Samouczek: wdrażanie i konfigurowanie Azure Firewall i zasad w sieci hybrydowej przy użyciu portalu Azure

Po połączeniu sieci lokalnej z siecią wirtualną Azure w celu utworzenia sieci hybrydowej należy kontrolować dostęp do zasobów sieciowych Azure w ramach ogólnego planu zabezpieczeń.

Azure Firewall i zasady zapory kontrolują dostęp sieciowy w sieci hybrydowej przy użyciu reguł definiujących dozwolony i blokowany ruch sieciowy.

W tym samouczku utworzysz trzy sieci wirtualne:

• VNet-Hub - Zapora znajduje się w tej sieci wirtualnej.
• VNet-Spoke — sieć wirtualna szprych reprezentuje obciążenie znajdujące się na Azure.
• VNet-Onprem — lokalna sieć wirtualna reprezentuje sieć lokalną. W rzeczywistym wdrożeniu można nawiązać połączenie przy użyciu połączenia sieci VPN lub usługi ExpressRoute. Dla uproszczenia w tym samouczku użyto połączenia z bramą VPN, a sieć wirtualna zlokalizowana na platformie Azure pełni rolę sieci lokalnej.

Z tego samouczka dowiesz się, jak wykonywać następujące czynności:

Aby zamiast tego użyć Azure PowerShell, zobacz Wdrażanie i konfigurowanie Azure Firewall w sieci hybrydowej przy użyciu Azure PowerShell.

Wymagania wstępne

Sieć hybrydowa używa modelu architektury piasty i szprych do kierowania ruchu między sieciami wirtualnymi platformy Azure i sieciami lokalnymi. Architektura piasty i szprych ma następujące wymagania:

• Aby kierować ruch podsieci połączonej przez zaporę koncentratora, użyj trasy zdefiniowanej przez użytkownika (UDR), wskazującej zaporę i z wyłączoną opcją Propagacja tras bramy sieci wirtualnej. Wyłączona opcja Propagacja tras bramy sieci wirtualnej zapobiega dystrybucji tras do podsieci szprychowych. Ta opcja zapobiega konfliktom wyuczonych tras z trasą zdefiniowaną przez użytkownika (UDR). Jeśli chcesz pozostawić włączoną propagację tras bramy sieci wirtualnej, upewnij się, że zdefiniujesz konkretne trasy do zapory, aby zastąpić trasy ogłaszane ze środowiska lokalnego za pośrednictwem protokołu BGP.
• Skonfiguruj trasę zdefiniowaną przez użytkownika w podsieci bramy centralnej, która wskazuje adres IP zapory jako następny przeskok do sieci typu spoke. W podsieci Azure Firewall nie jest wymagana trasa zdefiniowana przez użytkownika (UDR), ponieważ usługa uczy się tras z protokołu BGP.

Aby dowiedzieć się, jak utworzyć te trasy, zobacz Utwórz trasy w tym samouczku.

Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem utwórz bezpłatne konto.

Utwórz sieć wirtualną centrum zapory

Najpierw utwórz grupę zasobów zawierającą zasoby do celów tego samouczka:

1. Zaloguj się w witrynie Azure Portal.
2. Na stronie głównej portalu Azure wybierz pozycje Grupy zasobów>Utwórz.
3. W obszarze Subskrypcja wybierz swoją subskrypcję.
4. W polu Nazwa grupy zasobów wprowadź FW-Hybrid-Test.
5. W obszarze Region wybierz pozycję (STANY USA) Wschodnie stany USA. Wszystkie utworzone później zasoby muszą znajdować się w tej samej lokalizacji.
6. Wybierz Przejrzyj + Utwórz, a następnie wybierz Utwórz.

