SNAT-poorten schalen met Azure NAT Gateway

Azure Firewall biedt 2496 SNAT-poorten per openbaar IP-adres dat is geconfigureerd per instantie van de virtuele-machineschaalset van de back-end (minimaal twee exemplaren) en u kunt maximaal 250 openbare IP-adressen koppelen. Afhankelijk van uw architectuur en verkeerspatronen hebt u mogelijk meer nodig dan de 1.248.000 beschikbare SNAT-poorten met deze configuratie. Wanneer u deze bijvoorbeeld gebruikt om grote Azure Virtual Desktop-implementaties te beveiligen die kunnen worden geïntegreerd met Microsoft 365-apps.

Een van de uitdagingen bij het gebruik van een groot aantal openbare IP-adressen is wanneer er vereisten zijn voor het filteren van downstream-IP-adressen. Azure Firewall ondersteunt zelf geen koppeling aan een publieke IP-prefix, maar kan wel individuele Standard SKU publieke IP-adressen gebruiken die zijn ingesteld vanuit een publieke IP-prefix. Wanneer de Azure Firewall gekoppeld is aan meerdere publieke IP-adressen, moet downstream filtering alle publieke IP-adressen die ermee zijn gekoppeld toestaan. Als je deze adressen provisioneert vanuit publieke IP-prefixen, kun je de bijbehorende prefixbereiken toestaan in plaats van elk adres afzonderlijk te vermelden.

Een betere optie voor het schalen en dynamisch toewijzen van uitgaande SNAT-poorten is het gebruik van een Azure NAT Gateway. Het biedt 64.512 SNAT-poorten per openbaar IP-adres en ondersteunt maximaal 16 openbare IPv4-IP-adressen. Dit biedt in feite maximaal 1.032.192 uitgaande SNAT-poorten. Azure NAT Gateway ook dynamisch SNAT-poorten toewijst op subnetniveau, zodat alle SNAT-poorten die worden geleverd door de bijbehorende IP-adressen op aanvraag beschikbaar zijn om uitgaande connectiviteit te bieden.

Wanneer je een NAT-gateway koppelt aan AzureFirewallSubnet, gebruikt uitgaand internetverkeer van de firewall de publieke IP-adressen van de NAT-gateway. Je hebt geen extra door de gebruiker gedefinieerde route (UDR) nodig om dat verkeer van de firewall via de NAT-gateway te sturen. Behoud de routen voor het workload-subnet die verkeer naar het privé-IP-adres van de firewall leiden om het te laten inspecteren. Responsverkeer naar een uitgaande stroom gaat ook via de NAT-gateway. Als meerdere publieke IP-adressen aan de NAT-gateway zijn gekoppeld, selecteert deze willekeurig een adres. Je kunt niet aangeven welk adres je moet gebruiken.

Er is geen dubbele NAT met deze architectuur. Azure Firewall exemplaren het verkeer naar de NAT-gateway verzenden met behulp van hun privé-IP-adres in plaats van Azure Firewall openbaar IP-adres.

Kiezen tussen meerdere openbare IP-adressen en NAT-gateway

Wanneer uw firewall weinig SNAT-poorten gebruikt, kunt u meerdere openbare IP-adressen toevoegen of een NAT-gateway gebruiken:

• Voeg meerdere openbare IP-adressen toe wanneer u kostengevoelig bent en uw schaalbehoeften gemiddeld zijn. Elk openbaar IP-adres voegt 2.496 SNAT-poorten per backend-instantie toe, en je kunt tot 250 publieke IP-adressen koppelen. Zie Een Azure Firewall met meerdere openbare IP-adressen implementeren voor stappen.
• Gebruik een NAT-gateway wanneer je dynamische SNAT-poorttoewijzing over het subnet nodig hebt. Het biedt tot 64.512 SNAT-poorten per publiek IP-adres.

Zie Best practices for Azure Firewall performance voor een volledige vergelijking van de voor- en nadelen.

Om een StandardV2 NAT-gateway te maken als onderdeel van een Azure Firewall-implementatie in het portaal, selecteert u NAT-gateway inschakelen op het tabblad Geavanceerd. Zie Azure Firewall maken met een StandardV2 NAT-gateway voor de volledige procedure. De volgende PowerShell- en CLI-voorbeelden koppelen een standaard NAT-gateway aan een bestaand firewall-subnet.

Een NAT-gateway koppelen aan een Azure Firewall subnet - Azure PowerShell

In het volgende voorbeeld wordt een NAT-gateway gemaakt en gekoppeld aan een Azure Firewall subnet met behulp van Azure PowerShell.

# Create public IP addresses
New-AzPublicIpAddress -Name public-ip-1 -ResourceGroupName nat-rg -Sku Standard -AllocationMethod Static -Location 'South Central US'
New-AzPublicIpAddress -Name public-ip-2 -ResourceGroupName nat-rg -Sku Standard -AllocationMethod Static -Location 'South Central US'

# Create NAT gateway
$PublicIPAddress1 = Get-AzPublicIpAddress -Name public-ip-1 -ResourceGroupName nat-rg
$PublicIPAddress2 = Get-AzPublicIpAddress -Name public-ip-2 -ResourceGroupName nat-rg
New-AzNatGateway -Name firewall-nat -ResourceGroupName nat-rg -PublicIpAddress $PublicIPAddress1,$PublicIPAddress2 -Location 'South Central US' -Sku Standard

# Associate NAT gateway to subnet
$virtualNetwork = Get-AzVirtualNetwork -Name nat-vnet -ResourceGroupName nat-rg
$natGateway = Get-AzNatGateway -Name firewall-nat -ResourceGroupName nat-rg
$firewallSubnet = $virtualNetwork.subnets | Where-Object -Property Name -eq AzureFirewallSubnet
$firewallSubnet.NatGateway = $natGateway
$virtualNetwork | Set-AzVirtualNetwork

Een NAT-gateway koppelen aan een Azure Firewall-subnet - Azure CLI

In het volgende voorbeeld wordt een NAT-gateway gemaakt en gekoppeld aan een Azure Firewall subnet met behulp van Azure CLI.

# Create public IP addresses
az network public-ip create --name public-ip-1 --resource-group nat-rg --sku standard
az network public-ip create --name public-ip-2 --resource-group nat-rg --sku standard
# Create NAT gateway
az network nat gateway create --name firewall-nat --resource-group nat-rg --public-ip-addresses public-ip-1 public-ip-2 --sku standard
# Associate NAT gateway to subnet
az network vnet subnet update --name AzureFirewallSubnet --vnet-name nat-vnet --resource-group nat-rg --nat-gateway firewall-nat

Volgende stappen

• Scale Azure Firewall SNAT-poorten met NAT Gateway voor grote workloads.
• Virtuele netwerken ontwerpen met NAT-gateway
• Integreer NAT gateway met Azure Firewall in een hub- en spoke-netwerk