Privata IP-adressintervall för Azure Firewall SNAT

Använd Azure PowerShell för att ange privata IP-adressintervall för brandväggen.

Ny brandvägg

För en ny brandvägg som använder klassiska regler, skapa brandväggen genom att använda New-AzFirewall:

$azFw = @{
   Name               = '<fw-name>'
   ResourceGroupName  = '<resourcegroup-name>'
   Location           = '<location>'
   VirtualNetworkName = '<vnet-name>'
   PublicIpName       = '<public-ip-name>'
   PrivateRange       = @("IANAPrivateRanges", "192.168.1.0/24", "192.168.1.10")
}

New-AzFirewall @azFw

Befintlig brandvägg

För att konfigurera en befintlig brandvägg som använder klassiska regler, hämta brandväggen genom att använda Get-AzFirewall och uppdatera den med Set-AzFirewall:

$azfw = Get-AzFirewall -Name '<fw-name>' -ResourceGroupName '<resourcegroup-name>'
$azfw.PrivateRange = @("IANAPrivateRanges", "192.168.1.0/24", "192.168.1.10")
Set-AzFirewall -AzureFirewall $azfw

Använd Azure CLI för att specificera privata IP-adressintervall för brandväggen.

Ny brandvägg

För en ny brandvägg som använder klassiska regler, skapa brandväggen genom att använda az network firewall create:

az network firewall create \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

Befintlig brandvägg

För att konfigurera en befintlig brandvägg som använder klassiska regler, uppdatera brandväggen genom att använda az network firewall update:

az network firewall update \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

Klassiska regler

Om du vill konfigurera SNAT under distributionen av ARM-mallar lägger du till följande kod i additionalProperties egenskapen:

"additionalProperties": {
   "Network.SNAT.PrivateRanges": "IANAPrivateRanges, IPRange1, IPRange2"
},

Brandväggsprincip

Azure-brandväggar kopplade till en brandväggspolicy stöder SNAT-privata intervall från och med API-version 2020-11-01. Använd en mall för att uppdatera SNAT:s privata område i brandväggspolicyn. Följande exempel konfigurerar brandväggen till alltid SNAT-nätverkstrafik:

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "privateRanges": "[255.255.255.255/32]"
      }
   }
}

Klassiska regler

Använd Azure-portalen för att ange privata IP-adressintervall för brandväggen.

1. Välj resursgruppen och välj sedan brandväggen.

2. I Översiktspanelen , under Private IP Ranges, välj standardvärdet IANA RFC 1918.

   Sidan Redigera privata IP-prefix öppnas:

3. Som standard konfigurerar Azure Firewall IANAPrivateRanges.

4. Redigera de privata IP-adressintervallen för din miljö och välj sedan Spara.

Brandväggsprincip

1. Välj resursgruppen och välj sedan brandväggsprincipen.
2. Välj Privata IP-intervall (SNAT) i kolumnen Inställningar .
3. Välj villkoren för att utföra SNAT för din miljö under Utför SNAT för att anpassa SNAT-konfigurationen.
4. Välj Använd.

Azure CLI stöder inte konfiguration av auto-learn SNAT-rutter. Använd en ARM-mall, Azure PowerShell eller Azure portal.

Använd följande JSON för att aktivera auto-inlärning i en brandväggspolicy:

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "autoLearnPrivateRanges": "Enabled"
      }
   }
}

Använd följande JSON för att associera en Azure Route Server med brandväggen:

{
   "type": "Microsoft.Network/azureFirewalls",
   "apiVersion": "2024-05-01",
   "name": "[parameters('azureFirewalls_testFW_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "name": "AZFW_VNet",
         "tier": "Standard"
      },
      "threatIntelMode": "Alert",
      "additionalProperties": {
         "Network.RouteServerInfo.RouteServerID": "[parameters('virtualHubs_TestRouteServer_externalid')]"
      }
   }
}

I följande exempel, ersätt variabelnamnen ($azureFirewallName, $rgname, $location, osv.) med dina egna värden.

1. Skapa en ny brandvägg med ett Route Server-ID genom att använda New-AzFirewall.

   # Specify the Route Server resource ID
   $routeServerId="/subscriptions/your_sub/resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
   
   # Create the firewall
   $azureFirewall = New-AzFirewall -Name $azureFirewallName `
       -ResourceGroupName $rgname `
       -Location $location `
       -RouteServerId $routeServerId
   
   # Verify the Route Server ID is set
   Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   

2. Koppla en Route Server till en befintlig brandvägg genom att använda Get-AzFirewall och Set-AzFirewall.

   # Specify the Route Server resource ID
   $routeServerId="/subscriptions/your_sub/resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
   
   # Get the firewall
   $azFirewall = Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   
   # Associate the Route Server and update the firewall
   $azFirewall.RouteServerId = $routeServerId
   Set-AzFirewall -AzureFirewall $azFirewall
   
   # Verify the Route Server ID is updated
   Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   

3. Skapa en ny brandväggspolicy med auto-learn aktiverad genom att använda New-AzFirewallPolicySnat och New-AzFirewallPolicy.