Następnie utwórz sieć wirtualną:

1. Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.
2. W obszarze Sieć wybierz pozycję Sieć wirtualna, a następnie wybierz pozycję Utwórz.
3. W polu Grupa zasobów wybierz pozycję FW-Hybrid-Test.
4. W polu Nazwa wprowadź wartość VNet-hub.
5. Na karcie Zabezpieczenia wybierz pozycję Dalej.
6. W polu Przestrzeń adresowa IPv4 wprowadź wartość 10.5.0.0/16.
7. W obszarze Podsieci wybierz pozycję domyślne.
8. W obszarze Cel podsieci wybierz pozycję Azure Firewall.
9. W polu Adres początkowy wprowadź wartość 10.5.0.0/26.
10. Wybierz pozycję Zapisz, wybierz pozycję Przejrzyj i utwórz, a następnie wybierz pozycję Utwórz.

Utwórz drugą podsieć dla bramy.

1. Na stronie VNet-hub wybierz pozycję Podsieci.
2. Wybierz pozycję +Podsieć.
3. W polu Przeznaczenie podsieci wybierz pozycję Brama sieci wirtualnej.
4. W polu Adres początkowy wprowadź 10.5.2.0/26.
5. Wybierz Dodaj.

Utwórz wirtualną sieć typu szprychy

1. Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.
2. W obszarze Sieć wybierz pozycję Sieć wirtualna, a następnie wybierz pozycję Utwórz.
3. W polu Grupa zasobów wybierz pozycję FW-Hybrid-Test.
4. W polu Nazwa wprowadź wartość VNet-Spoke.
5. W obszarze Region wybierz pozycję (STANY USA) Wschodnie stany USA.
6. Wybierz Dalej. Na karcie Zabezpieczenia wybierz pozycję Dalej.
7. W polu Przestrzeń adresowa IPv4 wprowadź wartość 10.6.0.0/16.
8. W obszarze Podsieci wybierz pozycję domyślne.
9. W polu Nazwa wprowadź SN-Workload.
10. W polu Adres początkowy wprowadź wartość 10.6.0.0/24.
11. Wybierz pozycję Zapisz, wybierz pozycję Przejrzyj i utwórz, a następnie wybierz pozycję Utwórz.

Tworzenie lokalnej sieci wirtualnej

1. Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.
2. W obszarze Sieć wybierz pozycję Sieć wirtualna, a następnie wybierz pozycję Utwórz.
3. W polu Grupa zasobów wybierz pozycję FW-Hybrid-Test.
4. W polu Nazwa wprowadź VNet-OnPrem.
5. W obszarze Region wybierz pozycję (STANY USA) Wschodnie stany USA.
6. Wybierz Dalej. Na karcie Zabezpieczenia wybierz pozycję Dalej.
7. W polu Przestrzeń adresowa IPv4 wprowadź wartość 192.168.0.0/16.
8. W obszarze Podsieci wybierz pozycję domyślne.
9. W polu Nazwa wprowadź SN-Corp.
10. Dla pola Adres początkowy wprowadź 192.168.1.0/24.
11. Wybierz pozycję Zapisz, wybierz pozycję Przejrzyj i utwórz, a następnie wybierz pozycję Utwórz.

Utwórz drugą podsieć dla bramy.

1. Na stronie VNet-OnPrem wybierz pozycję Podsieci.
2. Wybierz pozycję +Podsieć.
3. W polu Przeznaczenie podsieci wybierz pozycję Brama sieci wirtualnej.
4. W polu Adres startowy wprowadź 192.168.2.0/24.
5. Wybierz Dodaj.

Konfigurowanie i wdrażanie zapory

Wdróż zaporę w wirtualnej sieci centralnej zapory.

1. Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.

2. Wyszukaj pozycję Zapora, wybierz ją z wyników, a następnie wybierz pozycję Utwórz.

3. W sekcji Tworzenie zapory użyj poniższej tabeli, aby skonfigurować zaporę:

   Ustawienie	Wartość
   Subskrypcja	<Twoja subskrypcja>
   Grupa zasobów	FW-Hybrid-Test
   Nazwisko	AzFW01
   Region	Wschodnie stany USA
   Warstwa zapory	Standard
   Zarządzanie zaporą	Użyj polityki zapory, aby zarządzać tą zaporą
   Zasady zapory	Dodaj nowe: hybrid-test-pol Wschodnie stany USA
   Wybieranie sieci wirtualnej	Użyj istniejącego: Koncentrator sieci wirtualnej
   Publiczny adres IP	Dodaj nowy: fw-pip

4. Usuń zaznaczenie pola Włącz kartę sieciową zarządzania zaporą dla konfiguracji bezpośredniego połączenia z internetem w tym samouczku, a następnie wybierz Następne: Zaawansowane.

