Zabezpieczanie wdrożenia usługi Azure Firewall

Azure Firewall to zarządzana, sieciowa usługa zabezpieczeń oparta na chmurze, która zabezpiecza zasoby usługi Azure Virtual Network. Jako w pełni stanowa zapora sieciowa udostępniana jako usługa, z wbudowaną wysoką dostępnością i nieograniczoną skalowalnością w chmurze, Azure Firewall zapewnia centralne wymuszanie zasad dla ruchu wchodzącego, wychodzącego i przepływającego między sieciami platformy Azure.

Ten artykuł zawiera zalecenia dotyczące bezpieczeństwa dla Azure Firewall. Zaimplementowanie tych zaleceń ułatwia spełnienie zobowiązań w zakresie zabezpieczeń i poprawę ogólnego poziomu zabezpieczeń wdrożenia. Aby uzyskać przegląd usług bezpieczeństwa sieciowego Azure i ich współpracy w artykule Czym jest bezpieczeństwo sieci Azure?

Zalecenia dotyczące zabezpieczeń w tym artykule implementują zasady Zero Trust: "Weryfikuj dokładnie", "Stosuj dostęp o najmniejszych uprawnieniach" i "Zakładaj, że doszło do naruszenia". Aby uzyskać kompleksowe wskazówki dotyczące zerowego zaufania, zobacz Centrum wskazówek dotyczących zerowego zaufania.

Bezpieczeństwo sieci

Zabezpieczenia sieciowe w usłudze Azure Firewall koncentrują się na bezpiecznym wdrożeniu, scentralizowanej inspekcji i kontroli zasad, które ograniczają ekspozycję w sieciach typu hub-and-spoke i hybrydowych.

  • Wdróż Azure Firewall w dedykowanej podsieci: Użyj wymaganego AzureFirewallSubnet o minimalnym rozmiarze /26, nie wdrażaj innych zasobów w tej podsieci i utrzymuj tabele tras obciążeń roboczych w podsieciach obciążeń roboczych, a nie w podsieci zapory, chyba że udokumentowany projekt wymuszonego tunelowania wymaga tras w podsieci zapory. Więcej informacji można znaleźć w FAQ Azure Firewall.

  • Wybierz odpowiedni SKU Azure Firewall: Azure Firewall jest dostępny w trzech SKU: Basic dla małych i średnich firm z przepustowością do 250 Mbps, Standard oraz Premium. Korzystaj z Premium, gdy potrzebujesz zaawansowanych funkcji bezpieczeństwa, takich jak IDPS, inspekcja TLS czy filtrowanie URL. Używaj Standard lub Premium, gdy potrzebujesz kategorii webowych, które nie są dostępne w Basic. Aby uzyskać więcej informacji, zobacz Wybieranie odpowiedniej jednostki SKU usługi Azure Firewall, aby spełnić Twoje potrzeby.

  • Włącz filtrowanie oparte na informacji o zagrożeniach: Skonfiguruj filtrowanie oparte na inteligencji zagrożeń, aby ostrzegać o ruchu z znanych złośliwych adresów IP, FQDN i adresów URL. Użyj wersji Standard lub Premium, gdy potrzebujesz trybu alertów i blokowania, ponieważ wersja Basic obsługuje tylko tryb alertów. Aby uzyskać więcej informacji, zobacz artykuły Filtrowanie usługi Azure Firewall oparte na analizie informacji o zagrożeniach oraz Wybieranie odpowiedniej jednostki SKU usługi Azure Firewall do swoich potrzeb.

  • Implementacja IDPS do zaawansowanego wykrywania zagrożeń: Wykorzystaj system wykrywania i zapobiegania włamaniom (IDPS) Azure Firewall Premium do wykrywania i blokowania złośliwej aktywności sieciowej na podstawie sygnatur zarządzanych przez Microsoft. Dostosuj działania sygnatury, aby zmniejszyć liczbę fałszywych alarmów i odrzucić zagrożenia o wysokim poziomie pewności. Aby uzyskać więcej informacji, zobacz Funkcje usługi Azure Firewall — wersja Premium.

