Logica di elaborazione delle regole del Firewall di Azure

Firewall di Azure include regole NAT, regole di rete e regole di applicazione. Le regole vengono elaborate in base al tipo.

Regole di rete e di applicazione

Le regole di rete vengono applicate per prime, seguite da quelle di applicazione. L'elaborazione delle regole non avviene a ciclo continuo. Pertanto, se viene trovata una corrispondenza nelle regole di rete, le regole dell'applicazione non vengono elaborate. Se nessuna regola di rete corrisponde e se il protocollo di pacchetto è HTTP/HTTPS, le regole dell'applicazione valutano il pacchetto. Se ancora non viene trovata una corrispondenza, il pacchetto viene valutato in base alla raccolta regole dell'infrastruttura. Se non è ancora presente alcuna corrispondenza, il pacchetto viene rifiutato per impostazione predefinita.

Esempio di logica di elaborazione

Scenario di esempio: esistono tre gruppi di raccolta regole in un criterio di Firewall di Azure. Ogni gruppo di raccolte regole ha una serie di regole di applicazione e di rete.

Nel diagramma illustrato le regole di rete vengono eseguite per prime, seguite dalle regole dell'applicazione a causa della logica di elaborazione delle regole di Firewall di Azure che indica che le regole di rete hanno sempre priorità di esecuzione prima delle regole dell'applicazione.

Regole NAT

È possibile abilitare la connettività a Internet in ingresso configurando Destination Network Address Translation (DNAT) come descritto in Filtrare il traffico in ingresso con DNAT di Firewall di Azure tramite il portale di Azure. Le regole NAT vengono applicate in ordine di priorità prima delle regole di rete. Se viene trovata una corrispondenza, il traffico viene convertito in base alla regola DNAT e consentito dal firewall. Il traffico non è quindi soggetto a ulteriori elaborazioni da altre regole di rete. Per motivi di sicurezza, l'approccio consigliato consiste nell'aggiungere un'origine Internet specifica per consentire l'accesso DNAT alla rete evitando di usare caratteri jolly.

Le regole di applicazione non vengono applicate per le connessioni in ingresso. Per filtrare il traffico HTTP o HTTPS in ingresso è quindi necessario usare Web application firewall (WAF). Per altre informazioni, vedere Che cos'è Azure Web Application Firewall?

Regole ereditate

Le raccolte di regole di rete ereditate da un criterio padre vengono sempre classificate in ordine di priorità prima delle raccolte di regole di rete definite come parte dei nuovi criteri. La stessa logica si applica anche alle raccolte di regole dell'applicazione. Le raccolte di regole di rete, tuttavia, vengono sempre elaborate prima delle raccolte di regole dell'applicazione indipendentemente dall'ereditarietà.

Per impostazione predefinita, il criterio eredita la modalità di intelligence sulle minacce dei criteri padre. È possibile eseguire l'override di questo comportamento impostando la modalità intelligence sulle minacce su un valore diverso nella pagina delle impostazioni dei criteri. La sostituzione è consentita solo con un valore più restrittivo. Ad esempio, se il criterio padre è impostato solo su Avviso, è possibile configurare questo criterio locale su Avviso e nega, ma non è possibile disattivarlo.

Passaggi successivi

• Scopri di più sul Gestione firewall di Azure