5. Na potrzeby tego samouczka pozostaw opcję Włącz bramę NAT niezaznaczoną. Aby skonfigurować bramę NAT StandardV2 podczas tworzenia zapory, zobacz Integruj bramę NAT z Azure Firewall.

6. Wybierz Następne: Tagi, a potem Następne: Przeglądaj + tworz. Przejrzyj ustawienia, a następnie wybierz pozycję Utwórz.

   Wdrożenie zajmuje kilka minut.

7. Po zakończeniu wdrażania przejdź do grupy zasobów FW-Hybrid-Test i wybierz zaporę AzFW01 .

8. Zanotuj prywatny adres IP. Będzie ona używana później podczas tworzenia trasy domyślnej.

Konfigurowanie reguł sieci

Najpierw dodaj regułę sieci, aby zezwolić na ruch internetowy.

1. W grupie zasobów FW-Hybrid-Test wybierz zasady zapory hybrid-test-pol.
2. W obszarze Ustawienia wybierz pozycję Reguły sieci.
3. Wybierz pozycję Dodaj kolekcję reguł.
4. W polu Nazwa wprowadź RCNet01.
5. W polu Priorytet wprowadź wartość 100.
6. W polu Akcja kolekcji reguł wybierz opcję Zezwalaj.
7. W obszarze Reguły w polu Nazwa wprowadź wartość AllowWeb.
8. W polu Typ źródła wybierz pozycję Adres IP.
9. W polu Źródło wprowadź wartość 192.168.1.0/24.
10. W polu Protokół wybierz TCP.
11. W polu Porty docelowe wprowadź wartość 80.
12. W polu Typ miejsca docelowego wybierz pozycję Adres IP.
13. W polu Miejsce docelowe wprowadź wartość 10.6.0.0/16.
14. Wybierz Dodaj.

Tworzenie i łączenie bram sieci VPN

Hub i lokalne sieci wirtualne są połączone za pośrednictwem bram VPN.

Tworzenie bram sieci VPN

Utwórz bramę sieci VPN zarówno dla sieci wirtualnych typu hub, jak i lokalnych sieci wirtualnych. Konfiguracje sieć-sieć wymagają typu sieci VPN RouteBased. Tworzenie bramy sieci VPN może potrwać 45 minut lub dłużej, w zależności od wybranej jednostki SKU bramy sieci VPN.

Powtórz następujące kroki dla każdej bramy, używając wartości w tabeli.

1. Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.
2. W polu wyszukiwania wpisz bramę sieci wirtualnej i naciśnij klawisz Enter.
3. Wybierz pozycję Brama sieci wirtualnej, a następnie wybierz pozycję Utwórz.
4. Wprowadź nazwę z tabeli.
5. W polu Region wybierz ten sam region, który był wcześniej używany.
6. W polu Typ bramy wybierz pozycję VPN.
7. Dla SKU wybierz VpnGw1AZ. Nowe wdrożenia wymagają SKU wspieranego w strefie dostępności. Więcej informacji można znaleźć w artykule VPN Gateway SKU consolidation.
8. Wybierz sieć wirtualną z tabeli.
9. Ustaw opcję Włącz tryb aktywny-aktywny na Włączony, aby każda brama miała dwa publiczne adresy IP wymienione w tabeli.
10. W polu Publiczny adres IP wybierz pozycję Utwórz nowy i wprowadź nazwę z tabeli.
11. W polu Drugi publiczny adres IP wybierz pozycję Utwórz nowy i wprowadź nazwę z tabeli.
12. Zaakceptuj pozostałe wartości domyślne, wybierz pozycję Przejrzyj i utwórz, a następnie wybierz pozycję Utwórz.

