次の方法で共有

Azure Front Door 用の WAF で IP 制限規則を構成する

  • [アーティクル]

この記事では、Azure portal、Azure CLI、Azure PowerShell、または Azure Resource Manager テンプレートを使って、Azure Front Door 用の Web アプリケーション ファイアウォール (WAF) で IP 制限規則を構成する方法を示します。

IP アドレス ベースのアクセス制御規則は、Web アプリケーションへのアクセスの制御を可能にするカスタム WAF 規則です。 規則では、Classless Inter-Domain Routing (CIDR) 形式で IP アドレスまたは IP アドレス範囲の一覧が指定されます。

IP アドレスの一致には、RemoteAddr と SocketAddr の 2 種類の一致変数があります。 RemoteAddr 変数は、通常は X-Forwarded-For 要求ヘッダーを介して送信される元のクライアントの IP です。 SocketAddr 変数は、WAF が認識するソース IP アドレスです。 ユーザーがプロキシの内側にある場合、SocketAddr は通常、プロキシ サーバーのアドレスです。

既定では、Web アプリケーションにはインターネットからアクセスできます。 既知の IP アドレスまたは IP アドレス範囲の一覧からクライアントへのアクセスを制限する場合、照合値として IP アドレスの一覧が含まれ、演算子を Not (否定が true) に、アクションを Block に設定する IP 照合ルールを作成する必要があります。 IP 制限規則が適用されると、この許可リストに含まれていないアドレスからの要求は、403 (禁止) 応答を受け取ります。

WAF ポリシーを構成する

Azure portal を使用して WAF ポリシーを構成するには、次の手順に従います。

前提条件

Azure Front Door プロファイルを作成するには、「クイック スタート: グローバル Web アプリケーションの高可用性を実現するフロント ドアを作成する」に記載されている手順に従ってください。

WAF ポリシーを作成する

  1. Azure portal で、 [リソースの作成] を選択します。 [検索サービスとマーケットプレース] 検索ボックスに「Web アプリケーション ファイアウォール」と入力し、Enter キーを押します。 [Azure Web Application Firewall (WAF)] を選択します。

  2. ［作成］ を選択します

  3. [Create a WAF policy]/(WAF ポリシーの作成/) ページで、次の値を使用して [基本] タブを完成させます。

    設定 値
    次に対するポリシー グローバル WAF (フロント ドア)。
    Front Door のレベル Azure Front Door のレベルに合わせて Premium または Standard を選択します。
    サブスクリプション サブスクリプションを選択します。
    Resource group Azure Front Door があるリソース グループを選択します。
    ポリシー名 ポリシーの名前を入力します。
    [ポリシーの状態] 選択済み
    ポリシー モード 防止

  4. [Next : Managed rules]\(次へ : マネージド ルール\) を選択します。

  5. [次へ: ポリシー設定] を選択します。

  6. [ポリシー設定] タブで、ブロックの応答本文に「You've been blocked!」と入力します。これにより、カスタム ルールが有効であることを確認できます。

  7. Next:[Next: Custom rules]/(次へ: カスタム ルール/) を選択します。

  8. [カスタム ルールの追加] を選択します。

  9. [カスタム ルールの追加] ページで、次のテスト値を使用してカスタム ルールを作成します。

    設定 値
    カスタム ルール名 FdWafCustRule
    Status Enabled
    規則の種類 一致したもの
    Priority 100
    一致の種類 IP アドレス
    一致変数 SocketAddr
    操作 [次の値を含まない]
    IP アドレスまたは範囲 10.10.10.0/24
    THEN トラフィックを拒否する

    カスタム規則

    [追加] を選択します。

  10. Next:[Next: Association]/(次へ: 関連付け/) を選択します。

  11. [Associate a Front door profile](Font Door プロファイルを関連付ける) を選択します。

  12. [Frontend profile](フロントエンド プロファイル) では、フロントエンド プロファイルを選択します。

  13. [ドメイン] では、ドメインを選択します。

  14. [追加] を選択します。

  15. [Review + create](レビュー + 作成) を選択します。

  16. ポリシー検証に合格した後、 [作成] を選択します。

WAF ポリシーをテストする

  1. WAF ポリシーのデプロイが完了したら、Azure Front Door フロントエンド ホスト名を参照します。

  2. カスタム ブロック メッセージが表示されています。

    WAF 規則のテスト

    Note

    プライベート IP アドレスは、必ずルールがトリガーされるように、カスタム ルールで意図的に使用されていました。 実際のデプロイでは、特定の状況に対して IP アドレスを使用して、許可および拒否ルールを作成します。

次のステップ

Azure Front Door プロファイルを作成する方法について学習します。