Azure Firewall en Azure Firewall-beleid ondersteunen IPv6. Je kunt IPv6-subnetten, adresruimtes, openbare IPv6-adressen, door de gebruiker gedefinieerde routes (UDR's) en netwerkregels configureren om IPv6-verkeer te beheren. Je kunt een firewall implementeren in alleen-IPv4-modus of in de dual-stackmodus (IPv4 en IPv6). IPv6-only firewalls worden niet ondersteund.
Dit artikel laat zien hoe je een bestaande firewall kunt upgraden naar dual stack mode en een nieuwe dual stack firewall kunt implementeren.
Ondersteunde scenario's en beperkingen
De IPv6-ondersteuning van Azure Firewall is ontworpen voor specifieke gebruikssituaties en heeft bepaalde beperkingen. Bekijk de volgende ondersteunde scenario’s en beperkingen voordat u implementeert.
Ondersteunde scenario’s
-
Netwerkregels: Azure Firewall ondersteunt volledig IPv6-verkeer in netwerkregels. Je kunt regels maken om IPv6-verkeer toe te staan of te weigeren.
-
DNS-proxy: Azure Firewall kan worden geconfigureerd als een DNS-proxy in IPv6-netwerken.
Note
Voor alle uitgaande verbindingen vanuit het virtuele netwerk past Azure Firewall bronnetwerkadresvertaling (SNAT) toe door gebruik te maken van het IP-adres van de firewallinstantie. Als het bestemmingsadres binnen het door IANA gedefinieerde unieke lokale adresbereik (fc00::/7ULA) valt, wordt SNAT niet toegepast. Dit gedrag is bewust en kan niet worden veranderd.
Limitations
- Classic Azure Firewall wordt niet ondersteund.
- De Virtual Hub (vHub) firewall wordt niet ondersteund.
- Applicatie- en DNAT-regels worden nog niet ondersteund.
- Dreigingsintelligentie, IDPS, expliciete proxy- en IP-groepen-gebaseerde scenario's worden niet ondersteund.
- Het terugzetten van een dual stack firewall naar IPv4-only modus wordt niet ondersteund. Deze tijdelijke beperking zal worden verwijderd wanneer dual stack-ondersteuning algemeen beschikbaar wordt.
Note
Bestaande functies die compatibel zijn met een alleen-IPv4-firewall ondersteunen ook IPv4 in dual-stack firewalls. De voorgaande beperkingen gelden alleen voor IPv6.
Prerequisites
Als u geen Azure-abonnement hebt, maakt u een gratis account om aan de slag te gaan.
Om een bestaande Azure Firewall te upgraden van alleen IPv4 naar dual stack modus (IPv4 en IPv6):
- Voeg een IPv6-adresruimte toe aan het virtuele netwerk.
- Voeg een IPv6-subnetprefix toe aan de
AzureFirewallSubnet.
- Maak een openbaar IPv6-adres aan.
- Voeg het publieke IPv6-adres toe aan je firewallconfiguratie.
- Voeg netwerkregels toe voor IPv6-verkeer indien nodig.
Important
Nadat je een firewall hebt geüpgraded naar dual stack-modus, kun je deze niet terugzetten naar alleen IPv4-modus. Deze tijdelijke beperking zal worden verwijderd wanneer dual stack-ondersteuning algemeen beschikbaar wordt.
Gebruik de volgende tabbladen om IPv6-ondersteuning toe te voegen aan een firewall die al is uitgerold.
Open je virtuele netwerk in het Azure-portaal, selecteer Adresruimte en voeg het IPv6-prefix toe (bijvoorbeeld, 79f7:d56c:e9bc:8000::/49). Sla uw wijzigingen op.
Open je virtuele netwerk, selecteer Subnets, kies AzureFirewallSubnet en voeg het IPv6-adresprefix toe (bijvoorbeeld fd00:c1d0:3f1f:1::/64) naast het bestaande IPv4-prefix. Sla uw wijzigingen op.