   # Include AutoLearnPrivateRange to enable auto-learn
   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange -AutoLearnPrivateRange
   
   # Create the firewall policy with SNAT configuration
   $azureFirewallPolicy = New-AzFirewallPolicy -Name $azureFirewallPolicyName `
       -ResourceGroupName $rgname `
       -Location $location `
       -Snat $snat
   
   # Verify the firewall policy
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

4. Uppdatera en befintlig brandväggspolicy med SNAT genom att använda New-AzFirewallPolicySnat och Set-AzFirewallPolicy.

   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange2 -AutoLearnPrivateRange
   
   # Update the firewall policy
   $azureFirewallPolicy.Snat = $snat
   Set-AzFirewallPolicy -InputObject $azureFirewallPolicy
   
   # Verify the update
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

5. Verifiera de inlärda prefixen genom att använda Get-AzFirewallLearnedIpPrefix.

   Get-AzFirewallLearnedIpPrefix -Name $azureFirewallName -ResourceGroupName $rgname
   

För att konfigurera auto-lärande SNAT-rutter på din VNet-brandvägg genom att använda Azure-portalen:

1. Välj din brandvägg och välj sedan Lärda SNAT IP-prefix Lägg till ruttservern.
2. Välj din brandväggspolicy och välj sedan Privata IP-intervall (SNAT). Aktivera Auto-learn IP-prefix och välj sedan Apply.
3. För att kontrollera går du tillbaka till brandväggen och väljer Inlärda SNAT-IP-prefix för att se de inlärda rutterna.

Azure CLI stöder inte konfiguration av auto-learn SNAT-rutter. Använd en ARM-mall, Azure PowerShell eller Azure portal.

Använd följande JSON för att aktivera auto-lärande i en brandväggspolicy. För vHub-distributioner behöver du inte koppla Azure Route Server manuellt.

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "autoLearnPrivateRanges": "Enabled"
      }
   }
}

I följande exempel, ersätt variabelnamnen ($azureFirewallName, $rgname, $location, osv.) med dina egna värden.

1. Skapa en ny brandväggspolicy med auto-learn aktiverad genom att använda New-AzFirewallPolicySnat och New-AzFirewallPolicy.

   # Include AutoLearnPrivateRange to enable auto-learn
   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange -AutoLearnPrivateRange
   
   # Create the firewall policy with SNAT configuration
   $azureFirewallPolicy = New-AzFirewallPolicy -Name $azureFirewallPolicyName `
       -ResourceGroupName $rgname `
       -Location $location `
       -Snat $snat
   
   # Verify the firewall policy
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

2. Uppdatera en befintlig brandväggspolicy med SNAT genom att använda New-AzFirewallPolicySnat och Set-AzFirewallPolicy.

   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange2 -AutoLearnPrivateRange
   
   # Update the firewall policy
   $azureFirewallPolicy.Snat = $snat
   Set-AzFirewallPolicy -InputObject $azureFirewallPolicy
   
   # Verify the update
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

3. Hämta den virtuella hubben genom att använda Get-AzVirtualHub och brandväggspolicyn genom att använda Get-AzFirewallPolicy.

   $Hub = Get-AzVirtualHub -ResourceGroupName $rgname -Name $virtualHubName
   $azureFirewallPolicy = Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

4. Skapa en publik IP-konfiguration genom att använda New-AzFirewallHubPublicIpAddress och New-AzFirewallHubHubIpAddress.

   $azureFirewallPIPs = New-AzFirewallHubPublicIpAddress -Count 1
   $azureFirewallHubIPs = New-AzFirewallHubIpAddress -PublicIP $azureFirewallPIPs
   

5. Skapa vHub-brandväggen med auto-learn-policyn genom att använda New-AzFirewall.

   $azureFirewall = New-AzFirewall -Name $azureFirewallName `
       -ResourceGroupName $rgname `
       -Location $location `
       -VirtualHubId $Hub.Id `
       -FirewallPolicyId $azureFirewallPolicy.Id `
       -SkuName "AZFW_Hub" `
       -HubIPAddress $azureFirewallHubIPs `
       -SkuTier $FirewallTier
   

6. Verifiera de inlärda prefixen genom att använda Get-AzFirewallLearnedIpPrefix.

   Get-AzFirewallLearnedIpPrefix -Name $azureFirewallName -ResourceGroupName $rgname
   

Eftersom Azure Route Server redan är distribuerad i säkra virtuella hubbmiljöer behöver du bara aktivera funktionen i din brandväggspolicy:

1. Välj din brandväggspolicy och välj sedan Privata IP-intervall (SNAT). Aktivera Auto-learn IP-prefix och välj sedan Apply.
2. Bekräfta detta genom att gå tillbaka till brandväggen och välja Inlärda SNAT-IP-prefix för att visa de inlärda rutterna.