  • Konfiguruj funkcjonalność proxy DNS: Włącz proxy, aby klienci i Azure Firewall używali spójnego rozwiązywania nazw dla reguł opartych na FQDN. Ta konfiguracja DNS zmniejsza ryzyko obejścia reguł lub awarii połączenia spowodowanych różnymi odpowiedziami DNS. Aby uzyskać więcej informacji, zobacz Szczegóły serwera proxy DNS usługi Azure Firewall.

  • Używaj zarządzanych obiektów docelowych reguł dla platformy Azure i usług firmy Microsoft: Używaj tagów usług w regułach sieciowych oraz tagów FQDN w regułach aplikacji zamiast ręcznie zarządzać zakresami adresów IP i listami punktów końcowych usług. W przypadku protokołów TCP lub UDP, które wymagają filtrowania domenowego, należy użyć filtrowania FQDN w regułach sieciowych i włączyć proxy'e DNS. Więcej informacji można znaleźć w Przeglądzie tagów usług Azure Firewall, przeglądu tagów FQDN dla Azure Firewall oraz filtrowania FQDN w regułach sieci Azure Firewall.

  • Używaj wymuszonego tunelowania w środowiskach hybrydowych: Konfiguruj wymuszone tunelowanie, gdy ruch sieciowy musi przechodzić przez lokalne urządzenia zabezpieczające lub scentralizowane ścieżki inspekcyjne. Włącz interfejs sieciowy zarządzania i AzureFirewallManagementSubnet, aby ruch związany z zarządzaniem zaporą sieciową pozostał oddzielony od ruchu klientów. Aby uzyskać więcej informacji, zobacz Wymuszone tunelowanie usługi Azure Firewall.

  • Włącz inspekcję TLS dla szyfrowanego ruchu: Użyj inspekcji TLS Azure Firewall Premium, aby sprawdzić zaszyfrowany ruch wychodzący i wschód-zachód tam, gdzie wymaga tego polityka bezpieczeństwa. Przechowuj i zarządzaj wymaganymi certyfikatami w Azure Key Vault. Aby uzyskać więcej informacji, zobacz Certyfikaty usługi Azure Firewall — wersja Premium.

  • Rozważ użycie jawnego serwera proxy do kontrolowanego ruchu wychodzącego HTTP/S: Użyj jawnego serwera proxy usługi Azure Firewall (wersja zapoznawcza), gdy możesz skonfigurować aplikacje tak, aby wysyłały wychodzący ruch HTTP/S bezpośrednio do prywatnego adresu IP zapory, bez trasy zdefiniowanej przez użytkownika. Używaj reguł aplikacji do jawnego ruchu proxy i używaj pliku automatycznej konfiguracji proxy (PAC), gdy potrzebujesz centralnie zarządzanych ustawień proxy klienta. Więcej informacji można znaleźć w Azure Firewall explicit proxy (preview).

  • Włącz kategorie internetowe: Używaj kategorii internetowych, aby kontrolować dostęp do kategorii stron internetowych, takich jak media społecznościowe czy hazard, które nie spełniają twojej zasady użytkowania. Kategorie stron internetowych zmniejszają obciążenie administracyjne w porównaniu z utrzymywaniem list dozwolonych i blokowanych dla poszczególnych nazw FQDN. Aby uzyskać więcej informacji, zobacz Kategorie sieci Web usługi Azure Firewall.

  • Zaplanuj pojemność SNAT dla skalowania wychodzącego: Dodaj wiele publicznych adresów IP lub integruj się z Azure NAT Gateway, gdy potrzebujesz więcej portów SNAT dla dużych obciążeń wychodzących. Nie używaj NAT Gateway z zabezpieczonymi zaporami wirtualnych hubów. Używaj NAT Gateway V2, gdy potrzebujesz strefowo redundantnego SNAT z zaporą strefowo-redundantną. Więcej informacji można znaleźć w artykule Skalowanie portów SNAT z Azure NAT Gateway oraz Integracja Azure Firewall z NAT Gateway V2.

