Sdílet prostřednictvím

Kurz: Filtrování příchozího internetového nebo intranetového provozu pomocí DNAT zásad služby Azure Firewall pomocí webu Azure Portal

  • Článek

Můžete nakonfigurovat zásady služby Azure Firewall pro překlad cílových síťových adres (DNAT) pro překlad a filtrování příchozího internetového nebo intranetového provozu (Preview) do vašich podsítí. Při konfiguraci DNAT se akce shromažďování pravidel nastaví na DNAT. Každé pravidlo v kolekci pravidel překladu adres (NAT) se pak dá použít k překladu veřejné nebo privátní IP adresy brány firewall a portu na privátní IP adresu a port. Pravidla DNAT implicitně přidávají odpovídající pravidlo sítě, které povoluje přeložený provoz. Z bezpečnostních důvodů doporučujeme přidat konkrétní zdroj, který umožní přístup DNAT k síti a vyhnout se použití zástupných znaků. Další informace najdete v článku, který pojednává o logice zpracování pravidel služby Azure Firewall.

V tomto kurzu se naučíte:

  • Nastavit testovací síťové prostředí
  • Nasazení brány firewall a zásad
  • Vytvořit výchozí trasu
  • Konfigurace pravidla DNAT
  • Testovat bránu firewall

Požadavky

Pokud ještě nemáte předplatné Azure, vytvořte si napřed bezplatný účet.

Vytvoření skupiny zdrojů

  1. Přihlaste se k portálu Azure.
  2. Na domovské stránce webu Azure Portal vyberte Skupiny prostředků a pak vyberte Přidat.
  3. V části Předplatné vyberte své předplatné.
  4. Jako Název skupiny prostředků zadejte RG-DNAT-Test.
  5. V části Oblast vyberte oblast. Všechny ostatní prostředky, které vytvoříte, musí být ve stejné oblasti.
  6. Vyberte Zkontrolovat a vytvořit.
  7. Vyberte Vytvořit.

Nastavení síťového prostředí

V tomto kurzu vytvoříte dvě partnerské virtuální sítě:

  • VN-Hub – v této virtuální síti bude brána firewall.
  • VN-Spoke – v této virtuální síti bude server úloh.

Nejprve vytvořte virtuální sítě a pak mezi nimi vytvořte partnerský vztah.

Vytvoření virtuální sítě centra

  1. Na domovské stránce webu Azure Portal vyberte Všechny služby.

  2. V části Sítě vyberte Virtuální sítě.

  3. Vyberte Přidat.

  4. Jako skupinu prostředků vyberte RG-DNAT-Test.

  5. Jako Název zadejte VN-Hub.

  6. V části Oblast vyberte stejnou oblast, kterou jste použili dříve.

  7. Vyberte Další: IP adresy.

  8. Pro adresní prostor IPv4 přijměte výchozí adresní prostor 10.0.0.0/16.

  9. V části Název podsítě vyberte výchozí.

  10. Upravte název podsítě a zadejte AzureFirewallSubnet.

    Brána firewall bude v této podsíti a název podsítě musí být AzureFirewallSubnet.

    Poznámka:

    Velikost podsítě AzureFirewallSubnet je /26. Další informace o velikosti podsítě najdete v nejčastějších dotazech ke službě Azure Firewall.

  11. Jako rozsah adres podsítě zadejte 10.0.1.0/26.

  12. Zvolte Uložit.

  13. Vyberte Zkontrolovat a vytvořit.

  14. Vyberte Vytvořit.

Vytvoření virtuální sítě paprsku

  1. Na domovské stránce webu Azure Portal vyberte Všechny služby.
  2. V části Sítě vyberte Virtuální sítě.
  3. Vyberte Přidat.
  4. Jako skupinu prostředků vyberte RG-DNAT-Test.
  5. Jako Název zadejte VN-Spoke.
  6. V části Oblast vyberte stejnou oblast, kterou jste použili dříve.
  7. Vyberte Další: IP adresy.
  8. Pro adresní prostor IPv4 upravte výchozí a zadejte 192.168.0.0/16.
  9. Vyberte Přidat podsíť.
  10. Jako název podsítě zadejte SN-Workload.
  11. Jako rozsah adres podsítě zadejte 192.168.1.0/24.
  12. Vyberte Přidat.
  13. Vyberte Zkontrolovat a vytvořit.
  14. Vyberte Vytvořit.

