Usługa SNAT dla zakresów prywatnych adresów IP w usłudze Azure Firewall

Użyj programu Azure PowerShell, aby określić zakresy prywatnych adresów IP dla zapory.

Nowa zapora

Aby utworzyć nową zaporę korzystającą z klasycznych reguł, użyj polecenia New-AzFirewall, aby ją utworzyć:

$azFw = @{
   Name               = '<fw-name>'
   ResourceGroupName  = '<resourcegroup-name>'
   Location           = '<location>'
   VirtualNetworkName = '<vnet-name>'
   PublicIpName       = '<public-ip-name>'
   PrivateRange       = @("IANAPrivateRanges", "192.168.1.0/24", "192.168.1.10")
}

New-AzFirewall @azFw

Istniejąca zapora

Aby skonfigurować istniejącą zaporę używającą klasycznych reguł, pobierz zaporę za pomocą Get-AzFirewall i zaktualizuj ją za pomocą Set-AzFirewall:

$azfw = Get-AzFirewall -Name '<fw-name>' -ResourceGroupName '<resourcegroup-name>'
$azfw.PrivateRange = @("IANAPrivateRanges", "192.168.1.0/24", "192.168.1.10")
Set-AzFirewall -AzureFirewall $azfw

Użyj Azure CLI, aby określić prywatne zakresy adresów IP dla zapory.

Nowa zapora

Dla nowej zapory sieciowej używającej klasycznych reguł utwórz zaporę za pomocą polecenia az network firewall create:

az network firewall create \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

Istniejąca zapora

Aby skonfigurować istniejącą zaporę opartą na klasycznych regułach, zaktualizuj zaporę, korzystając z aktualizacji zapory sieciowej AZ:

az network firewall update \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

Reguły klasyczne

Aby skonfigurować protokół SNAT podczas wdrażania szablonu usługi ARM, dodaj następujący kod do additionalProperties właściwości :

"additionalProperties": {
   "Network.SNAT.PrivateRanges": "IANAPrivateRanges, IPRange1, IPRange2"
},

Zasady zapory

Zapory Azure powiązane z polityką zapory wspierają prywatne zakresy SNAT począwszy od API wersji 2020-11-01. Użyj szablonu, aby zaktualizować prywatny zakres SNAT w polityce zapory. Poniższy przykład konfiguruje zaporę tak, aby zawsze stosować SNAT dla ruchu sieciowego.

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "privateRanges": "[255.255.255.255/32]"
      }
   }
}

Reguły klasyczne

Użyj witryny Azure Portal, aby określić zakresy prywatnych adresów IP dla zapory.

1. Wybierz grupę zasobów, a następnie wybierz zaporę.

2. W panelu Przegląd , w sekcji Prywatne zakresy IP, wybierz domyślną wartość IANA RFC 1918.

   Strona Edytuj prefiksy prywatnych adresów IP zostanie otwarta:

3. Domyślnie Azure Firewall konfiguruje IANAPrivateRanges.

4. Edytuj zakresy prywatnych adresów IP dla środowiska, a następnie wybierz pozycję Zapisz.

Zasady zapory

1. Wybierz grupę zasobów, a następnie wybierz politykę zapory.
2. Wybierz pozycję Zakresy prywatnych adresów IP (SNAT) w kolumnie Ustawienia .
3. Wybierz warunki do wykonania SNAT dla środowiska w obszarze Wykonaj SNAT, aby dostosować konfigurację SNAT .
4. Wybierz Zastosuj.

Azure CLI nie obsługuje konfigurowania tras SNAT uczonych automatycznie. Użyj szablonu ARM, Azure PowerShell lub portalu Azure.

Użyj następującego JSON, aby włączyć automatyczne uczenie się w polityce zapory:

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "autoLearnPrivateRanges": "Enabled"
      }
   }
}

Użyj następującego JSON, aby powiązać Azure Route Server z zaporą:

{
   "type": "Microsoft.Network/azureFirewalls",
   "apiVersion": "2024-05-01",
   "name": "[parameters('azureFirewalls_testFW_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "name": "AZFW_VNet",
         "tier": "Standard"
      },
      "threatIntelMode": "Alert",
      "additionalProperties": {
         "Network.RouteServerInfo.RouteServerID": "[parameters('virtualHubs_TestRouteServer_externalid')]"
      }
   }
}

W poniższych przykładach zastąp nazwy zmiennych ($azureFirewallName, $rgname, $location, itd.) własnymi wartościami.

1. Stwórz nową zaporę z identyfikatorem Route Server, używając New-AzFirewall.

   # Specify the Route Server resource ID
   $routeServerId="/subscriptions/your_sub/resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
   
   # Create the firewall
   $azureFirewall = New-AzFirewall -Name $azureFirewallName `
       -ResourceGroupName $rgname `
       -Location $location `
       -RouteServerId $routeServerId
   
   # Verify the Route Server ID is set
   Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   

2. Połącz Route Server z istniejącą zaporą, używając Get-AzFirewall i Set-AzFirewall.

   # Specify the Route Server resource ID
   $routeServerId="/subscriptions/your_sub/resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
   
   # Get the firewall
   $azFirewall = Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   
   # Associate the Route Server and update the firewall
   $azFirewall.RouteServerId = $routeServerId
   Set-AzFirewall -AzureFirewall $azFirewall
   
   # Verify the Route Server ID is updated
   Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   

3. Utwórz nowe zasady zapory z włączonym automatycznym uczeniem za pomocą New-AzFirewallPolicySnat i New-AzFirewallPolicy.