Zarządzanie tożsamością i dostępem

Zarządzanie tożsamością i dostępem dla Azure Firewall kontroluje, kto może administrować zasobami firewalla, modyfikować politykę firewall oraz automatyzować operacje na płaszczyźnie zarządzania.

  • Użyj Microsoft Entra ID na potrzeby dostępu do płaszczyzny zarządzania: Wymagaj, aby administratorzy i tożsamości automatyzacji uwierzytelniali się za pośrednictwem Microsoft Entra ID podczas zarządzania usługą Azure Firewall przy użyciu witryny Azure Portal, usługi Azure Resource Manager, interfejsu wiersza polecenia platformy Azure lub programu PowerShell. Więcej informacji można znaleźć w sekcji O rolach i uprawnieniach dla Azure Firewall.

  • Przypisz role Azure RBAC o najmniejszych uprawnieniach: Ogranicz zakres wbudowanych ról, takich jak Network Contributor, do określonej zapory, zasad zapory, grupy zasobów lub grupy zarządzania, którymi administratorzy muszą zarządzać. Unikaj szerokiego przypisywania ról Właściciel lub Współautor, gdy wystarczają uprawnienia dotyczące wyłącznie sieci. Więcej informacji można znaleźć w sekcji O rolach i uprawnieniach Azure Firewall.

  • Stwórz niestandardowe role dla dostępu tylko za pomocą polityki zapory: Używaj niestandardowych ról Azure RBAC, gdy administratorzy muszą edytować politykę zapory, ale nie powinni zarządzać sieciami wirtualnymi, publicznymi adresami IP, tabelami trasowania ani innymi zasobami sieciowymi. Aby uzyskać więcej informacji, zobacz Role niestandardowe platformy Azure.

  • Wykorzystaj Privileged Identity Management do awansu: Spraw, by role o dużym wpływie były kwalifikowane, a nie stałe aktywne. Wymagaj zatwierdzenia, uzasadnienia, uwierzytelniania wieloskładnikowego i aktywacji ograniczonej czasowo w przypadku aktywacji ról, które przyznają uprawnienia do zapisu do usługi Azure Firewall, zasad zapory, publicznych adresów IP i zasobów sieci wirtualnych — takich jak rola Network Contributor oraz wszelkie niestandardowe role administratora zapory. Więcej informacji można znaleźć w artykule o integracji Privileged Identity Management z Azure RBAC.

  • Wymagaj dostępu warunkowego dla sesji administracyjnych: Stosuj polityki dostępu warunkowego, które wymagają uwierzytelniania wieloskładnikowego i zgodności urządzeń dla tożsamości mogących tworzyć, modyfikować lub usuwać instancje Azure Firewall, polityki zapory, publiczne adresy IP, tabele tras oraz wirtualne sieci hub, od których zapora zależy. Więcej informacji można znaleźć w artykule Wymagaj MFA dla zarządzania Azure.

  • Ogranicz uprawnienia głównych usług dla automatyzacji: Przypisz tożsamości automatyzacji tylko te uprawnienia niezbędne do wdrożenia, eksportu lub aktualizacji zasobów i polityk zapory oraz określ zakres tych przydziałów w jak najwęższym zakresie. Preferuj zarządzane tożsamości, gdy są wspierane przez platformę automatyzacji. Więcej informacji można znaleźć w sekcji O rolach i uprawnieniach dla Azure Firewall.

  • Oddzielne obowiązki między poziomami administratora: Zaprojektuj model administratora w warstwach, w którym zespoły DevOps mogą żądać lub wdrażać zmian aplikacji, ale nie mogą bezpośrednio modyfikować wspólnej polityki bezpieczeństwa, a administratorzy bezpieczeństwa zatwierdzają lub zarządzają polityką zapory. Używaj przypisań ról, rol niestandardowych i pipeline'ów wdrożeniowych, aby egzekwować podział obowiązków. Więcej informacji można znaleźć w sekcji O rolach i uprawnieniach dla Azure Firewall.

