Filtragem FQDN do Firewall do Azure

Um nome de domínio totalmente qualificado (FQDN) é o nome de domínio completo de um host na Internet, como www.microsoft.com. Na Firewall do Azure e política de Firewall, os FQDNs podem ser usados para filtrar o tráfego em regras de DNAT, rede e aplicações, dependendo do tipo e direção do tráfego inspecionado.

Como funciona

O Firewall do Azure lida com a filtragem baseada em FQDN dependendo do tipo de regra:

  • As regras de aplicativo usam FQDNs para filtrar o tráfego HTTP/S e MSSQL. Eles dependem de um proxy transparente ao nível de aplicação e do cabeçalho SNI (Indicação de Nome do Servidor) para diferenciar entre FQDNs que resolvem para o mesmo endereço IP. Em outras palavras, os FQDNs são combinados e filtrados em relação ao domínio original solicitado pelo cliente, não com base no endereço IP resolvido.
  • As regras de rede e DNAT filtram o tráfego com base nos endereços IP resolvidos dos FQDNs, usando o DNS do Azure ou um servidor DNS personalizado. O Firewall do Azure mantém e atualiza dinamicamente a lista de endereços IP associados para os FQDNs, garantindo que o tráfego seja roteado corretamente, mesmo que os endereços IP subjacentes sejam alterados.

Quando se utiliza a resolução DNS, o Azure Firewall:

  • Resolve o FQDN para seu endereço IP correspondente.
  • Usa o endereço IP resolvido para aplicar o tipo de regra apropriado (DNAT ou rede)
  • Atualiza mapeamentos de FQDN parato-IP a cada 15 segundos.
  • Remove endereços IP que não são mais resolvidos ou utilizados após 15 minutos.

Observação

Este comportamento de atualização aplica-se aos mapeamentos FQDN-to-IP que Azure Firewall mantém para o processamento de regras. É separado da cache proxy DNS do Azure Firewall, que armazena as respostas DNS de acordo com o TTL e não faz pré-busca de registos antes do TTL expirar. Para comportamentos de cache de proxy DNS, consulte definições DNS do Azure Firewall e detalhes do proxy DNS do Azure Firewall.

Diferenças entre filtragem FQDN em regras DNAT e regras de rede e regras de aplicativo

Regras DNAT

As regras DNAT (Destination Network Address Translation) são usadas para rotear o tráfego de entrada para servidores back-end. Essas regras permitem que você especifique um endereço IP ou FQDN como o destino para tradução. O uso de FQDNs em regras DNAT permite especificar um nome de domínio totalmente qualificado para o servidor back-end, o que é particularmente útil em ambientes dinâmicos onde o endereço IP do servidor back-end pode ser alterado com freqüência.

Principais características:

  • Habilite o roteamento de tráfego de entrada para servidores back-end.
  • Suporta segmentação baseada em FQDN para ambientes dinâmicos.
  • Útil para cenários que exigem configurações flexíveis de servidor back-end.

Regras de rede

As regras de rede são usadas para filtrar o tráfego com base em qualquer protocolo TCP ou UDP, como NTP (Network Time Protocol), SSH (Secure Shell) e RDP (Ambiente de Trabalho Remoto Protocol). Ao contrário das regras de aplicativo, as regras de rede não dependem de um proxy de nível de aplicativo ou do cabeçalho SNI.

Observação

As regras de rede com filtragem FQDN não suportam o uso de caracteres curinga. Esta limitação é intencional desde a conceção.

Principais características:

  • Aplicável a todos os protocolos TCP e UDP.
  • Ideal para tráfego não-HTTP/S ou MSSQL.
  • Opere na camada de rede sem inspeção específica de protocolo.

Regras de aplicação

As regras de aplicativo são projetadas para filtrar o tráfego HTTP/S e MSSQL. Eles dependem de um proxy transparente ao nível de aplicação e do cabeçalho SNI (Indicação de Nome do Servidor) para diferenciar entre FQDNs que resolvem para o mesmo endereço IP. Essas regras são ideais para cenários em que você precisa controlar o acesso a serviços Web ou bancos de dados.

Principais características:

  • Mais adequado para protocolos HTTP/S e MSSQL.
  • Utilizar etiquetas FQDN para serviços do Azure, como Azure Backup e HDInsight.
  • Forneça granularidade mais fina para protocolos suportados.

Ao entender as diferenças entre esses tipos de regras, você pode configurar efetivamente o Firewall do Azure para atender às necessidades de segurança e gerenciamento de tráfego da sua organização.

Próximos passos

  • Última atualização a