Etiquetas de servicio de Azure Firewall

Una etiqueta de servicio representa un grupo de prefijos de direcciones IP que ayudan a reducir la complejidad de la creación de reglas de seguridad. No puede crear su propia etiqueta de servicio ni especificar qué direcciones IP se incluyen dentro de una etiqueta. Microsoft administra los prefijos de direcciones que incluye la etiqueta de servicio y actualiza automáticamente esta a medida que las direcciones cambian.

Las etiquetas de servicio de Azure Firewall se pueden usar en el campo de destino de las reglas de red. Puede usarlas en lugar de direcciones IP específicas.

Etiquetas de servicio admitidas

Azure Firewall admite las siguientes etiquetas de servicio para usarlas en las reglas de red de Azure Firewall:

• Etiquetas para varios servicios de Microsoft y Azure indicados en Etiquetas de servicio de red virtual.
• Etiquetas para las direcciones IP necesarias de los servicios de Office365, divididas por producto y categoría de Office365. Se deben definir los puertos TCP/UDP en las reglas. Para obtener más información, consulte Uso de Azure Firewall para proteger Office 365.

Configuración

Azure Firewall admite la configuración de etiquetas de servicio mediante PowerShell, la CLI de Azure o Azure Portal.

Configuración mediante Azure PowerShell

En este ejemplo, estamos realizando un cambio en una instancia de Azure Firewall mediante reglas clásicas. Primero debemos obtener el contexto de la instancia de Azure Firewall creada anteriormente.

$FirewallName = "AzureFirewall"
$ResourceGroup = "AzureFirewall-RG"
$azfirewall = Get-AzFirewall -Name $FirewallName -ResourceGroupName $ResourceGroup

A continuación, debemos crear una nueva regla. En Destino, puede especificar el valor de texto de la etiqueta de servicio que desea aprovechar, como se mencionó anteriormente.

$rule = New-AzFirewallNetworkRule -Name "AllowSQL" -Description "Allow access to Azure Database as a Service (SQL, MySQL, PostgreSQL, Datawarehouse)" -SourceAddress "10.0.0.0/16" -DestinationAddress Sql -DestinationPort 1433 -Protocol TCP
$ruleCollection = New-AzFirewallNetworkRuleCollection -Name "Data Collection" -Priority 1000 -Rule $rule -ActionType Allow

A continuación, tenemos que actualizar la variable que contiene la definición de Azure Firewall con las nuevas reglas de red que hemos creado.

$azFirewall.NetworkRuleCollections.add($ruleCollection)

Por último, debemos confirmar los cambios de la regla de red en la instancia de Azure Firewall de ejecución.

Set-AzFirewall -AzureFirewall $azfirewall

Pasos siguientes

Para más información acerca de las reglas de Azure Firewall, consulte Lógica de procesamiento de reglas de Azure Firewall.