Ochrona danych

Ochrona danych w Azure Firewall koncentruje się na ochronie kontrolowanego ruchu, danych konfiguracyjnych, certyfikatów oraz logów, które mogą zawierać wrażliwe informacje sieciowe.

  • Wdróż inspekcję TLS z odpowiednim zarządzaniem certyfikatami: Przechowuj pośredni certyfikat urzędu certyfikacji (CA) używany do inspekcji TLS w usłudze Azure Key Vault i nadaj zarządzanej tożsamości zapory tylko wymagane uprawnienia do wpisów tajnych. Do tej integracji użyj modelu polityki dostępu Key Vault, ponieważ Azure Firewall nie obsługuje autoryzacji Azure RBAC do pobierania certyfikatów inspekcji TLS. Aby uzyskać więcej informacji, zobacz Certyfikaty usługi Azure Firewall — wersja Premium.

  • Ogranicz dostęp do protokołów szyfrowanych: Skonfiguruj reguły zapory tak, aby umożliwiały szyfrowane protokoły (takie jak HTTPS) oraz blokuj lub ograniczaj porty tekstu jawnego, jeśli pozwalają na to wymagania biznesowe. Łączenie zbiorów reguł z priorytetami i kolejnością przetwarzania pomaga egzekwować te decyzje w przewidywalny sposób. Więcej informacji można znaleźć w artykule Azure Firewall rule processing logic.

  • Używaj filtrowania URL do szczegółowej kontroli: Stosuj filtrowanie URL, aby kontrolować kompletne URL, a nie tylko FQDN, gdy potrzebujesz precyzyjnych decyzji o zezwalaniu lub odrzucaniu ruchu internetowego. To filtrowanie pomaga blokować złośliwe ścieżki hostowane na legalnych domenach. Aby uzyskać więcej informacji, zobacz Funkcje usługi Azure Firewall — wersja Premium.

  • Ogranicz dostęp do danych diagnostycznych: Traktuj logi Azure Firewall jako wrażliwe, ponieważ mogą zawierać adresy IP źródłowe i docelowe, URL, porty oraz decyzje dotyczące reguł. Używaj modelu RBAC dla obszarów roboczych usługi Log Analytics, kont magazynu i centrów zdarzeń, do których trafiają dane diagnostyczne zapory. Aby uzyskać więcej informacji, zobacz Monitorowanie dzienników i metryk usługi Azure Firewall.

Rejestrowanie i monitorowanie

Logowanie i monitorowanie Azure Firewall zapewniają wgląd w przepływy ruchu, decyzje polityczne, zagrożenia, wydajność oraz zmiany konfiguracji do dochodzenia i reagowania.

  • Włącz logowanie diagnostyczne Azure Firewall: Konfiguruj ustawienia diagnostyczne, aby wysyłać logi i metryki Azure Firewall do przestrzeni roboczej, konta magazynowego lub centrum wydarzeń Log Analytics. Przechwycaj reguły sieciowe, reguły aplikacji, reguły NAT, inteligencję zagrożeń, IDPS, proxy DNS, wewnętrzne błędy rozwiązywania FQDN, górny przepływ oraz logi śledzenia przepływu, zgodnie z zastosowaniem wdrożenia. Aby uzyskać więcej informacji, zobacz Monitorowanie dzienników i metryk usługi Azure Firewall.

  • Używaj ustrukturyzowanych dzienników specyficznych dla zasobów: Wysyłaj dzienniki Azure Firewall do tabel Log Analytics specyficznych dla zasobów, takich jak AZFWApplicationRule, AZFWNetworkRule, AZFWNatRule, AZFWThreatIntel, AZFWIdpsSignature i AZFWDnsQuery, zamiast polegać wyłącznie na starszej tabeli AzureDiagnostics. Tabele specyficzne dla zasobu poprawiają wydajność zapytań, odkrywanie schematów oraz kontrolę dostępu na poziomie tabel. Aby uzyskać więcej informacji, zobacz Monitorowanie dzienników i metryk usługi Azure Firewall.

