Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Este artigo explica como controlar o acesso à internet de saída a partir de redes virtuais do Azure. Compara o NAT Gateway, o Azure Firewall e padrões combinados de saída para o ajudar a escolher um método previsível e seguro para as suas cargas de trabalho.
O que este artigo aborda
O controlo do tráfego de saída determina como as suas cargas de trabalho no Azure acedem à Internet pública. Uma estratégia de saída bem desenhada fornece endereços IP públicos previsíveis, previne o esgotamento das portas SNAT e, opcionalmente, filtra as ligações de saída por destino.
Note
Este artigo aborda conceitos específicos de egresso. Para uma cobertura completa da firewall, consulte Azure Firewall e inspeção de tráfego.
Quem precisa deste artigo
Leia este artigo se uma ou mais destas condições se aplicarem:
- As tuas cargas de trabalho precisam de acesso controlado à internet para atualizações, APIs ou serviços externos.
- Precisas de endereços IP públicos previsíveis para ligações de saída.
- É necessário evitar o esgotamento das portas SNAT ou escalar a conectividade de saída para cargas de trabalho de ligações elevadas.
- Tens de escolher entre NAT Gateway, Azure Firewall ou um padrão combinado para controlo e inspeção de saída.
Dica
Seguir um percurso do cenário? Selecione o seu cenário no topo da página para obter orientação personalizada. As orientações principais que se seguem aplicam-se a todos os leitores.
Foco em levantar e deslocar: As suas VMs migradas precisam de acesso controlado à internet de saída. Centralize todo o tráfego de saída através do firewall do hub para impor uma política de segurança consistente entre cargas de trabalho migradas.
Leia este artigo se:
- Implemente cargas de trabalho que precisam de chegar à internet para atualizações, chamadas API ou serviços de terceiros.
- Quero centralizar o controlo de saída através do Azure Firewall no hub VNet.
- É necessário desativar o acesso de saída predefinido em cargas de trabalho migradas e substituí-lo por um método explícito de egresso.
- Exigir um endereço IP público fixo e previsível para ligações de saída.
Foco na modernização: Todas as VNets spoke encaminham o tráfego de saída através do firewall do hub por meio de rotas definidas pelo utilizador (UDR). Este modelo centralizado de saída é parte integrante da sua arquitetura de segurança porque impede que as equipas de aplicações contornem os controlos de segurança geridos por TI.
Leia este artigo se:
- É necessário impor que todas as cargas de trabalho do spoke (AKS, App Service, VMs) encaminhem todo o tráfego de saída através do firewall do hub.
- Pretende-se o encaminhamento com base em UDR de cada spoke para o Azure Firewall no hub, para garantir uma política de tráfego de saída consistente.
- Exige que o firewall do hub atue como SNAT para todas as ligações de saída.
- É necessário evitar o esgotamento das portas SNAT para cargas de trabalho com alto número de ligações.
Foco multicloud: Inclua uma saída centralizada para a Internet se a sua arquitetura pretendida exigir uma política controlada de saída para a Internet. Caso contrário, o tráfego entre clouds passa pela rota de trânsito (Azure Firewall no hub virtual seguro) e não requer uma configuração de saída separada.
Leia este artigo se:
- Precisa de uma política centralizada de saída da internet na sua zona de aterragem do Azure.
- Utilizar o mesmo Azure Firewall tanto para inspeção do trânsito entre clouds como para egresso para a Internet.
- Substitua o acesso de saída predefinido antes de ser descontinuado.