Tworzenie połączeń sieci VPN

Utwórz połączenia sieci VPN między centralnym węzłem a bramami lokalnymi. Potrzebujesz połączenia w obu kierunkach, a współdzielony klucz musi być taki sam po obu stronach.

Powtórz następujące kroki dla każdego połączenia, używając wartości w tabeli.

1. Otwórz grupę zasobów FW-Hybrid-Test i wybierz bramę z tabeli.
2. W obszarze Ustawienia wybierz pozycję Połączenia w lewej kolumnie.
3. Wybierz Dodaj.
4. Wprowadź nazwę połączenia z tabeli.
5. W polu Typ połączenia wybierz pozycję VNet-to-VNet.
6. Wybierz pozycję Dalej: Ustawienia.
7. Wybierz z tabeli pierwszą bramę sieci wirtualnej i drugą bramę sieci wirtualnej .
8. Dla klucza współdzielonego (PSK) wprowadź silny klucz współdzielony, który wygenerujesz dla tego laboratorium. Używaj tej samej wartości dla obu połączeń i przechowuj ją bezpiecznie. Nie używaj ponownie opublikowanej wartości przykładu.
9. Wybierz Przejrzyj + utwórz, a następnie wybierz Utwórz.

Weryfikowanie połączenia

Po około pięciu minutach stan obu połączeń powinien mieć wartość Połączono.

Komunikacja równorzędna pomiędzy sieciami wirtualnymi koncentratora i szprychy

Skonfiguruj komunikację równorzędną sieci wirtualnych w topologii piasty i szprych.

1. Otwórz grupę zasobów FW-Hybrid-Test i wybierz sieć wirtualną VNet-hub.

2. W lewej kolumnie wybierz pozycję Peerings.

3. Wybierz Dodaj.

4. W obszarze Podsumowanie zdalnej sieci wirtualnej:

   Nazwa ustawienia	Wartość
   Nazwa łącza komunikacji równorzędnej	SpoketoHub
   Subskrypcja	<Twoja subskrypcja>
   Sieć wirtualna	VNet — szprycha
   Zezwalaj "VNet-Spoke" na dostęp do sieci wirtualnej "VNet-hub"	wybrane
   Zezwól „VNet-Spoke” na odbieranie przekazywanego ruchu z „VNet-Hub”	wybrane
   Zezwalaj bramie lub serwerowi tras w „VNet-Spoke” na przekazywanie ruchu do „VNet-Hub”	nie wybrano
   Włącz „VNet-Spoke”, aby korzystał z bramy zdalnej lub serwera tras „VNet-hub”.	wybrane

5. W obszarze Podsumowanie lokalnej sieci wirtualnej:

   Nazwa ustawienia	Wartość
   Nazwa łącza komunikacji równorzędnej	HubtoSpoke
   Zezwalaj elementowi „VNet-hub” na dostęp do „VNet-Spoke”	wybrane
   Zezwalaj "VNet-hub" na odbieranie przekazywanego ruchu z "VNet-Spoke"	wybrane
   Zezwalaj bramie lub serwerowi tras w „VNet-Hub” na przekazywanie ruchu do „VNet-Spoke”	wybrane
   Włącz opcję "VNet-hub", aby użyć zdalnej bramy lub serwera tras "VNet-Spoke"	nie wybrano

6. Wybierz Dodaj.

   

Tworzenie tras

Następnie utwórz dwie tabele tras:

• Trasa z podsieci bramy centralnej do podsieci odgałęzienia przez adres IP zapory
• Domyślna trasa z podsieci spoke przez adres IP zapory

Powtórz następujące kroki dla każdej tabeli tras przy użyciu wartości w tabeli.

1. Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.
2. W polu wyszukiwania wpisz tabela tras i naciśnij klawisz Enter.
3. Wybierz pozycję Tabela tras, a następnie wybierz pozycję Utwórz.
4. Wybierz grupę zasobów FW-Hybrid-Test.
5. W polu Region wybierz tę samą lokalizację, która była wcześniej używana.
6. Wprowadź nazwę tabeli tras z tabeli. Jeśli ma to zastosowanie, ustaw opcję Propagacja trasy bramy na Nie.
7. Wybierz Przejrzyj + Utwórz, a następnie wybierz Utwórz.
8. Po utworzeniu tabeli tras wybierz ją, aby otworzyć stronę tabeli tras.
9. W obszarze Ustawienia wybierz pozycję Trasy w lewej kolumnie.
10. Wybierz Dodaj.
11. Wprowadź nazwę trasy z tabeli.
12. W polu Typ miejsca docelowego wybierz pozycję Adresy IP.
13. Wprowadź docelowe adresy IP/zakresy CIDR z tabeli.
14. W obszarze Typ następnego skoku wybierz pozycję Urządzenie wirtualne.
15. W polu Adres następnego przeskoku wpisz zanotowany wcześniej prywatny adres IP zapory.
16. Wybierz Dodaj.

Skojarz każdą tabelę tras z podsiecią.

1. Na stronie tabeli tras wybierz pozycję Podsieci.
2. Wybierz pozycję Skojarz.
3. Wybierz sieć wirtualną i podsieć z tabeli.
4. Wybierz przycisk OK.

Tworzenie maszyn wirtualnych

Utwórz obciążenie szprychy i lokalne maszyny wirtualne i umieść je w odpowiednich podsieciach.

Utwórz maszynę wirtualną obciążenia

Utwórz maszynę wirtualną w sieci wirtualnej typu 'spoke' z uruchomionym serwerem NGINX, bez publicznego adresu IP.

1. Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.
2. W obszarze Popularne produkty z witryny Marketplace wybierz pozycję Ubuntu Server 24.04 LTS.
3. Wprowadź następujące wartości dla maszyny wirtualnej:
   • Grupa zasobów - Wybierz FW-Hybrid-Test
   • Nazwa maszyny wirtualnej: VM-Spoke-01
   • Region — ten sam region, który był wcześniej używany
   • Obraz — Ubuntu Server 24.04 LTS — x64 Gen2
   • Rozmiar — Standard_B2s
   • Typ uwierzytelniania — klucz publiczny SSH
   • Nazwa użytkownika: azureuser
   • Źródło klucza publicznego SSH — generowanie nowej pary kluczy
   • Nazwa pary kluczy - VM-Spoke-01_key
4. W polu Publiczne porty wejściowe wybierz Brak.
5. Wybierz pozycję Dalej: Dyski, zaakceptuj wartości domyślne, a następnie wybierz pozycję Dalej: Sieć.
6. Wybierz pozycję VNet-Spoke dla sieci wirtualnej, a podsieć to SN-Workload.
7. W obszarze Publiczny adres IP wybierz pozycję Brak.
8. Wybierz pozycję Dalej: Zarządzanie, a następnie wybierz pozycję Dalej: Monitorowanie.
9. Dla opcji Diagnostyka rozruchu wybierz pozycję Wyłącz.
10. Wybierz pozycję Przejrzyj i utwórz, przejrzyj ustawienia na stronie podsumowania, a następnie wybierz pozycję Utwórz.
11. W oknie dialogowym Generowanie nowej pary kluczy wybierz pozycję Pobierz klucz prywatny i utwórz zasób. Zapisz plik klucza jako VM-Spoke-01_key.pem.

Instalowanie serwera Nginx

Po utworzeniu maszyny wirtualnej zainstaluj serwer internetowy Nginx.

Domyślna trasa sieci spoke kieruje ruch internetowy przez Azure Firewall. Reguła AllowWeb zezwala na ruch HTTP z sieci lokalnej do sieci typu spoke, a nie na pobieranie pakietów z tej sieci. Dodaj tymczasową regułę aplikacji do instalacji i usuń ją przed testowaniem zapory.

