Azure 防火牆 SNAT 私人 IP 位址範圍

使用 Azure PowerShell 來指定防火牆的私有 IP 位址範圍。

新增防火牆

對於使用經典規則的新防火牆，請使用 New-AzFirewall 建立防火牆：

$azFw = @{
   Name               = '<fw-name>'
   ResourceGroupName  = '<resourcegroup-name>'
   Location           = '<location>'
   VirtualNetworkName = '<vnet-name>'
   PublicIpName       = '<public-ip-name>'
   PrivateRange       = @("IANAPrivateRanges", "192.168.1.0/24", "192.168.1.10")
}

New-AzFirewall @azFw

現有的防火牆

若要設定使用經典規則的現有防火牆，請使用 Get-AzFirewall 取得防火牆，並使用 Set-AzFirewall 更新：

$azfw = Get-AzFirewall -Name '<fw-name>' -ResourceGroupName '<resourcegroup-name>'
$azfw.PrivateRange = @("IANAPrivateRanges", "192.168.1.0/24", "192.168.1.10")
Set-AzFirewall -AzureFirewall $azfw

使用 Azure CLI 來指定防火牆的私有 IP 位址範圍。

新增防火牆

對於使用經典規則的新防火牆，請透過 az network firewall create 來建立防火牆：

az network firewall create \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

現有的防火牆

若要配置使用經典規則的現有防火牆，請使用 az network firewall update 更新防火牆：

az network firewall update \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

傳統規則

在部署 ARM 範本時設定 SNAT，請在 additionalProperties 屬性中加入以下程式碼：

"additionalProperties": {
   "Network.SNAT.PrivateRanges": "IANAPrivateRanges, IPRange1, IPRange2"
},

防火牆原則

與防火牆政策相關的 Azure 防火牆自 API 版本 2020-11-01 起支援 SNAT 私有範圍。 使用範本更新防火牆政策上的 SNAT 私有範圍。 下列範例會將防火牆設定為一律執行 SNAT 網路流量：

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "privateRanges": "[255.255.255.255/32]"
      }
   }
}

傳統規則

使用 Azure 入口網站指定防火牆的私有 IP 位址範圍。

1. 選取您的資源群組，然後選取您的防火牆。

2. 在 概覽 窗格中，於 私人 IP 範圍 下方，選取預設值 IANA RFC 1918。

   [編輯私人 IP 前置詞] 頁面便會開啟：

3. 預設情況下，Azure 防火牆 會配置 IANAPrivateRanges。

4. 編輯您環境的私人 IP 位址範圍，然後選取 [儲存]。

防火牆原則

1. 選取您的資源群組，然後選取您的防火牆原則。
2. 在 [設定] 資料行中選取 [私人 IP 範圍 (SNAT)]。
3. 在 [執行 SNAT] 底下選取要針對您環境執行 SNAT 的條件以自訂 SNAT 設定。
4. 選取 [套用]。

Azure CLI 不支援設定自動學習的 SNAT 路由。 使用 ARM 模板、Azure PowerShell 或 Azure portal。

請使用以下 JSON 來啟用防火牆政策中的自動學習功能：

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "autoLearnPrivateRanges": "Enabled"
      }
   }
}

請使用以下 JSON 將 Azure 路由伺服器 與防火牆關聯：

{
   "type": "Microsoft.Network/azureFirewalls",
   "apiVersion": "2024-05-01",
   "name": "[parameters('azureFirewalls_testFW_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "name": "AZFW_VNet",
         "tier": "Standard"
      },
      "threatIntelMode": "Alert",
      "additionalProperties": {
         "Network.RouteServerInfo.RouteServerID": "[parameters('virtualHubs_TestRouteServer_externalid')]"
      }
   }
}

在以下範例中，將變數名稱$azureFirewallName（、$rgname$location等）替換為你自己的值。

1. 使用 New-AzFirewall 建立一個帶有路由伺服器 ID 的新防火牆。

   # Specify the Route Server resource ID
   $routeServerId="/subscriptions/your_sub/resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
   
   # Create the firewall
   $azureFirewall = New-AzFirewall -Name $azureFirewallName `
       -ResourceGroupName $rgname `
       -Location $location `
       -RouteServerId $routeServerId
   
   # Verify the Route Server ID is set
   Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   

2. 透過使用 Get-AzFirewall 和 Set-AzFirewall，將路由伺服器與現有防火牆關聯起來。

   # Specify the Route Server resource ID
   $routeServerId="/subscriptions/your_sub/resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
   
   # Get the firewall
   $azFirewall = Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   
   # Associate the Route Server and update the firewall
   $azFirewall.RouteServerId = $routeServerId
   Set-AzFirewall -AzureFirewall $azFirewall
   
   # Verify the Route Server ID is updated
   Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
   

3. 使用 New-AzFirewallPolicySnat 和 New-AzFirewallPolicy 建立一個啟用自動學習的新防火牆政策。

   # Include AutoLearnPrivateRange to enable auto-learn
   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange -AutoLearnPrivateRange
   