Serviços e funcionalidades do Azure
A tabela seguinte descreve os serviços e funcionalidades disponíveis para o acesso à internet de saída em redes virtuais Azure.
| Serviço ou funcionalidade | O que oferece | Quando usar |
|---|---|---|
| Acesso de saída por defeito (descontinuado) | O Azure atribui automaticamente um IP público temporário para ligações de saída. O IP atribuído não é previsível e pode mudar sem aviso. | Não utilize em novas implementações. Substitua por NAT Gateway ou Azure Firewall. Veja Considerações de Segurança. |
| Azure NAT Gateway | Serviço SNAT gerido com IPs públicos fixos e previsíveis. Fornece 64.512 portas SNAT por IP público, até 16 IPs públicos (mais de 1 milhão de portas no total). Sem filtragem de conteúdo. | Cargas de trabalho apenas com tráfego de saída que necessitam de um endereço IP de saída fixo, aplicações com elevado número de ligações e cenários em que o esgotamento das portas SNAT constitui um risco. |
| Azure Firewall | Inspeção completa da Camada 3–7 para tráfego de saída. Filtragem FQDN, filtragem de URL, categorias web e IDPS (Premium SKU). Gestão centralizada de políticas. | Quando precisas de controlar a que destinos os teus recursos se ligam, não só que tenham acesso de saída. |
| NAT Gateway + Azure Firewall | O NAT Gateway assegura a escalabilidade de SNAT na sub-rede do firewall. O Azure Firewall trata da inspeção e filtragem. Não ocorre nenhum duplo NAT. | Ambientes de produção que necessitam tanto de saída escalável como de filtragem consciente do conteúdo. Arquitetura recomendada para cargas de trabalho empresariais. |
| VM com IP público (de saída) | A máquina virtual utiliza o seu próprio endereço IP público para o tráfego de saída. Sem controlo centralizado ou filtragem. | Não utilizar em produção. Sem gestão centralizada, imprevisível em larga escala e sem benefícios de recursos SNAT partilhados. |
Como escolher
Como controlar o acesso de saída
Use a tabela seguinte para selecionar um método de saída com base nas suas necessidades.
| O seu requisito | Abordagem recomendada | Porquê |
|---|---|---|
| Só endereço IP de saída fixo, sem necessidade de filtragem | NAT Gateway | Fornece IPs públicos previsíveis com alocação automática de portas SNAT. Sem custos de inspeção ou de filtragem. A opção mais simples pronta para produção. |
| Filtragem FQDN, filtragem de URL ou inspeção de tráfego | Azure Firewall | Filtra as ligações de saída por destino, FQDN ou URL. O SKU Premium adiciona inspeção IDPS e TLS para deteção avançada de ameaças. |
| IP de saída fixo e filtragem de conteúdos | NAT Gateway + Azure Firewall | O NAT Gateway no AzureFirewallSubnet fornece SNAT escalável. O firewall inspeciona o tráfego antes de sair. O melhor de ambas as funcionalidades. |
| Não utilizar em novas implementações | Acesso de saída por defeito ou IP público da VM | O acesso de saída por defeito foi descontinuado. Os IPs públicos das VMs não oferecem controlo centralizado. Ambos são inadequados para cargas de trabalho em produção. |
NAT Gateway vs. Azure Firewall para tráfego de saída
Use a comparação seguinte para compreender as desvantagens entre o NAT Gateway e o Azure Firewall quando usados de forma independente.
| Capacidade | NAT Gateway | Azure Firewall |
|---|---|---|
| Portas SNAT | 64.512 por IP público (até 16 IPs, mais de 1 milhão no total) | 2.496 por IP público por instância de backend (máximo de 250 IPs) |
| Filtragem de tráfego | Nenhum: passa todo o tráfego de saída | Regras FQDN, filtragem de URLs, categorias web, regras de rede |
| IDPS e inspeção TLS | Não disponível | Apenas SKU Premium |
| Throughput | Taxa de linha para a sub-rede (sem limite publicado para SNAT) | Até 100 Gbps (Premium), 30 Gbps (Padrão), 250 Mbps (Básico) |
| Modelo de custos | Recursos por hora + dados processados por GB | Recursos por hora + dados por GB processados (custo base mais elevado) |
| Complexidade de encaminhamento | Associa-se diretamente a uma sub-rede, sem necessidade de UDR | Requer UDR (0.0.0.0/0 → IP privado do firewall) nas subredes de carga de trabalho |
| Caso de utilização | Ligações de saída de alto volume que necessitam de IPs fixos | Ambientes regulados que necessitam de filtragem e registo de saídas |
Prioridade de roteamento para tráfego de saída
O Azure avalia os métodos de saída na seguinte ordem de prioridade. Métodos de prioridade superior sobrepõem-se aos de prioridade inferior na mesma sub-rede:
- UDR para um dispositivo virtual ou gateway de rede virtual: substitui todos os outros métodos de saída, incluindo o NAT Gateway.