Vytvoření partnerského vztahu virtuálních sítí

Teď mezi dvěma virtuálními sítěmi vytvořte partnerský vztah.

  1. Vyberte virtuální síť VN-Hub.
  2. V části Nastavení vyberte Partnerské vztahy.
  3. Vyberte Přidat.
  4. V části Tato virtuální síť jako název propojení peeringu zadejte Peer-HubSpoke.
  5. V části Vzdálená virtuální síť jako název propojení peeringu zadejte Peer-SpokeHub.
  6. Jako virtuální síť vyberte VN-Spoke.
  7. Přijměte všechny ostatní výchozí hodnoty a pak vyberte Přidat.

Vytvoření virtuálního počítače

Vytvořte virtuální počítač úloh a umístěte ho do podsítě SN-Workload.

  1. Z nabídky portálu Azure vyberte možnost Vytvořit prostředek.
  2. V části Oblíbené vyberte Windows Server 2016 Datacenter.

Základy

  1. V části Předplatné vyberte své předplatné.
  2. Jako skupinu prostředků vyberte RG-DNAT-Test.
  3. Jako název virtuálního počítače zadejte Srv-Workload.
  4. V části Oblast vyberte stejné umístění, které jste použili dříve.
  5. Zadejte uživatelské jméno a heslo.
  6. Vyberte Další: Disky.

Disky

  1. Vyberte Další: Sítě.

Sítě

  1. V případě virtuální sítě vyberte VN-Spoke.
  2. Jako Podsíť vyberte SN-Workload.
  3. Jako veřejnou IP adresu vyberte Žádné.
  4. U veřejných příchozích portů vyberte Žádné.
  5. Ponechte ostatní výchozí nastavení a vyberte Další: Správa.

Správa

  1. V případě diagnostiky spouštění vyberte Zakázat.
  2. Vyberte Zkontrolovat a vytvořit.

Zkontrolovat a vytvořit

Zkontrolujte souhrn a pak vyberte Vytvořit. Dokončení tohoto procesu může několik minut trvat.

Po dokončení nasazení si poznamenejte privátní IP adresu virtuálního počítače. Použijete ji později při konfiguraci brány firewall. Vyberte název virtuálního počítače a v části Nastavení vyberte Sítě a vyhledejte privátní IP adresu.

Nasazení brány firewall a zásad

  1. Na domovské stránce portálu vyberte Vytvořit prostředek.

  2. Vyhledejte bránu firewall a pak vyberte Bránu firewall.

  3. Vyberte Vytvořit.

  4. Na stránce Vytvoření brány firewall nakonfigurujte bránu firewall podle následující tabulky:

    Nastavení Hodnota
    Předplatné <Vaše předplatné>
    Skupina prostředků Výběr testu RG-DNAT-Test
    Název FW-DNAT-test
    Oblast Vyberte dříve použité umístění.
    Správa brány firewall Použití zásad brány firewall ke správě této brány firewall
    Zásady brány firewall Přidání nových:
    fw-dnat-pol
    vybraná oblast
    Volba virtuální sítě Použít existující: VN-Hub
    Veřejná IP adresa Přidat novou, Název: fw-pip.

  5. Přijměte ostatní výchozí hodnoty a pak vyberte Zkontrolovat a vytvořit.

  6. Projděte si souhrn a pak vyberte Vytvořit, abyste vytvořili bránu firewall.

    Nasazení trvá několik minut.

