall esistente.

Associare un gateway NAT a una subnet di Firewall di Azure - Azure PowerShell

Nell'esempio seguente viene creato e collegato un gateway NAT a una subnet Firewall di Azure usando Azure PowerShell.

# Create public IP addresses
New-AzPublicIpAddress -Name public-ip-1 -ResourceGroupName nat-rg -Sku Standard -AllocationMethod Static -Location 'South Central US'
New-AzPublicIpAddress -Name public-ip-2 -ResourceGroupName nat-rg -Sku Standard -AllocationMethod Static -Location 'South Central US'

# Create NAT gateway
$PublicIPAddress1 = Get-AzPublicIpAddress -Name public-ip-1 -ResourceGroupName nat-rg
$PublicIPAddress2 = Get-AzPublicIpAddress -Name public-ip-2 -ResourceGroupName nat-rg
New-AzNatGateway -Name firewall-nat -ResourceGroupName nat-rg -PublicIpAddress $PublicIPAddress1,$PublicIPAddress2 -Location 'South Central US' -Sku Standard

# Associate NAT gateway to subnet
$virtualNetwork = Get-AzVirtualNetwork -Name nat-vnet -ResourceGroupName nat-rg
$natGateway = Get-AzNatGateway -Name firewall-nat -ResourceGroupName nat-rg
$firewallSubnet = $virtualNetwork.subnets | Where-Object -Property Name -eq AzureFirewallSubnet
$firewallSubnet.NatGateway = $natGateway
$virtualNetwork | Set-AzVirtualNetwork

Associare un gateway NAT a una subnet del Firewall di Azure - interfaccia della riga di comando di Azure

Nell'esempio seguente viene creato e collegato un gateway NAT a una subnet Firewall di Azure usando interfaccia della riga di comando di Azure.

# Create public IP addresses
az network public-ip create --name public-ip-1 --resource-group nat-rg --sku standard
az network public-ip create --name public-ip-2 --resource-group nat-rg --sku standard
# Create NAT gateway
az network nat gateway create --name firewall-nat --resource-group nat-rg --public-ip-addresses public-ip-1 public-ip-2 --sku standard
# Associate NAT gateway to subnet
az network vnet subnet update --name AzureFirewallSubnet --vnet-name nat-vnet --resource-group nat-rg --nat-gateway firewall-nat

Passaggi successivi

• Scalare le porte SNAT di Firewall di Azure utilizzando il gateway NAT per carichi di lavoro di grandi dimensioni.
• Progettare reti virtuali con gateway NAT
• Integra il gateway NAT con Firewall di Azure in una rete hub-and-spoke