- NAT Gateway: tem prioridade sobre IPs públicos ao nível de instância e regras de saída do balanceador de carga.
- IP público ao nível da instância na máquina virtual.
- Regras de saída do balanceador de carga.
- Rota padrão do sistema para a internet (a Microsoft retirou esta opção para novas implementações).
Importante
Uma rota definida pelo utilizador (UDR) com destino 0.0.0.0/0 apontando para um dispositivo virtual (como o Azure Firewall) sobrepõe-se ao NAT Gateway. Este comportamento é concebido para a arquitetura combinada NAT Gateway + Firewall. O UDR nas subredes de carga de trabalho força o tráfego através do firewall, enquanto o NAT Gateway no AzureFirewallSubnet fornece os IPs finais de saída.
Arquitetura combinada: NAT Gateway + Azure Firewall
O padrão de produção recomendado para a saída empresarial combina ambos os serviços:
- As subredes de carga de trabalho têm um UDR que envia tráfego 0.0.0.0/0 para o endereço IP privado do Azure Firewall.
- O Azure Firewall inspeciona e filtra o tráfego de saída usando regras de rede, regras de aplicação ou ambos.
- O NAT Gateway associa-se ao AzureFirewallSubnet e fornece SNAT escalável para as ligações de saída do firewall.
- Não ocorre nenhum duplo NAT . O firewall envia tráfego para o NAT Gateway usando o seu IP privado, e o NAT Gateway aplica SNAT uma vez usando os seus IPs públicos.
Esta arquitetura oferece inspeção centralizada com SNAT escalável. A AzureFirewallSubnet não precisa de UDRs adicionais porque o NAT Gateway encaminha automaticamente o tráfego de internet de saída quando está associado.
Note
O NAT Gateway Standard é um recurso zonal e não suporta implementações redundantes por zona. Se implementares um Azure Firewall redundante por zona, usa o NAT Gateway V2 (SKU StandardV2) para SNAT redundante por zona. O NAT Gateway padrão torna-se um ponto único de falha durante uma interrupção zonal quando emparelhado com um firewall redundante por zona. Para mais informações, consulte SKUs de NAT Gateway.
Guia de fluxo de dados
A sequência seguinte mostra como um único pedido de saída flui através da arquitetura combinada:
- Uma VM numa sub-rede de carga de trabalho inicia uma ligação TCP a uma API externa (por exemplo,
api.contoso.com:443). - O UDR da sub-rede corresponde a 0.0.0.0/0 e envia o pacote para o IP privado do Azure Firewall.
- O Azure Firewall avalia a ligação contra regras de aplicação e regras de rede. Se uma regra de aplicação com um FQDN permitir correspondências de entrada, o firewall permite a ligação.
- O firewall envia o pacote permitido a partir da sua própria interface na AzureFirewallSubnet.
- O NAT Gateway, associado ao AzureFirewallSubnet, executa SNAT. Traduz o IP de origem privada do firewall para um dos seus IPs públicos e aloca uma porta SNAT do pool.
- A resposta da API externa regressa ao IP público do NAT Gateway. O NAT Gateway realiza a tradução reversa e entrega o pacote de volta ao firewall.
- O firewall envia a resposta para a VM de origem através do estado da ligação existente.
Neste fluxo de ponta a ponta, o firewall inspeciona o tráfego exatamente uma vez e o NAT Gateway aplica o SNAT exatamente uma vez, sem duplo NAT.