Maak de openbare IPv6-adresbron aan en koppel deze vervolgens aan de firewallconfiguratie.
Werk het virtuele netwerk (VNET) bij om een IPv6-adresruimte toe te voegen met behulp van Get-AzVirtualNetwork en Set-AzVirtualNetwork.
Haal de bestaande VNET op:
$vnet = Get-AzVirtualNetwork -Name "test-vnet" -ResourceGroupName "test-rg"
Voeg de IPv6-adresruimte toe:
$vnet.AddressSpace.AddressPrefixes.Add("fd00:c1d0:3f1f::/48")
$vnet | Set-AzVirtualNetwork
Werk de AzureFirewallSubnet bij om een IPv6-subnetprefix toe te voegen met behulp van Set-AzVirtualNetworkSubnetConfig.
Set-AzVirtualNetworkSubnetConfig -Name "AzureFirewallSubnet" `
-VirtualNetwork $vnet `
-AddressPrefix @("10.0.0.0/24", "fd00:c1d0:3f1f:1::/64")
$vnet | Set-AzVirtualNetwork
Maak een openbaar IPv6-IP-adres aan en voeg het toe met New-AzPublicIpAddress en Set-AzFirewall.
$publicIpV6 = New-AzPublicIpAddress `
-ResourceGroupName "test-rg" `
-Location "southcentralus" `
-Name "test-v6pip" `
-AllocationMethod Static `
-Sku Standard `
-IpAddressVersion IPv6
$azFw = Get-AzFirewall -Name "test-fw" -ResourceGroupName "test-rg"
$azFw.AddPublicIpAddress($publicIpV6)
$azFw | Set-AzFirewall
Voeg een IPv6-adresruimte toe aan je bestaande VNET door az network vnet update te gebruiken:
az network vnet update --resource-group test-rg --name test-vnet \
--address-prefixes 10.0.0.0/16 fd00:c1d0:3f1f::/48
Dit commando werkt het virtuele netwerk bij om zowel de oorspronkelijke IPv4-adresruimte als de nieuwe IPv6-adresruimte op te nemen.
Werk de AzureFirewallSubnet bij om een IPv6-subnet te bevatten door gebruik te maken van az network vnet subnet update:
az network vnet subnet update \
--resource-group test-rg \
--vnet-name test-vnet \
--name AzureFirewallSubnet \
--address-prefixes 10.0.0.0/24 fd00:c1d0:3f1f:1::/64
Dit commando voegt het IPv6-subnetprefix (fd00:c1d0:3f1f:1::/64) toe naast het bestaande IPv4-prefix (10.0.0.0/24) voor het Azure Firewall-subnet.
Maak een openbaar IPv6-adres aan door az network public-ip create te gebruiken en koppel het aan de firewall met az network firewall ip-config create:
az network public-ip create \
--resource-group test-rg \
--name test-v6pip \
--location southcentralus \
--sku Standard \
--version IPv6 \
--allocation-method Static \
--zone 1 2 3
az network firewall ip-config create \
--firewall-name test-fw \
--name fw-ip6-config \
--resource-group test-rg \
--public-ip-address test-v6pip
Een dual-stack Azure Firewall maken
Voor nieuwe implementaties specificeer je geen firewallzones in PowerShell- of Azure CLI-commando's. Azure beheert de toewijzing van backendzones in ZR-compatibele regio's.
In de deploymentflow voor Azure Firewall voer je de IPv6-adresruimte in, voer je het IPv6-subnetprefix in en voeg je een nieuw of bestaand IPv6 openbaar IP-adres toe aan de nieuwe Azure Firewall.
Om een dual-stack firewall op te zetten met PowerShell:
Maak een resourcegroep aan door gebruik te maken van de New-AzResourceGroup-cmdlet .