   # Create the firewall policy with SNAT configuration
   $azureFirewallPolicy = New-AzFirewallPolicy -Name $azureFirewallPolicyName `
       -ResourceGroupName $rgname `
       -Location $location `
       -Snat $snat
   
   # Verify the firewall policy
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

4. 使用 New-AzFirewallPolicySnat 和 Set-AzFirewallPolicy，使用 SNAT 更新現有的防火牆原則。

   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange2 -AutoLearnPrivateRange
   
   # Update the firewall policy
   $azureFirewallPolicy.Snat = $snat
   Set-AzFirewallPolicy -InputObject $azureFirewallPolicy
   
   # Verify the update
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

5. 請使用 Get-AzFirewallLearnedIpPrefix 驗證已學到的前綴。

   Get-AzFirewallLearnedIpPrefix -Name $azureFirewallName -ResourceGroupName $rgname
   

若要使用 Azure 入口網站在 VNet 防火牆上設定自動學習 SNAT 路由：

1. 選取您的防火牆，然後選取 已學習的 SNAT IP 前綴。 新增路由伺服器。
2. 選擇你的防火牆政策，然後選擇私有 IP 範圍（SNAT）。 啟用 自動學習 IP 前綴，然後選擇 套用。
3. 要驗證的話，回到防火牆並選擇 「已學習的 SNAT IP 前綴 」以查看已學習的路由。

Azure CLI 不支援設定自動學習的 SNAT 路由。 使用 ARM 模板、Azure PowerShell 或 Azure portal。

請使用以下 JSON 來啟用防火牆政策中的自動學習功能。 對於 vHub 部署，你不需要手動關聯 Azure 路由伺服器。

{
   "type": "Microsoft.Network/firewallPolicies",
   "apiVersion": "2024-05-01",
   "name": "[parameters('firewallPolicies_DatabasePolicy_name')]",
   "location": "eastus",
   "properties": {
      "sku": {
         "tier": "Standard"
      },
      "snat": {
         "autoLearnPrivateRanges": "Enabled"
      }
   }
}

在以下範例中，將變數名稱$azureFirewallName（、$rgname$location等）替換為你自己的值。

1. 使用 New-AzFirewallPolicySnat 和 New-AzFirewallPolicy 建立一個啟用自動學習的新防火牆政策。

   # Include AutoLearnPrivateRange to enable auto-learn
   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange -AutoLearnPrivateRange
   
   # Create the firewall policy with SNAT configuration
   $azureFirewallPolicy = New-AzFirewallPolicy -Name $azureFirewallPolicyName `
       -ResourceGroupName $rgname `
       -Location $location `
       -Snat $snat
   
   # Verify the firewall policy
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

2. 使用 New-AzFirewallPolicySnat 和 Set-AzFirewallPolicy，使用 SNAT 更新現有的防火牆原則。

   $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange2 -AutoLearnPrivateRange
   
   # Update the firewall policy
   $azureFirewallPolicy.Snat = $snat
   Set-AzFirewallPolicy -InputObject $azureFirewallPolicy
   
   # Verify the update
   Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

3. 使用 Get-AzVirtualHub 取得虛擬樞紐，並透過 Get-AzFirewallPolicy 取得防火牆政策。

   $Hub = Get-AzVirtualHub -ResourceGroupName $rgname -Name $virtualHubName
   $azureFirewallPolicy = Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname
   

4. 請使用 New-AzFirewallHubPublicIpAddress 與 New-AzFirewallHubIpAddress 建立公共 IP 設定。

   $azureFirewallPIPs = New-AzFirewallHubPublicIpAddress -Count 1
   $azureFirewallHubIPs = New-AzFirewallHubIpAddress -PublicIP $azureFirewallPIPs
   

5. 使用 New-AzFirewall 建立帶有自動學習政策的 vHub 防火牆。

   $azureFirewall = New-AzFirewall -Name $azureFirewallName `
       -ResourceGroupName $rgname `
       -Location $location `
       -VirtualHubId $Hub.Id `
       -FirewallPolicyId $azureFirewallPolicy.Id `
       -SkuName "AZFW_Hub" `
       -HubIPAddress $azureFirewallHubIPs `
       -SkuTier $FirewallTier
   

6. 請使用 Get-AzFirewallLearnedIpPrefix 驗證已學到的前綴。

   Get-AzFirewallLearnedIpPrefix -Name $azureFirewallName -ResourceGroupName $rgname
   

由於 Azure 路由伺服器 已部署於安全的虛擬中樞環境，您只需在防火牆政策中啟用此功能：

1. 選擇你的防火牆政策，然後選擇私有 IP 範圍（SNAT）。 啟用 自動學習 IP 前綴，然後選擇 套用。
2. 要驗證的話，回到防火牆並選擇 「已學習的 SNAT IP 前綴 」以查看已學習的路由。