Monitorização e diagnóstico
Monitorize a sua infraestrutura de saída para detetar problemas de capacidade antes que afetem as cargas de trabalho:
- Métricas do NAT Gateway: Monitorize a Contagem Total de Ligações SNAT, a Contagem de Conexões SNAT (por estado) e a Disponibilidade de Datapath no Azure Monitor. Defina alertas quando a utilização de portas SNAT ultrapassar 80% da capacidade alocada.
- Azure Firewall logs: Ative as definições de diagnóstico para enviar logs para o Log Analytics. Utilize as categorias de registo AzureFirewallApplicationRule e AzureFirewallNetworkRule para auditar ligações de saída permitidas e recusadas.
- Monitor de Ligação: Usar Observador de Rede Monitor de Ligação para testar a conectividade de ponta a ponta das VMs de carga de trabalho para endpoints externos. O Monitor de Ligação deteta aumentos de latência e falhas de conectividade que podem indicar exaustão do SNAT ou má configuração do firewall.
- Métricas de firewall: Acompanhe o Throughput, o Número de Acertos das Regras e a Utilização de Portas SNAT para ajustar o tamanho correto do seu SKU de firewall e identificar regras de destaque.
Considerações de design
Use o Azure Firewall para toda a comunicação de saída a partir de cargas de trabalho migradas. Esta abordagem dá-lhe filtragem centralizada, registo e deteção de ameaças FQDN desde o primeiro dia:
- Desative o acesso de saída predefinido: Para novas implementações, as sub-redes são privadas por predefinição (sem tráfego de saída automático). Para as VNets existentes, substitua explicitamente a saída predefinida pela saída através do Azure Firewall para evitar depender de IPs públicos imprevisíveis e não controlados.
- UDR nas sub-redes de carga de trabalho: Crie uma rota definida pelo utilizador (0.0.0.0/0 → IP privado do Azure Firewall) em cada sub-rede de carga de trabalho spoke. Esta configuração força todo o tráfego ligado à internet a passar pelo firewall do hub.
- NAT Gateway on AzureFirewallSubnet: Associe o NAT Gateway à sub-rede do firewall para SNAT escalável. Esta combinação proporciona IPs de saída previsíveis e evita o esgotamento das portas SNAT.
- Comece com regras gerais de permissão, vá apertando ao longo do tempo: Durante a migração, permita saída para destinos de que as suas aplicações precisam (Windows Update, repositórios de pacotes, APIs de terceiros). Depois de a migração estabilizar, audite os registos do firewall e restrinja o acesso a FQDNs conhecidos.
O encaminhamento baseado em UDR de cada spoke para o firewall do hub é a base do seu modelo de segurança de saída. As equipas de aplicações não conseguem contornar os controlos de saída geridos por TI:
- UDR em cada VNet spoke: Cada sub-rede spoke da carga de trabalho tem uma tabela de rotas com a rota 0.0.0.0/0 → o IP privado do Azure Firewall do hub. Esta configuração garante que os nós do AKS, as sub-redes integradas na VNet do App Service e as VMs encaminham todo o tráfego de saída através do firewall.
- Firewall do hub como SNAT: O Azure Firewall executa o NAT de origem para todas as ligações de saída. Todas as cargas de trabalho nos spokes partilham os endereços IP de saída do firewall, o que simplifica a inclusão na lista de permissões do firewall do parceiro.
- NAT Gateway para escalabilidade de SNAT: Associe o NAT Gateway ao AzureFirewallSubnet. Com 16 IPs públicos (mais de 1 milhão de portas SNAT), pode lidar com cargas de trabalho com um elevado número de ligações, como clusters do AKS com muitos pods a efetuar chamadas a APIs externas.
- Regras de aplicação para controlo FQDN: Use as regras de aplicação do Azure Firewall para restringir a saída por FQDN. As equipas de aplicações solicitam que o FQDN permita entradas através de um processo de gestão de alterações. Deny-by-default impede a exfiltração de dados.