1. Otwórz hybrid-test-pol. W obszarzeReguły> wybierz pozycję Reguły> aplikacjiDodaj kolekcję reguł.

2. Wprowadź następujące wartości:

   Ustawienie	Wartość
   Nazwisko	Install-Nginx
   Typ kolekcji reguł	Application
   Priority	100
   Akcja zbierania reguł	Zezwalaj
   Grupa kolekcji reguł	DefaultApplicationRuleCollectionGroup
   Nazwa reguły	Zezwalanie na repozytoria pakietów
   Typ źródła	Adres IP
   Source	10.6.0.0/24
   Protokół:port	http:80, https:443
   Typ miejsca docelowego	FQDN
   Docelowe nazwy FQDN	azure.archive.ubuntu.com, archive.ubuntu.com, security.ubuntu.com, packages.microsoft.com

3. Wybierz Dodaj i poczekaj na zakończenie aktualizacji polityki. Zachowaj domyślne ustawienia DNS dostarczone przez maszynę wirtualną Azure dla tego tutoriala.

4. W witrynie Azure Portal otwórz usługę Cloud Shell i upewnij się, że jest ona ustawiona na powłokę Bash.

5. Użyj polecenia az vm run-command invoke, aby zainstalować nginx na maszynie wirtualnej:

   az vm run-command invoke \
      --resource-group FW-Hybrid-Test \
      --name VM-Spoke-01 \
      --command-id RunShellScript \
      --scripts 'set -eu; sudo apt-get update; sudo apt-get install -y nginx; hostname | sudo tee /var/www/html/index.html; curl --fail http://localhost'
   

   1. Potwierdź, że polecenie zakończy się pomyślnie i zwróci z lokalnego serwera WWW nazwę hosta maszyny wirtualnej spoke. Jeśli pobieranie pakietów się nie powiedzie, sprawdź nazwę hosta repozytorium w komunikacie o błędzie i porównaj ją z regułą tymczasową. Zezwalaj tylko na skonfigurowane repozytoria pakietów; nie dodawaj reguły internetowej z symbolem wieloznacznym. Zobacz Rozwiązywanie typowych problemów z APT na Ubuntu.
   2. Wróć do hybrid-test-pol i usuń kolekcję reguł Install-Nginx. Poczekaj na zakończenie aktualizacji polityki, zanim będziesz kontynuować.

Tworzenie maszyny wirtualnej w środowisku lokalnym

Użyj tej maszyny wirtualnej, aby nawiązać połączenie przy użyciu Azure Bastion. Z tego miejsca nawiąż połączenie z serwerem szprych za pośrednictwem zapory.

1. Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.
2. W obszarze Popularne produkty z witryny Marketplace wybierz pozycję Ubuntu Server 24.04 LTS.
3. Wprowadź następujące wartości dla maszyny wirtualnej:
   • Grupa zasobów — wybierz istniejącą, a następnie wybierz pozycję FW-Hybrid-Test.
   • Nazwa - maszyny wirtualnej VM-Onprem.
   • Region — ten sam region, który był wcześniej używany.
   • Obraz — Ubuntu Server 24.04 LTS — x64 Gen2
   • Rozmiar — Standard_B2s
   • Typ uwierzytelniania — klucz publiczny SSH
   • Nazwa użytkownika: azureuser
   • Źródło klucza publicznego SSH — generowanie nowej pary kluczy
   • Nazwa pary kluczy - VM-Onprem_key
4. W polu Publiczne porty wejściowe wybierz Brak.
5. Wybierz pozycję Dalej: Dyski, zaakceptuj wartości domyślne, a następnie wybierz pozycję Dalej: Sieć.
6. Wybierz pozycję VNet-Onprem dla sieci wirtualnej, a podsieć to SN-Corp.
7. W obszarze Publiczny adres IP wybierz pozycję Brak. Łączysz się przez Bastion w tej wirtualnej sieci.
8. Wybierz pozycję Dalej: Zarządzanie, a następnie wybierz pozycję Dalej: Monitorowanie.
9. Dla opcji Diagnostyka rozruchu wybierz pozycję Wyłącz.
10. Wybierz pozycję Przejrzyj i utwórz, przejrzyj ustawienia na stronie podsumowania, a następnie wybierz pozycję Utwórz.
11. W oknie dialogowym Generowanie nowej pary kluczy wybierz pozycję Pobierz klucz prywatny i utwórz zasób. Zapisz plik klucza jako vm-Onprem_key.pem.