  • Integruj się z Microsoft Sentinel w celu wykrywania zagrożeń: Połącz logi Azure Firewall z Microsoft Sentinel, aby zespoły operacji bezpieczeństwa mogły korelować zdarzenia zapory z sygnałami tożsamości, punktów końcowych i obciążenia. Korzystaj z reguł analitycznych i zeszytów roboczych do wykrywania złośliwego oprogramowania i podejrzanych wzorców ruchu. Aby uzyskać więcej informacji, zobacz Wykrywanie złośliwego oprogramowania za pomocą usługi Azure Firewall i usługi Microsoft Sentinel.

  • Użyj Security Copilot do badania wykryć IDPS: Gdy Twoja organizacja korzysta z Microsoft Security Copilot, włącz integrację z Azure Firewall, aby badać wykrycia IDPS w różnych zaporach przy użyciu ustrukturyzowanych dzienników IDPS w usłudze Log Analytics oraz odpowiednich uprawnień RBAC. Więcej informacji można znaleźć w artykule o integracji Azure Firewall w Microsoft Security Copilot.

  • Monitoruj alerty dotyczące zagrożeń: Twórz alerty i procesy operacyjne dla trafień z wywiadu zagrożeń, aby analitycy mogli szybko badać ruch do lub z znanych złośliwych źródeł. Stosuj automatyzację do wskaźników o wysokiej pewności, gdy działania reakcji są dobrze przetestowane. Aby uzyskać więcej informacji, zobacz Filtrowanie oparte na analizie zagrożeń w usłudze Azure Firewall.

  • Konfiguruj monitorowanie wydajności i alerty: Monitoruj przepustowość, opóźnienia, stan zapory, wykorzystanie portów SNAT oraz liczbę uderzeń reguł za pomocą Azure Monitor. Ostrzegaj o progach pojemności lub dostępności, zanim użytkownicy doświadczyą awarii aplikacji. Aby uzyskać więcej informacji, zobacz Najlepsze rozwiązania dotyczące wydajności usługi Azure Firewall.

  • Monitorowanie kondycji zasobów pod kątem dostępności zapory: Korzystaj z usługi Azure Resource Health wraz z metrykami usługi Azure Firewall, aby zespoły operacyjne mogły wykrywać degradację platformy, badać zdarzenia dotyczące kondycji usługi oraz otrzymywać powiadomienia, gdy dostępność zapory zostanie zakłócona. Więcej informacji można znaleźć w artykule Monitoruj stan zapory za pomocą Resource Health.

  • Przeglądaj analitykę polityki i zmiany reguł: Korzystaj z analizy polityki, aby zidentyfikować nieużywane i zbyt ogólne reguły. Użyj śledzenia zmian zestawu reguł, aby wykryć nieoczekiwane zmiany konfiguracji. Regularne przeglądy ograniczają rozprzestrzenianie się przepisów i poprawiają skuteczność polityki. Więcej informacji można znaleźć w artykułach Azure Firewall Policy Analytics oraz Śledzenie zmian zestawu reguł usługi Azure Firewall.

  • Wykorzystaj Azure Firewall Workbook do analizy: Wdrażaj i przeglądaj pulpity Azure Firewall Workbook, aby analizować zdarzenia, reguły, zagrożenia i trendy na wielu zaporach z jednego doświadczenia portalu Azure. Więcej informacji można znaleźć w Azure Firewall Workbook.

  • Ustaw przechowywanie logów do śledztw i zgodności: Ustal okresy przechowywania na podstawie potrzeb reagowania na incydenty, audytu i regulacji. Przechowuj archiwa długoterminowe w zabezpieczonym magazynie, gdy operacyjne obszary robocze stosują krótszy okres przechowywania. Aby uzyskać więcej informacji, zobacz Monitorowanie dzienników i metryk usługi Azure Firewall.