O Azure Firewall na hub virtual segura inspeciona tanto o tráfego de trânsito entre clouds como o tráfego de saída para a Internet. Partilhar um único firewall para ambos os caminhos simplifica a arquitetura:
- Firewall seguro do hub virtual para saída: Se implementares WAN Virtual com um hub seguro, o Azure Firewall nesse hub trata da saída da internet para todos os VNets ligados. Configure a política de encaminhamento de tráfego de internet do hub seguro para enviar 0.0.0.0/0 através do firewall.
- O tráfego de saída e o trânsito entre clouds partilham o mesmo firewall: O tráfego destinado à Internet e o tráfego destinado à AWS/Google Cloud por túneis IPSec passam pelo Azure Firewall para inspeção. Esta conceção significa que mantém um único conjunto de regras para todos os caminhos de saída.
- Centralize apenas se necessário: Se a sua arquitetura multicloud não exigir egresso centralizado para a Internet (por exemplo, se as cargas de trabalho apenas comunicarem entre clouds), pode ignorar esta configuração e confiar apenas na inspeção do firewall de trânsito entre clouds.
Pré-requisitos
Antes de implementar controlos de saída, confirme os seguintes elementos:
- Uma rede virtual é implementada com sub-redes dimensionadas para as suas cargas de trabalho. Consulte Redes e sub-redes virtuais para orientações sobre o design de sub-redes.
- Compreendes rotas definidas pelo utilizador (UDRs) e como elas sobrepõem o encaminhamento padrão do Azure. Consulte Redes e subredes virtuais para detalhes da configuração do UDR.
- A sub-rede do seu firewall está dimensionada corretamente se usar o Azure Firewall. A AzureFirewallSubnet requer um mínimo de /26 (64 endereços).
- Sabe quais são os seus requisitos de escala SNAT. Calcule as ligações de saída concorrentes de pico para determinar quantos IPs públicos de NAT Gateway precisa (64.512 portas por IP).
Considerações de segurança
Substituir o acesso de saída por defeito
O acesso de saída por defeito foi descontinuado. Para as versões da API lançadas após 31 de março de 2026, as novas redes virtuais têm, por defeito, sub-redes privadas (sem tráfego de saída automático). As redes virtuais existentes não são afetadas, mas deve migrar para um método explícito de saída. Para obter informações completas, consulte a documentação sobre o acesso de saída predefinido.
Note
As redes virtuais e VMs existentes que atualmente utilizam acesso de saída predefinido continuam a funcionar. No entanto, o IP público atribuído não é previsível, não fornece filtragem e aciona alertas do Assistente do Azure. Planeie a migração para o NAT Gateway ou para o Azure Firewall, independentemente do calendário de descontinuação.
Encaminhamento UDR para inspeção centralizada de firewalls
Quando utiliza o Azure Firewall para controlo do tráfego de saída, crie uma UDR em cada sub-rede de carga de trabalho com:
- Destino: 0.0.0.0/0
- Tipo de próximo salto: Dispositivo virtual
- Endereço do próximo salto: Azure Firewall IP privado (por exemplo, 10.0.1.4)
Esta configuração assegura que todo o tráfego ligado à internet proveniente das subredes de carga de trabalho passe pelo firewall para inspeção. Sem este UDR, o tráfego contorna o firewall e utiliza o método de saída configurado diretamente na sub-rede.
Prevenir o esgotamento das portas SNAT
O esgotamento das portas SNAT ocorre quando uma carga de trabalho abre mais ligações de saída concorrentes do que o inventário de portas disponíveis suporta. Os sintomas incluem tempos limite intermitentes nas ligações, pacotes TCP RST nas ligações de saída e pedidos HTTP sem êxito com erros de socket. Os registos de aplicação mostram erros de "endereço já em uso" ou "não é possível atribuir endereço solicitado". O esgotamento manifesta-se tipicamente sob carga quando muitas ligações de curta duração se abrem rapidamente para o mesmo IP e porta de destino.
