Dimensionar portas SNAT com Gateway da NAT do Azure

Firewall do Azure fornece 2.496 portas SNAT por endereço IP público configurado por instância do conjunto de dimensionamento de máquinas virtuais de back-end (mínimo de duas instâncias) e você pode associar até 250 endereços IP públicos. Dependendo da arquitetura e dos padrões de tráfego, talvez seja necessário mais do que as 1.248.000 portas SNAT disponíveis com essa configuração. Por exemplo, quando você o usa para proteger grandes implantações Área de Trabalho Virtual do Azure que se integram ao Microsoft 365 Apps.

Um dos desafios de usar um grande número de endereços IP públicos é quando há requisitos de filtragem de endereços IP posteriores. O Firewall do Azure não suporta a anexação de um prefixo de IP público em si, mas pode usar endereços IP públicos individuais de SKU Standard provisionados a partir de um prefixo de IP público. Quando o Firewall do Azure está associado a múltiplos endereços IP públicos, o filtragem downstream deve permitir todos os endereços IP públicos associados a ele. Se você provisionar esses endereços a partir de prefixos de IP públicos, pode permitir os intervalos correspondentes de prefixos em vez de listar cada endereço individualmente.

Uma opção melhor para dimensionar e alocar dinamicamente as portas SNAT de saída é usar um Gateway da NAT do Azure. Ele fornece 64.512 portas SNAT por endereço IP público e dá suporte a até 16 endereços IP públicos IPv4. Isso efetivamente fornece até 1.032.192 portas SNAT de saída. Gateway da NAT do Azure também aloca dinamicamente portas SNAT em um nível de sub-rede, portanto, todas as portas SNAT fornecidas pelos endereços IP associados estão disponíveis conforme a demanda para fornecer conectividade de saída.

Quando você associa um gateway NAT ao AzureFirewallSubnet, o tráfego de internet de saída do firewall usa os endereços IP públicos do gateway NAT. Você não precisa de uma rota adicional definida pelo usuário (UDR) para enviar esse tráfego do firewall pelo gateway NAT. Mantenha as rotas da sub-rede de carga de trabalho que direcionam o tráfego para o endereço IP privado do firewall para inspeção. O tráfego de resposta para um fluxo de saída também passa pelo gateway NAT. Se múltiplos endereços IP públicos estiverem associados ao gateway NAT, ele seleciona um endereço aleatoriamente. Você não pode especificar qual endereço usar.

Não há duplo NAT com essa arquitetura. Instâncias do Firewall do Azure enviam o tráfego para o Gateway NAT usando seu endereço IP privado em vez do endereço IP público do Firewall do Azure.

Escolha entre vários endereços IP públicos e o Gateway de NAT

Quando o firewall fica com poucas portas SNAT disponíveis, você pode adicionar vários endereços IP públicos ou usar um gateway NAT:

• Adicione vários endereços IP públicos quando você estiver sensível ao custo e suas necessidades de escala forem moderadas. Cada endereço IP público adiciona 2.496 portas SNAT por instância de backend, e você pode associar até 250 endereços IP públicos. Para obter etapas, consulte Implantar um Firewall do Azure com vários endereços IP públicos.
• Use um gateway de NAT quando você precisar de alocação dinâmica de portas SNAT em toda a sub-rede. Ele fornece até 64.512 portas SNAT por endereço IP público.

Para uma comparação completa das vantagens e desvantagens, consulte Práticas recomendadas para o desempenho do Firewall do Azure.

Para criar um gateway NAT StandardV2 como parte de uma implantação do Firewall do Azure no portal, selecione Habilitar gateway NAT na aba Avançado. Para o procedimento completo, veja Criar Firewall do Azure com um gateway NAT StandardV2. Os exemplos a seguir do PowerShell e CLI associam um gateway NAT padrão a uma sub-rede de firewall existente.

Associar um gateway NAT a uma sub-rede Firewall do Azure – Azure PowerShell

O exemplo a seguir cria e anexa um gateway NAT com uma sub-rede Firewall do Azure usando Azure PowerShell.

# Create public IP addresses
New-AzPublicIpAddress -Name public-ip-1 -ResourceGroupName nat-rg -Sku Standard -AllocationMethod Static -Location 'South Central US'
New-AzPublicIpAddress -Name public-ip-2 -ResourceGroupName nat-rg -Sku Standard -AllocationMethod Static -Location 'South Central US'

# Create NAT gateway
$PublicIPAddress1 = Get-AzPublicIpAddress -Name public-ip-1 -ResourceGroupName nat-rg
$PublicIPAddress2 = Get-AzPublicIpAddress -Name public-ip-2 -ResourceGroupName nat-rg
New-AzNatGateway -Name firewall-nat -ResourceGroupName nat-rg -PublicIpAddress $PublicIPAddress1,$PublicIPAddress2 -Location 'South Central US' -Sku Standard

# Associate NAT gateway to subnet
$virtualNetwork = Get-AzVirtualNetwork -Name nat-vnet -ResourceGroupName nat-rg
$natGateway = Get-AzNatGateway -Name firewall-nat -ResourceGroupName nat-rg
$firewallSubnet = $virtualNetwork.subnets | Where-Object -Property Name -eq AzureFirewallSubnet
$firewallSubnet.NatGateway = $natGateway
$virtualNetwork | Set-AzVirtualNetwork

Associar um gateway NAT a uma sub-rede Firewall do Azure – CLI do Azure

O exemplo a seguir cria e anexa um gateway NAT com uma sub-rede Firewall do Azure usando CLI do Azure.

# Create public IP addresses
az network public-ip create --name public-ip-1 --resource-group nat-rg --sku standard
az network public-ip create --name public-ip-2 --resource-group nat-rg --sku standard
# Create NAT gateway
az network nat gateway create --name firewall-nat --resource-group nat-rg --public-ip-addresses public-ip-1 public-ip-2 --sku standard
# Associate NAT gateway to subnet
az network vnet subnet update --name AzureFirewallSubnet --vnet-name nat-vnet --resource-group nat-rg --nat-gateway firewall-nat

Próximas etapas

• Escale as portas SNAT do Firewall do Azure com o Gateway da NAT para workloads grandes.
• Criar redes virtuais com o Gateway da NAT
• Integrar o gateway NAT com o Firewall do Azure em uma rede hub-and-spoke