Zgodność i ład

Zgodność i zarządzanie Azure Firewall pomagają utrzymać spójne podstawy polityki, zapasów i bezpieczeństwa w ramach subskrypcji, regionów i architektur sieci.

  • Używaj Azure Policy do egzekwowania konfiguracji: Przypisz wbudowane i niestandardowe definicje Azure Policy do audytu lub egzekwowania wymagań, takich jak analiza zagrożeń, ustawienia diagnostyczne i dozwolone SKU. Aby uzyskać więcej informacji, zobacz Zabezpieczanie wdrożeń usługi Azure Firewall przy użyciu usługi Azure Policy.

  • Utrzymuj spis zasobów za pomocą usługi Azure Resource Graph: Wysyłaj zapytania dotyczące zasobów Azure Firewall, zasad Azure Firewall, publicznych adresów IP, tabel tras i ustawień diagnostycznych w różnych subskrypcjach, aby identyfikować luki w pokryciu i odchylenia konfiguracji. Używaj zapisanych zapytań lub pulpitów nawigacyjnych na potrzeby cyklicznych przeglądów. Aby uzyskać więcej informacji, zobacz Azure Resource Graph overview.

  • Stosuj spójne tagi do zasobów zapory: Używaj tagów do własności, środowiska, centrum kosztów, klasyfikacji danych oraz krytyczności, aby zespoły mogły konsekwentnie zarządzać zasobami zapory i powiązanymi politykami. Wymusz wymagane tagi za pomocą Azure Policy. Więcej informacji można znaleźć w artykule Użyj Azure Policy do egzekwowania reguł i konwencji tagowania.

  • Scentralizuj politykę za pomocą Azure Firewall Manager: Użyj Azure Firewall Manager do zarządzania politykami firewall pomiędzy zabezpieczonymi hubami wirtualnymi i sieciami wirtualnymi hubów z centralnej płaszczyzny kontroli. To scentralizowane zarządzanie pomaga ograniczyć niespójne reguły między subskrypcjami i regionami. Więcej informacji można znaleźć w artykule Co to jest Azure Firewall Manager?

  • Użyj hierarchii polityki i dziedziczenia dla hub-and-spoke: Zbuduj polityki zapory nadrzędnej i podrzędnej tak, aby globalne wymagania bezpieczeństwa dziedziczyły na polityki regionalne lub specyficzne dla aplikacji, jednocześnie pozwalając na kontrolowane lokalne wyjątki. Model ten wspiera spójne zarządzanie w dużych wdrożeniach typu hub-and-spoke. Więcej informacji można znaleźć w przeglądzie polityki Azure Firewall Manager.

  • Skojarz ochronę DDoS z zabezpieczonymi sieciami wirtualnymi hubów: Użyj Azure Firewall Manager, aby powiązać plany ochrony Azure DDoS z wirtualnymi sieciami hubowymi zawierającymi Azure Firewall. Ochrona DDoS nie obsługuje hubów Virtual WAN, więc korzystaj z tego powiązania do projektowania hub sieci wirtualnych. Więcej informacji można znaleźć w artykule Configure Azure DDoS Protection Plan using Azure Firewall Manager.

  • Przejrzyj certyfikaty zgodności: Sprawdź zakres audytu Azure Firewall pod kątem wymagań regulacyjnych i standardów organizacyjnych. Korzystaj z oficjalnej listy ofert zgodności podczas oceny, czy usługa Azure Firewall wchodzi w zakres wymaganego audytu. Więcej informacji można znaleźć w artykule o certyfikatach Azure Firewall.

  • Standaryzuj wdrażanie przez infrastrukturę jako kod: Wdrażaj Azure Firewall i Firewall Policy za pomocą Bicep, szablonów ARM, Terraformu lub zatwierdzonych potoków, aby zespoły regularnie przeglądały zmiany i były powtarzalne oraz audytowalne. Aby uzyskać więcej informacji, zobacz Bicep deployment for Azure Firewall.

