Como bloquear o tráfego de rede com o Gerenciador de Rede Virtual do Azure (versão prévia) – Azure PowerShell

Este artigo mostra como criar uma regra de segurança para bloquear o tráfego de rede de saída para as portas 80 e 443, que você pode adicionar às suas coleções de regras. Para obter mais informações, confira Regras de administrador de segurança.

Pré-requisitos

Antes de começar a configurar regras de segurança, confirme as seguintes etapas:

• Você entendeu cada elemento de uma Regra de administrador de segurança.
• Você criou uma instância de Gerenciador de Rede Virtual do Azure.
• A versão instalada de Az.Network de 5.3.0 ou superior é necessária para acessar os cmdlets necessários.

Criar a configuração de administrador de segurança

Crie uma configuração de administrador de segurança usando New-AzNetworkManagerSecurityAdminConfiguration. A configuração contém as coleções de regras e regras que você cria nas seções seguintes.

$config = @{
    Name = 'SecurityConfig'
    ResourceGroupName = 'myAVNMResourceGroup'
    NetworkManagerName = 'myAVNM'
}
$securityconfig = New-AzNetworkManagerSecurityAdminConfiguration @config

Adicionar o grupo de rede a um grupo de configuração

Uma configuração de administrador de segurança se aplica a um ou mais grupos de rede. Esses passos armazenam o grupo de rede em uma variável e o adicionam a um grupo de configuração.

1. Armazene o grupo de rede em uma variável usando Get-AzNetworkManagerGroup.

   $ng = @{
       Name = 'myNetworkGroup'
       ResourceGroupName = 'myAVNMResourceGroup'
       NetworkManagerName = 'myAVNM'
   }
   $networkgroup = Get-AzNetworkManagerGroup @ng   
   

2. Crie um item de grupo de segurança para o grupo de rede usando New-AzNetworkManagerSecurityGroupItem.

   $groupItem = New-AzNetworkManagerSecurityGroupItem -NetworkGroupId $networkgroup.id
   

3. Crie um grupo de configuração e adicione o item de grupo da etapa anterior.

   [System.Collections.Generic.List[Microsoft.Azure.Commands.Network.Models.PSNetworkManagerSecurityGroupItem]]$configGroup = @()  
   $configGroup.Add($groupItem) 
   

Crie a coleção de regras

Crie uma coleção de regras de administrador de segurança usando New-AzNetworkManagerSecurityAdminRuleCollection. A coleção se aplica ao grupo de configuração que você criou na seção anterior.

$collection = @{
    Name = 'myRuleCollection'
    ResourceGroupName = 'myAVNMResourceGroup'
    NetworkManagerName = 'myAVNM'
    ConfigName = 'SecurityConfig'
}
$rulecollection = New-AzNetworkManagerSecurityAdminRuleCollection @collection -AppliesToGroup $configGroup

Crie a regra de negação para as portas 80 e 443

Essas etapas definem os prefixos de endereço e portas da regra, e então criam uma regra chamada Block_HTTP_HTTPS que nega o tráfego de saída para as portas 80 e 443.

1. Defina os prefixos e portas de endereço de origem e destino usando New-AzNetworkManagerAddressPrefixItem.

   $sourceip = @{
       AddressPrefix = 'Internet'
       AddressPrefixType = 'ServiceTag'
   }
   $sourceprefix = New-AzNetworkManagerAddressPrefixItem @sourceip
   
   $destinationip = @{
       AddressPrefix = '10.0.0.0/24'
       AddressPrefixType = 'IPPrefix'
   }
   $destinationprefix = New-AzNetworkManagerAddressPrefixItem @destinationip
   
   [System.Collections.Generic.List[string]]$sourcePortList = @() 
   $sourcePortList.Add("65500") 
   
   [System.Collections.Generic.List[string]]$destinationPortList = @() 
   $destinationPortList.Add("80")
   $destinationPortList.Add("443")
   

2. Crie a regra de segurança usando New-AzNetworkManagerSecurityAdminRule.

   $rule = @{
       Name = 'Block_HTTP_HTTPS'
       ResourceGroupName = 'myAVNMResourceGroup'
       NetworkManagerName = 'myAVNM'
       SecurityAdminConfigurationName = 'SecurityConfig'
       RuleCollectionName = 'myRuleCollection'
       Protocol = 'TCP'
       Access = 'Deny'
       Priority = '100'
       Direction = 'Outbound'
       SourceAddressPrefix = $sourceprefix
       SourcePortRange = $sourcePortList
       DestinationAddressPrefix = $destinationprefix
       DestinationPortRange = $destinationPortList
   }
   $securityrule = New-AzNetworkManagerSecurityAdminRule @rule
   

Efetivar implantação

Aplique a configuração de segurança às regiões de destino usando Deploy-AzNetworkManagerCommit. Crie a lista $configIds a partir da configuração do administrador de segurança que você criou anteriormente e, em seguida, passe-a para o commit.

[System.Collections.Generic.List[string]]$configIds = @()
$configIds.Add($securityconfig.Id)

$regions = @("westus")
$deployment = @{
    Name = 'myAVNM'
    ResourceGroupName = 'myAVNMResourceGroup'
    ConfigurationId = $configIds
    TargetLocation = $regions
    CommitType = 'SecurityAdmin'
}
Deploy-AzNetworkManagerCommit @deployment 

Excluir a configuração de segurança

Se você não precisar mais da configuração de segurança, certifique-se de que os seguintes critérios sejam verdadeiros para poder excluir a configuração de segurança em si:

• Não há nenhuma implantação de configurações em qualquer região.
• Exclua todas as regras de segurança em uma coleção de regras associada à configuração de segurança.

Remover a implantação da configuração de segurança

Remova a implantação de segurança implantando uma configuração com Deploy-AzNetworkManagerCommit.

[System.Collections.Generic.List[string]]$configIds = @()
[System.Collections.Generic.List[string]]$regions = @()   
$regions.Add("westus")     
$removedeployment = @{
    Name = 'myAVNM'
    ResourceGroupName = 'myAVNMResourceGroup'
    ConfigurationId = $configIds
    TargetLocation = $regions
    CommitType = 'SecurityAdmin'
}
Deploy-AzNetworkManagerCommit @removedeployment

Remover regras de segurança

Remova a regra de segurança que você criou anteriormente usando Remove-AzNetworkManagerSecurityAdminRule.

$removerule = @{
    Name = 'Block_HTTP_HTTPS'
    ResourceGroupName = 'myAVNMResourceGroup'
    NetworkManagerName = 'myAVNM'
    SecurityAdminConfigurationName = 'SecurityConfig'
    RuleCollectionName = 'myRuleCollection'
}
Remove-AzNetworkManagerSecurityAdminRule @removerule

Remover coleções de regras de segurança

$removecollection = @{
    Name = 'myRuleCollection'
    ResourceGroupName = 'myAVNMResourceGroup'
    NetworkManagerName = 'myAVNM'
    SecurityAdminConfigurationName = 'SecurityConfig'
}
Remove-AzNetworkManagerSecurityAdminRuleCollection @removecollection

Excluir configuração

Exclua a configuração de segurança com Remove-AzNetworkManagerSecurityAdminConfiguration.

$removeconfig = @{
    Name = 'SecurityConfig'
    ResourceGroupName = 'myAVNMResourceGroup'
    NetworkManagerName = 'myAVNM'
}
Remove-AzNetworkManagerSecurityAdminConfiguration @removeconfig

Próximas etapas

Saiba mais sobre Regras de administrador de segurança.