   # Include AutoLearnPrivateRange to enable auto-learn
   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange -AutoLearnPrivateRange
   
   # Create the firewall policy with SNAT configuration
   $azureFirewallPolicy = New-AzFirewallPolicy -Name $azureFirewallPolicyName `
       -ResourceGroupName $rgname `
       -Location $location `
       -Snat $snat
   
   # Verify the firewall policy
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

4. Zaktualizuj istniejącą politykę zapory za pomocą SNAT, używając New-AzFirewallPolicySnat i Set-AzFirewallPolicy.

   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange2 -AutoLearnPrivateRange
   
   # Update the firewall policy
   $azureFirewallPolicy.Snat = $snat
   Set-AzFirewallPolicy -InputObject $azureFirewallPolicy
   
   # Verify the update
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

5. Zweryfikowaj wyuczone prefiksy, używając Get-AzFirewallLearnedIpPrefiks.

   Get-AzFirewallLearnedIpPrefix -Name $azureFirewallName -ResourceGroupName $rgname
   

Aby skonfigurować automatyczne uczenie się tras SNAT na zaporze VNet za pomocą portalu Azure:

1. Wybierz zaporę, a następnie wybierz Wyuczone prefiksy adresów IP SNAT. Dodaj serwer tras.
2. Wybierz politykę zapory, a następnie wybierz Prywatne zakresy IP (SNAT). Włącz automatyczne uczenie się prefiksów IP, a następnie wybierz Zastosowaj.
3. Aby to zweryfikować, wróć do zapory i wybierz Wyuczone prefiksy IP SNAT, aby wyświetlić wyuczone trasy.

Azure CLI nie obsługuje konfigurowania tras SNAT uczonych automatycznie. Użyj szablonu ARM, Azure PowerShell lub portalu Azure.

Użyj poniższego JSON, aby włączyć automatyczne uczenie się w polityce zapory. W przypadku wdrożeń vHub nie trzeba ręcznie powiązywać usługi Azure Route Server.

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "autoLearnPrivateRanges": "Enabled"
      }
   }
}

W poniższych przykładach zastąp nazwy zmiennych ($azureFirewallName, $rgname, $location, itd.) własnymi wartościami.

1. Utwórz nowe zasady zapory z włączonym automatycznym uczeniem za pomocą New-AzFirewallPolicySnat i New-AzFirewallPolicy.

   # Include AutoLearnPrivateRange to enable auto-learn
   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange -AutoLearnPrivateRange
   
   # Create the firewall policy with SNAT configuration
   $azureFirewallPolicy = New-AzFirewallPolicy -Name $azureFirewallPolicyName `
       -ResourceGroupName $rgname `
       -Location $location `
       -Snat $snat
   
   # Verify the firewall policy
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

2. Zaktualizuj istniejącą politykę zapory za pomocą SNAT, używając New-AzFirewallPolicySnat i Set-AzFirewallPolicy.

   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange2 -AutoLearnPrivateRange
   
   # Update the firewall policy
   $azureFirewallPolicy.Snat = $snat
   Set-AzFirewallPolicy -InputObject $azureFirewallPolicy
   
   # Verify the update
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

3. Pobierz wirtualny hub korzystając z Get-AzVirtualHub , a politykę zapory za pomocą Get-AzFirewallPolicy.

   $Hub = Get-AzVirtualHub -ResourceGroupName $rgname -Name $virtualHubName
   $azureFirewallPolicy = Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

4. Stwórz publiczną konfigurację IP, używając New-AzFirewallHubPublicIpAddress oraz New-AzFirewallHubIpAddress.

   $azureFirewallPIPs = New-AzFirewallHubPublicIpAddress -Count 1
   $azureFirewallHubIPs = New-AzFirewallHubIpAddress -PublicIP $azureFirewallPIPs
   

5. Stwórz zaporę vHub z polityką auto-learn, używając New-AzFirewall.

   $azureFirewall = New-AzFirewall -Name $azureFirewallName `
       -ResourceGroupName $rgname `
       -Location $location `
       -VirtualHubId $Hub.Id `
       -FirewallPolicyId $azureFirewallPolicy.Id `
       -SkuName "AZFW_Hub" `
       -HubIPAddress $azureFirewallHubIPs `
       -SkuTier $FirewallTier
   

6. Zweryfikowaj wyuczone prefiksy, używając Get-AzFirewallLearnedIpPrefiks.

   Get-AzFirewallLearnedIpPrefix -Name $azureFirewallName -ResourceGroupName $rgname
   

Ponieważ Azure Route Server jest już wdrożony w zabezpieczonych środowiskach wirtualnych hubów, wystarczy włączyć tę funkcję w polityce zapory:

1. Wybierz politykę zapory, a następnie wybierz Prywatne zakresy IP (SNAT). Włącz automatyczne uczenie się prefiksów IP, a następnie wybierz Zastosowaj.
2. Aby to zweryfikować, wróć do zapory i wybierz Wyuczone prefiksy IP SNAT, aby wyświetlić wyuczone trasy.