Kopia zapasowa i przywracanie

Tworzenie kopii zapasowych i odzyskiwanie po awarii dla usługi Azure Firewall koncentrują się na zachowaniu zasad zapory jako głównego źródła konfiguracji oraz na projektowaniu odpornych wdrożeń, które zespoły mogą odtworzyć lub przełączyć do środowiska zapasowego podczas awarii.

  • Zarządzaj zasadami zapory jako kodem infrastruktury: Definiuj zasady zapory i zarządzaj ich wersjami w języku Bicep, szablonach ARM lub w Terraform, przechowywanych w repozytorium objętym kontrolą wersji. Traktuj to repozytorium jako źródło prawdy. Traktuj eksport zasad jako punkt wyjścia lub jednorazową migawkę stanu, a nie jako bieżące źródło danych referencyjnych. Więcej informacji można znaleźć w artykule Eksport szablonu w portalu Azure.

  • Pozwól platformie Azure zarządzać nadmiarowością strefową zapory: W przypadku nowych wdrożeń nie określaj jawnie stref zapory i wybierz region, w którym nadmiarowość strefowa jest domyślnie dostępna. Azure zarządza alokacją stref backendowych, aby zwiększyć odporność na awarie stref. Istniejące kwalifikujące się zapory, w tym zapory jednostrefowe, są migrowane automatycznie; nie należy cofać ich alokacji ani wdrażać ponownie wyłącznie po to, by uzyskać redundancję. Przykłady pokrycia i wdrożeń znajdziesz w artykule Deploy Azure Firewall with availability zones.

  • Zaplanuj wdrożenie zapory w wielu regionach na potrzeby odzyskiwania po awarii: Wdróż usługę Azure Firewall i odpowiadające jej zasady w regionach sparowanych lub strategicznie wybranych dla obciążeń wymagających regionalnego odzyskiwania po awarii. Upewnij się, że możesz odtworzyć tabele tras, publiczne adresy IP, diagnostykę i przypisania polityk w regionie drugorzędnym. Więcej informacji można znaleźć w artykule Użyj Azure Firewall do trasowania topologii hub-and-spoke między wieloma hubami.

  • Używaj hierarchii polityki zapory rodzica i dziecka do odzyskiwania: Zachowaj reguły globalne w politykach nadrzędnych oraz reguły regionalne lub obciążenia w politykach podrzędnych, aby odzyskane środowiska konsekwentnie dziedziczyły wymagane kontrole. Taka struktura zasad ogranicza konieczność ręcznego odtwarzania reguł podczas odzyskiwania. Więcej informacji można znaleźć w Azure Firewall Manager rule hierarchy.

  • Regularnie testuj procedury awaryjne: Sprawdź, czy routing, DNS, równoważenie obciążenia, monitorowanie i zasady bezpieczeństwa działają, gdy ruch przechodzi do drugogo węzła lub regionu. Włącz zespoły operacji bezpieczeństwa w ćwiczenia, aby procesy alarmowania i reagowania na incydenty były kontynuowane podczas przełączania awaryjnego. Więcej informacji znajdziesz w temacie Najlepsze rozwiązania dotyczące usługi Azure Firewall.

  • Zaplanuj możliwości odzyskiwania z uwzględnieniem działania automatycznego skalowania: wdrożenia Azure Firewall w warstwach Standard i Premium skalują się automatycznie w poziomie, ale takie skalowanie może potrwać kilka minut po zwiększeniu ruchu. Monitoruj przepustowość i planuj ruch awaryjny, aby zdarzenia odzyskiwania nie przekroczyły dostępnej pojemności w oknie skalowania. Aby uzyskać więcej informacji, zobacz Wydajność usługi Azure Firewall.

Dalsze kroki

  • Ostatnia aktualizacja o