FQDN-filtering van Azure Firewall

Een FQDN (Fully Qualified Domain Name) is de volledige domeinnaam van een host op internet, zoals www.microsoft.com. In Azure Firewall- en firewall-beleid kunnen FQDN's worden gebruikt om verkeer te filteren in DNAT-, netwerk- en toepassingsregels, afhankelijk van het type en de richting van het verkeer dat wordt geïnspecteerd.

Hoe het werkt

Azure Firewall verwerkt filteren op basis van FQDN, afhankelijk van het regeltype:

  • Toepassingsregels gebruiken FQDN's om HTTP/S- en MSSQL-verkeer te filteren. Ze zijn afhankelijk van een transparante proxy op toepassingsniveau en de SNI-header (Server Name Indication) om onderscheid te maken tussen FQDN's die worden omgezet in hetzelfde IP-adres. Met andere woorden, FQDN's worden vergeleken en gefilterd op het oorspronkelijke domein dat door de client is aangevraagd, niet op basis van het opgeloste IP-adres.
  • Netwerk- en DNAT-regels filteren verkeer op basis van de opgeloste IP-adressen van de FQDN's met behulp van Azure DNS of een aangepaste DNS-server. Azure Firewall onderhoudt en werkt de lijst met gekoppelde IP-adressen voor de FQDN's dynamisch bij, zodat verkeer correct wordt gerouteerd, zelfs als de onderliggende IP-adressen veranderen.

Wanneer DNS-resolutie wordt gebruikt, Azure Firewall:

  • Hiermee wordt de FQDN omgezet in het bijbehorende IP-adres.
  • Gebruikt het opgeloste IP-adres om het juiste regeltype (DNAT of netwerk) toe te passen
  • Vernieuwt de FQDN-to-IP toewijzingen om de 15 seconden.
  • Hiermee verwijdert u IP-adressen die na 15 minuten niet meer worden omgezet of gebruikt.

Opmerking

Dit verversingsgedrag geldt voor de FQDN-to-IP-mappings die Azure Firewall onderhoudt voor regelverwerking. Het staat los van de Azure Firewall DNS proxy cache, die DNS-antwoorden opslaat volgens hun TTL en geen records pre-fetst voordat de TTL verloopt. Voor DNS-proxycachinggedrag, zie Azure Firewall DNS-instellingen en Azure Firewall DNS-proxydetails.

Verschillen tussen FQDN-filtering in DNAT-regels en netwerkregels en toepassingsregels

DNAT-regels

DNAT-regels (Destination Network Address Translation) worden gebruikt om binnenkomend verkeer naar back-endservers te routeren. Met deze regels kunt u een IP-adres of FQDN opgeven als doel voor vertaling. Als u FQDN's in DNAT-regels gebruikt, kunt u een volledig gekwalificeerde domeinnaam opgeven voor de back-endserver. Dit is met name handig in dynamische omgevingen waar het IP-adres van de back-endserver vaak kan veranderen.

Belangrijkste kenmerken:

  • Inkomende verkeersroutering naar back-endservers inschakelen.
  • Ondersteuning voor FQDN-gebaseerde targeting voor dynamische omgevingen.
  • Handig voor scenario's waarvoor flexibele back-endserverconfiguraties zijn vereist.

Netwerkregels

Netwerkregels worden gebruikt voor het filteren van verkeer op basis van een TCP- of UDP-protocol, zoals Network Time Protocol (NTP), Secure Shell (SSH) en Extern bureaublad Protocol (RDP). In tegenstelling tot toepassingsregels zijn netwerkregels niet afhankelijk van een proxy op toepassingsniveau of de SNI-header.

Opmerking

Netwerkregels met FQDN-filtering bieden geen ondersteuning voor het gebruik van jokertekens. Deze beperking is opzettelijk ontworpen.

Belangrijkste kenmerken:

  • Van toepassing op alle TCP- en UDP-protocollen.
  • Ideaal voor niet-HTTP/S- of MSSQL-verkeer.
  • Op de netwerklaag werken zonder protocolspecifieke inspectie.

Toepassingsregels

Toepassingsregels zijn ontworpen voor het filteren van HTTP/S- en MSSQL-verkeer. Ze zijn afhankelijk van een transparante proxy op toepassingsniveau en de SNI-header (Server Name Indication) om onderscheid te maken tussen FQDN's die worden omgezet in hetzelfde IP-adres. Deze regels zijn ideaal voor scenario's waarin u de toegang tot webservices of databases moet beheren.

Belangrijkste kenmerken:

  • Het meest geschikt voor HTTP/S- en MSSQL-protocollen.
  • Gebruik FQDN-tags voor Azure-services zoals Azure Backup en HDInsight.
  • Geef een nauwkeurigere granulariteit op voor ondersteunde protocollen.

Door inzicht te krijgen in de verschillen tussen deze regeltypen, kunt u Azure Firewall effectief configureren om te voldoen aan de behoeften van uw organisatie voor beveiliging en verkeersbeheer.

Volgende stappen

  • Laatst bijgewerkt om