Wdrażanie usługi Azure Bastion

Wdróż usługę Azure Bastion Basic w sieci VNet-Onprem, aby połączyć się bezpośrednio z maszyną VM-Onprem. Połączenie między przeglądarką a maszyną wirtualną nie musi przechodzić przez bramy VPN. Żądanie internetowe, które wysyłasz z VM-Onprem, nadal przechodzi przez połączenie VPN i zaporę Azure Firewall, aby dotrzeć do sieci spoke.

1. Otwórz VNet-Onprem, wybierz Podsieci i wybierz + Podsieć.

2. Wybierz Azure Bastion dla opcji Przeznaczenie podsieci. Potwierdź, że nazwa to AzureBastionSubnet, wpisz 192.168.3.0 jako adres początkowy i wybierz /26 dla rozmiaru. Wybierz Dodaj.

3. W menu witryny Azure Portal wybierz pozycję Utwórz zasób.

4. W polu wyszukiwania wpisz Bastion i wybierz go z wyników.

5. Wybierz pozycję Utwórz.

6. Na stronie Tworzenie usługi Bastion skonfiguruj następujące ustawienia:

   Ustawienie	Wartość
   Subskrypcja	Wybierz swoją subskrypcję
   Grupa zasobów	FW-Hybrid-Test
   Nazwisko	Onprem-Bastion
   Region	Takie same jak inne zasoby
   Warstwa	Basic
   Sieć wirtualna	VNet-Onprem
   Podsieci	AzureBastionSubnet
   Publiczny adres IP	Stwórz nowy Standardowy, statyczny publiczny adres IP o nazwie public-ip-bastion.

   Bastion Basic wymaga dedykowanej podsieci i publicznego adresu IP i pobiera opłaty podczas wdrożenia. Informacje o wymaganiach dotyczących konfiguracji można znaleźć w artykule Ustawienia konfiguracji usługi Azure Bastion.

7. Wybierz pozycję Przejrzyj i utwórz. Po zakończeniu walidacji wybierz pozycję Utwórz.

Testowanie zapory

1. Najpierw zanotuj prywatny adres IP maszyny wirtualnej VM-spoke-01 .

2. W portalu Azure przejdź do maszyny wirtualnej VM-Onprem.

3. Wybierz Połącz>przez Bastion.

4. Wybierz pozycję Użyj klucza prywatnego SSH z pliku lokalnego.

5. W polu Nazwa użytkownika wpisz azureuser.

6. Przejdź do pobranego wcześniej pliku VM-Onprem_key.pem i wybierz go.

7. Wybierz i podłącz.

8. Z sesji SSH na VM-Onprem przetestuj serwer internetowy w sieci wirtualnej typu spoke:

   curl http://<VM-spoke-01 private IP>
   

   Serwer internetowy zwraca odpowiedź.

Następnie zmień akcję kolekcji reguł sieciowych zapory na Odrzuć, aby sprawdzić, czy reguły zapory działają zgodnie z oczekiwaniami.

1. Wybierz zasady zapory hybrid-test-pol.
2. Wybierz pozycję Kolekcje reguł.
3. Wybierz kolekcję reguł RCNet01.
4. W polu Akcja zbierania reguł wybierz pozycję Odmów.
5. Wybierz pozycję Zapisz.

Uruchom ponownie test. Tym razem test zakończy się niepowodzeniem.

Czyszczenie zasobów

Zachowaj zasoby zapory na potrzeby następnego samouczka lub jeśli nie są już potrzebne, usuń grupę zasobów FW-Hybrid-Test , aby usunąć wszystkie zasoby związane z zaporą.

Następne kroki