Para evitar o cansaço:
- Utilize NAT Gateway para cargas de trabalho com um elevado número de ligações de saída. Cada IP público fornece 64.512 portas SNAT com alocação dinâmica em todos os recursos da sub-rede.
- Adicione IPs públicos ao seu NAT Gateway se a monitorização mostrar uso de portas superior a 80%. Adicione até 16 IPs públicos.
- Utilize a reutilização de ligações no código da aplicação para reutilizar ligações existentes em vez de abrir novas para cada pedido.
- Diversificar os pontos finais de destino sempre que possível. A alocação de portas SNAT é por IP de destino/tuple de porta, pelo que distribuir o tráfego entre múltiplos IPs de destino reduz a pressão das portas.
- Reduza os tempos limite de inatividade para recuperar as portas mais rapidamente. O tempo de espera padrão do NAT Gateway é de 4 minutos. Reduza este valor para cargas de trabalho que criam muitas ligações de curta duração.
Grupos de segurança de rede complementam o controlo de saída
Os grupos de segurança de rede (NSGs) e os métodos de tráfego de saída têm finalidades diferentes e funcionam em conjunto. Os NSGs filtram o tráfego por endereço IP e porta ao nível da sub-rede ou NIC. O NAT Gateway e o Azure Firewall controlam como o tráfego chega à internet. Utilize as duas camadas para uma defesa em profundidade. Consulte grupos de segurança de rede e grupos de segurança de aplicações para orientações de design NSG.
Considerações sobre tunelamento forçado
A saída de túnel forçado através da infraestrutura local pode introduzir latência e criar uma dependência do firewall local. Considere o Azure Firewall para inspeção de saída se a baixa latência for importante. Se a conformidade exigir inspeção local, teste a latência de ponta a ponta das subredes de carga de trabalho e certifique-se de que o caminho local consegue lidar com os requisitos de throughput sem se tornar um gargalo.
Evitar a exfiltração de dados
O filtragem FQDN do Azure Firewall impede a exfiltração de dados ao restringir as ligações de saída apenas a nomes de domínio aprovados. Defina regras de aplicação que permitam tráfego para FQDNs específicas (por exemplo, *.blob.core.windows.net ou api.partner.com) e negue todas as outras ligações de saída. Esta abordagem garante que cargas de trabalho comprometidas não possam enviar dados para endpoints controlados pelo atacante.
Artigos relacionados
- Redes e subredes virtuais: design de sub-redes e encaminhamento UDR
- Planeamento de endereços IP: alocação pública de IP para NAT Gateway
- Colocação e regras do Azure Firewall: orientações detalhadas sobre firewall que abrangem prioridades de recolha de regras e padrões de arquitetura
- Grupos de segurança de rede e grupos de segurança de aplicações: filtragem de tráfego que complementa o controlo de saída
- Conectividade híbrida: o tunelamento forçado encaminha o tráfego de saída para o ambiente local quando necessário
- Conectividade de entrada à Internet: o equivalente de entrada do tráfego de saída
Saiba mais
- Documentação do Gateway NAT do Azure
- Documentação do Azure Firewall
- Acesso de saída predefinido para VMs no Azure
- Dimensionar portas SNAT com o Azure NAT Gateway (integração do Firewall)
- Azure Firewall funcionalidades premium
Passos seguintes
Dica
Explorar sozinho? Volte ao navegador de visão geral para encontrar o seu próximo artigo por capacidade.
A seguir na sua jornada de levantar e deslocar:
Configure o firewall do seu hub: Configure o Azure Firewall para inspeção centralizada este-oeste e controlo de tráfego de saída.
Próximo passo na sua jornada de modernização:
Configura o firewall do teu hub: Configura o Azure Firewall como SNAT/DNAT no teu hub para eliminar todo o tráfego antes que chegue ao teu nível de aplicação.
A seguir na sua jornada através da cloud:
Configurar a monitorização entre clouds: Os ambientes entre clouds são mais difíceis de resolver problemas. Estabeleça a monitorização antes da entrada em produção.