New-AzResourceGroup -Name "test-rg" -Location "southcentralus"
Maak het firewallsubnet en virtueel netwerk aan door gebruik te maken van de cmdlets New-AzVirtualNetworkSubnetConfig en New-AzVirtualNetwork .
$FWsub = New-AzVirtualNetworkSubnetConfig `
-Name "AzureFirewallSubnet" `
-AddressPrefix @("10.0.1.0/26", "fd00:c1d0:3f1f:1::/64")
$vnet = New-AzVirtualNetwork `
-Name "test-vnet" `
-ResourceGroupName "test-rg" `
-Location "southcentralus" `
-AddressPrefix @("10.0.0.0/16", "fd00:c1d0:3f1f::/48") `
-Subnet $FWsub
Maak publieke IPv4- en IPv6-adressen aan met de cmdlet New-AzPublicIpAddress .
$publicIpV4 = New-AzPublicIpAddress `
-ResourceGroupName "test-rg" `
-Location "southcentralus" `
-Name "v4pip" `
-AllocationMethod Static `
-Sku Standard
$publicIpV6 = New-AzPublicIpAddress `
-ResourceGroupName "test-rg" `
-Location "southcentralus" `
-Name "v6pip" `
-AllocationMethod Static `
-Sku Standard `
-IpAddressVersion IPv6
Maak een firewallbeleid aan door gebruik te maken van de cmdlet New-AzFirewallPolicy .
$fwPolicy = New-AzFirewallPolicy -Name "fw-policy" -ResourceGroupName "test-rg" -Location "southcentralus" -SkuTier "Premium"
Maak de dual stack firewall aan met de New-AzFirewall cmdlet.
$Azfw = New-AzFirewall -Name "firewall-test" `
-ResourceGroupName "test-rg" `
-Location "southcentralus" `
-VirtualNetwork $vnet `
-PublicIpAddress @($publicIpV4, $publicIpV6) `
-Sku AZFW_VNet `
-SkuTier Premium `
-FirewallPolicyId $fwPolicy.Id
Om een dual stack firewall op te zetten met behulp van de Azure CLI:
Maak een resourcegroep aan met behulp van az group create.
az group create --name test-rg --location southcentralus
Creëer het virtuele netwerk en firewallsubnet door gebruik te maken van az network vnet create en az network vnet subnet create.
az network vnet create --resource-group test-rg --name test-vnet --location southcentralus --address-prefixes 10.0.0.0/16 fd00:c1d0:3f1f::/48
az network vnet subnet create --resource-group test-rg --vnet-name test-vnet --name AzureFirewallSubnet --address-prefixes 10.0.0.0/24 fd00:c1d0:3f1f:1::/64
Maak de IPv4- en IPv6-publieke IP-adressen aan door gebruik te maken van az network public-ip create.
az network public-ip create --resource-group test-rg --name test-v4pip --location southcentralus --sku Standard --version IPv4 --allocation-method Static --zone 1 2 3
az network public-ip create --resource-group test-rg --name test-v6pip --location southcentralus --sku Standard --version IPv6 --allocation-method Static --zone 1 2 3
Maak het firewallbeleid aan door az network firewall policy create te gebruiken.
az network firewall policy create --name test-fw-policy --resource-group test-rg --location southcentralus --sku Premium
Maak de firewall aan en koppel de IPv4- en IPv6-publieke IP-adressen door gebruik te maken van az network firewall create en az network firewall ip-config create.
az network firewall create --name test-fw --resource-group test-rg --location southcentralus --sku AZFW_VNet --tier Premium --firewall-policy test-fw-policy
az network firewall ip-config create --firewall-name test-fw --name fw-ip-config --resource-group test-rg --public-ip-address test-v4pip --vnet-name test-vnet
az network firewall ip-config create --firewall-name test-fw --name fw-ip6-config --resource-group test-rg --public-ip-address test-v6pip
Verwante onderwerpen