Użyj zapory WAF usługi Application Gateway do ochrony aplikacji

Przegląd

Dodaj ochronę zapory aplikacji webowej (WAF) dla aplikacji opublikowanych za pomocą serwera proxy aplikacji Microsoft Entra.

Aby uzyskać więcej informacji na temat zapory aplikacji internetowej, zobacz Co to jest usługa Azure Web Application Firewall w usłudze Azure Application Gateway?.

Kroki wdrażania

Ten artykuł zawiera kroki umożliwiające bezpieczne udostępnienie aplikacji internetowej w sieci przy użyciu Microsoft Entra Application Proxy z Azure WAF w usłudze Application Gateway.

Diagram architektury przedstawiający przepływ ruchu aplikacji internetowej z Internetu za pośrednictwem zapory aplikacji internetowych platformy Azure i usługi Application Gateway do serwera proxy aplikacji firmy Microsoft Entra i serwerów aplikacji wewnętrznych.

Konfigurowanie usługi Azure Application Gateway do wysyłania ruchu do aplikacji wewnętrznej

Niektóre kroki konfiguracji usługi Application Gateway zostały pominięte w tym artykule. Aby uzyskać szczegółowy przewodnik dotyczący tworzenia i konfigurowania usługi Application Gateway, zobacz Szybki start: bezpośredni ruch internetowy za pomocą usługi Azure Application Gateway — Centrum administracyjne firmy Microsoft Entra.

1. Tworzenie odbiornika HTTPS z dostępem prywatnym

Utwórz odbiornik, aby użytkownicy mogli prywatnie uzyskiwać dostęp do aplikacji internetowej po nawiązaniu połączenia z siecią firmową.

Strona konfiguracji odbiornika usługi Application Gateway przedstawiająca ustawienia dostępu prywatnego dla użytkowników sieci firmowej.

2. Utwórz pulę zaplecza z serwerami WWW

W tym przykładzie serwery zaplecza mają zainstalowane usługi Internet Information Services (IIS).

Konfiguracja puli zaplecza Application Gateway z serwerami sieci Web IIS.

3. Tworzenie ustawienia zaplecza

Ustawienie zaplecza technicznego określa, jak żądania docierają do serwerów puli zaplecza.

Strona konfiguracji ustawień zaplecza usługi Application Gateway z parametrami routingu żądań.

4. Utwórz regułę routingu, która łączy odbiornik, pulę zaplecza i ustawienie zaplecza utworzone w poprzednich krokach

Strona konfiguracji reguły routingu usługi Application Gateway przedstawiająca krok wyboru odbiornika. Strona konfiguracji reguły routingu usługi Application Gateway przedstawiająca wybór puli zaplecza i ustawień zaplecza.

5. Włącz WAF w usłudze Application Gateway i ustaw ją na tryb ochrony

Strona konfiguracji usługi Application Gateway z włączoną zaporą aplikacji internetowej (WAF) w wybranym trybie zapobiegania.

Skonfiguruj swoją aplikację do zdalnego dostępu za pośrednictwem serwera proxy aplikacji w Microsoft Entra ID

Obie maszyny wirtualne łącznika, usługa Application Gateway i serwery zaplecza są wdrażane w tej samej sieci wirtualnej na platformie Azure. Konfiguracja ma również zastosowanie do aplikacji i łączników wdrożonych lokalnie.

Aby uzyskać szczegółowy przewodnik dotyczący dodawania aplikacji do serwera proxy aplikacji w Microsoft Entra ID, zobacz Samouczek: Dodaj aplikację lokalną do zdalnego dostępu poprzez serwer proxy aplikacji w Microsoft Entra ID. Aby uzyskać więcej informacji na temat kwestii wydajności łączników sieci prywatnej, zobacz Optymalizowanie przepływu ruchu za pomocą serwera proxy aplikacji Microsoft Entra.

Konfiguracja serwera proxy aplikacji Microsoft Entra przedstawiająca pasujące wewnętrzne i zewnętrzne adresy URL dla dostępu do portu 443.

W tym przykładzie ten sam adres URL został skonfigurowany jako wewnętrzny i zewnętrzny adres URL. Klienci zdalni uzyskują dostęp do aplikacji przez Internet na porcie 443 za pośrednictwem serwera proxy aplikacji. Klient połączony z siecią firmową uzyskuje dostęp do aplikacji prywatnie. Dostęp odbywa się za pośrednictwem usługi Application Gateway bezpośrednio na porcie 443. Aby uzyskać szczegółowy krok konfigurowania domen niestandardowych na serwerze proxy aplikacji, zobacz Configure custom domains with Microsoft Entra application proxy.

Strefa DNS (Private Domain Name System) w Azure jest tworzona z rekordem A. Rekord A wskazuje www.fabrikam.one na prywatny adres IP frontonu usługi Application Gateway. Rekord zapewnia, że maszyny wirtualne łącznika wysyłają żądania do usługi Application Gateway.

Testowanie aplikacji

Po dodaniu użytkownika do testowania, możesz przetestować aplikację, uzyskując dostęp do https://www.fabrikam.one. Użytkownik jest monitowany o uwierzytelnienie w identyfikatorze Entra firmy Microsoft, a po pomyślnym uwierzytelnieniu uzyskuje dostęp do aplikacji.

Strona logowania identyfikatora Entra firmy Microsoft z monitem o uwierzytelnienie użytkownika. Przeglądarka przedstawiająca pomyślny dostęp do aplikacji po uwierzytelnieniu.

Symulowanie ataku

Aby sprawdzić, czy WAF blokuje złośliwe żądania, możesz zasymulować atak za pomocą podstawowego wzorca iniekcji SQL. Na przykład "https://www.fabrikam.one/api/sqlquery?query=x%22%20or%201%3D1%20--".

Przeglądarka wyświetlająca błąd HTTP 403 Forbidden z powodu działania WAF blokującego próbę wstrzyknięcia SQL.

Odpowiedź HTTP 403 potwierdza, że zapora WAF zablokowała żądanie.

Dzienniki zapory Application Gateway zawierają więcej szczegółowych informacji o żądaniu i przyczynach blokowania go przez WAF.

Wpis dziennika zapory usługi Application Gateway przedstawiający szczegóły zablokowanego żądania i naruszenie reguły iniekcji SQL.

Następne kroki

  • Last updated on