  7. Po dokončení nasazení přejděte do skupiny prostředků RG-DNAT-Test a vyberte bránu firewall FW-DNAT-test .

  8. Poznamenejte si privátní a veřejné IP adresy brány firewall. Později je použijete při vytváření výchozí trasy a pravidla překladu adres (NAT).

Vytvořit výchozí trasu

U podsítě SN-Workload nakonfigurujete výchozí trasu v odchozím směru, která půjde přes bránu firewall.

Důležité

Není nutné konfigurovat explicitní trasu zpět do brány firewall v cílové podsíti. Azure Firewall je stavová služba a zpracovává pakety a relace automaticky. Pokud vytvoříte tuto trasu, vytvoříte asymetrické prostředí směrování, které přeruší logiku stavové relace a způsobí vyřazené pakety a připojení.

  1. Na domovské stránce webu Azure Portal vyberte Všechny služby.

  2. V části Sítě vyberte Směrovací tabulky.

  3. Vyberte Přidat.

  4. V části Předplatné vyberte své předplatné.

  5. Jako skupinu prostředků vyberte RG-DNAT-Test.

  6. V části Oblast vyberte stejnou oblast, kterou jste použili dříve.

  7. Jako název zadejte RT-FW-route.

  8. Vyberte Zkontrolovat a vytvořit.

  9. Vyberte Vytvořit.

  10. Vyberte Přejít k prostředku.

  11. Vyberte Podsítě a pak vyberte Přidružit.

  12. V případě virtuální sítě vyberte VN-Spoke.

  13. Jako Podsíť vyberte SN-Workload.

  14. Vyberte OK.

  15. Vyberte Trasy a pak vyberte Přidat.

  16. Jako název trasy zadejte fw-dg.

  17. V části Předpona IP adresy zadejte 0.0.0.0/0.

  18. V části Typ dalšího směrování vyberte Virtuální zařízení.

    Brána Azure Firewall je ve skutečnosti spravovaná služba, ale v tomto případě bude virtuální zařízení fungovat.

  19. V části Adresa dalšího směrování zadejte dříve poznamenanou privátní IP adresu brány firewall.

  20. Vyberte OK.

Konfigurace pravidla překladu adres (NAT)

Toto pravidlo umožňuje připojit vzdálenou plochu k virtuálnímu počítači Srv-Workload přes bránu firewall.

  1. Otevřete skupinu prostředků RG-DNAT-Test a vyberte zásadu brány firewall fw-dnat-pol.
  2. V části Nastavení vyberte pravidla DNAT.
  3. Vyberte Přidat kolekci pravidel.
  4. Jako název zadejte rdp.
  5. V části Priorita zadejte 200.
  6. Pro skupinu kolekce pravidel vyberte DefaultDnatRuleCollectionGroup.
  7. V části Pravidla zadejte jako název rdp-nat.
  8. Jako typ zdroje vyberte IP adresu.
  9. Jako zdroj zadejte *.
  10. V části Protokol vyberte TCP.
  11. Jako cílové porty zadejte 3389.
  12. Jako typ cíle vyberte IP adresu.
  13. Do pole Cíl zadejte veřejnou nebo privátní IP adresu brány firewall.
  14. Do pole Přeložená adresa zadejte privátní IP adresu Srv-Workload .
  15. Do pole Přeložený port zadejte 3389.
  16. Vyberte Přidat.

Testovat bránu firewall

  1. Připojte k veřejné IP adrese brány firewall vzdálenou plochu. Měli byste se připojit k virtuálnímu počítači Srv-Workload.
  2. Zavřete vzdálenou plochu.

Vyčištění prostředků

Prostředky brány firewall si můžete ponechat pro další kurz, nebo můžete odstraněním skupiny prostředků RG-DNAT-Test odstranit všechny prostředky související z bránou firewall, pokud už je nepotřebujete.

Další kroky

Nasazení a konfigurace služby Azure Firewall Premium