Inspeção seletiva com Firewall do Azure

Note

Este artigo se aplica a hubs WAN Virtual seguros que usam rotas estáticas para rotear o tráfego para Firewall do Azure. Não há suporte para cenários de bypass personalizados ao usar a intenção de roteamento.

Visão geral do cenário

Esse padrão de design descreve cenários em um hub seguro da WAN Virtual, em que determinados fluxos de tráfego ignoram a inspeção do Firewall do Azure, enquanto outros fluxos de tráfego continuam a ser inspecionados pelo Firewall do Azure.

Esses cenários são úteis quando você precisa de tráfego selecionado entre duas redes virtuais ou entre redes virtuais locais e específicas para rotear diretamente em vez de percorrer Firewall do Azure.

Rede Virtual para Rede Virtual para inspeção seletiva

Esse padrão de design permite que redes virtuais confiáveis se comuniquem diretamente, enquanto todo o tráfego entre branches e redes virtuais não confiáveis é roteado por meio de Firewall do Azure.

Diagrama de rede

Diagrama que mostra o bypass seletivo do Firewall do Azure para o tráfego entre redes virtuais confiáveis em um hub seguro.

No diagrama acima, as redes virtuais são divididas em dois tipos:

  • Redes virtuais confiáveis: redes virtuais confiáveis fazem parte de um domínio que pode se comunicar diretamente.
  • Redes virtuais não confiáveis: o tráfego dentro do domínio não confiável e o tráfego entre os domínios confiáveis e não confiáveis exigem inspeção com Firewall do Azure.

Fluxos de tráfego

Fonte Redes virtuais confiáveis Redes virtuais não confiáveis Branches
Redes virtuais confiáveis Direcionar por meio do roteador do hub de WAN Virtual Via Firewall do Azure Via Firewall do Azure
Redes virtuais não confiáveis Via Firewall do Azure Via Firewall do Azure Via Firewall do Azure
Branches Via Firewall do Azure Via Firewall do Azure Direto

Configuration

tabelas de rotas do WAN Virtual

Nome da tabela de rotas Conexões associadas Reasoning
defaultRouteTable Branches e redes virtuais não confiáveis Usado por conexões para encaminhar o tráfego para o Firewall do Azure, incluindo o tráfego de filiais e todo o tráfego de ou para redes virtuais não confiáveis. Nenhuma conexão se propaga para essa tabela de rotas para garantir que o tráfego seja inspecionado por Firewall do Azure.
tabelaDeRotasConfiáveis Redes virtuais confiáveis Usado para manter redes virtuais confiáveis em uma tabela de rotas separada, roteando o tráfego entre redes confiáveis diretamente e ignorando a inspeção do Firewall do Azure.

Configuração de roteamento de WAN Virtual

Connection Tabela de rotas associadas Tabela de rotas propagada Reasoning
Redes virtuais confiáveis tabelaDeRotasConfiáveis tabelaDeRotasConfiáveis Redes virtuais confiáveis são associadas e propagadas para uma tabela de rotas dedicada, para que o tráfego de uma rede confiável para outra possa ignorar o Firewall do Azure.
Redes virtuais não confiáveis defaultRouteTable noneRouteTable Redes virtuais não confiáveis só podem ser acessadas por meio de Firewall do Azure.
Branches defaultRouteTable noneRouteTable O tráfego de ramificação deve ser roteado por meio de Firewall do Azure.

Rotas estáticas

Tabela de rotas Prefixo de endereço Próximo salto Reasoning
tabelaDeRotasConfiáveis 10.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12 Firewall do Azure A WAN Virtual divulga intervalos de Redes Virtuais confiáveis para outras Redes Virtuais confiáveis, permitindo o bypass do Firewall. Todo o outro tráfego é roteado por meio de Firewall do Azure.
defaultRouteTable 10.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12 Firewall do Azure Todas as ramificações e redes virtuais não confiáveis utilizam rotas estáticas para rotear todo o tráfego para Firewall do Azure para inspeção.

Inspeção seletiva de local para Rede Virtual

Esse padrão de design se baseia no design anterior, permitindo que as ramificações acessem diretamente redes virtuais confiáveis. Todos os outros padrões de tráfego permanecem os mesmos.

Diagrama de rede

Diagrama que mostra o bypass do Firewall do Azure seletivo para o tráfego de rede virtual local confiável em um hub seguro.

Como antes, as redes virtuais são divididas em dois tipos:

  • Redes virtuais confiáveis: redes virtuais confiáveis fazem parte de um domínio com o qual as conexões locais podem se comunicar diretamente.
  • Redes virtuais não confiáveis: o tráfego de redes virtuais locais para redes virtuais não confiáveis requer inspeção com Firewall do Azure.

Fluxos de tráfego

Note

Como todas as conexões locais devem associar e propagar para as mesmas tabelas de rotas, todas as conexões locais devem enviar tráfego para redes virtuais confiáveis ou não confiáveis por meio do mesmo caminho de roteamento. Não há suporte para a personalização de tráfego no nível da conexão local.

Fonte Redes virtuais confiáveis Redes virtuais não confiáveis Branches
Redes virtuais confiáveis Direcionar por meio do roteador do hub de WAN Virtual Via Firewall do Azure Direto
Redes virtuais não confiáveis Via Firewall do Azure Via Firewall do Azure Via Firewall do Azure
Branches Direcione por meio do roteador de hub do WAN Virtual para redes virtuais confiáveis, caso contrário, via Firewall do Azure. Via Firewall do Azure Direto

Configuration

tabelas de rotas do WAN Virtual

Nome da tabela de rotas Conexões associadas Reasoning
defaultRouteTable Branches e redes virtuais não confiáveis Usado por conexões que devem encaminhar o tráfego para o Firewall do Azure, incluindo o tráfego das filiais para redes virtuais não confiáveis, assim como todo o tráfego de e para essas redes.
tabelaDeRotasConfiáveis Redes virtuais confiáveis Usado por redes virtuais confiáveis para encaminhar o tráfego diretamente para outras redes virtuais confiáveis e locais.

Configuração de roteamento de WAN Virtual

Connection Tabela de rotas associadas Tabela de rotas propagada Reasoning
Redes virtuais confiáveis tabelaDeRotasConfiáveis tabelaRotaConfiável, tabelaRotaPadrão Redes virtuais confiáveis são associadas e propagadas para trustedRouteTable para que redes virtuais confiáveis possam se comunicar diretamente. Redes virtuais confiáveis também se propagam para a tabela de rotas padrão (defaultRouteTable) para que as filiais possam acessar redes virtuais confiáveis diretamente.
Redes virtuais não confiáveis defaultRouteTable noneRouteTable Redes virtuais não confiáveis só podem ser acessadas por meio de Firewall do Azure.
Branches selecionadas defaultRouteTable tabelaRotaConfiável, tabelaRotaPadrão As conexões de ramificação devem ser associadas ao defaultRouteTable. As ramificações se propagam para a tabela de rotas confiáveis para que o tráfego de rede virtual confiável ignore o Firewall do Azure.

Rotas estáticas

Tabela de rotas Prefixo de endereço Próximo salto Reasoning
tabelaDeRotasConfiáveis 10.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12 Firewall do Azure O WAN Virtual anuncia rotas mais específicas para prefixos confiáveis da Rede Virtual, instalações locais e spokes confiáveis. Todo o outro tráfego é roteado para Firewall do Azure usando rotas estáticas.
defaultRouteTable 10.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12 Firewall do Azure Todo o tráfego para redes virtuais não confiáveis e conectividade de filiais que não seja ignorada é roteado para o Firewall do Azure para inspeção.
  • Last updated on