Oefening: netwerkverkeer routeren via Azure Firewall

  • 20 minuten

In de vorige oefening hebt u Azure Firewall geïmplementeerd. Nu moet u al het netwerkverkeer via de firewall routeren en het verkeer filteren met behulp van firewallregels. Wanneer u klaar bent, beveiligt Azure Firewall uitgaand netwerkverkeer voor Azure Virtual Desktop.

Al het verkeer routeren via de firewall

Configureer voor het subnet dat de hostgroep gebruikt de uitgaande standaardroute om door de firewall te gaan. U voert de volgende drie stappen uit:

  1. Maak een routetabel in dezelfde resourcegroep als de VM's en firewall van uw hostgroep.
  2. Koppel de routetabel aan het subnet dat uw hostgroep-VM's gebruiken.
  3. Voeg in de routetabel de route toe aan de firewall.

Nadat u deze stappen hebt voltooid, wordt al het verkeer doorgestuurd naar Azure Firewall.

Routetabel maken

Eerst maakt u een routetabel met de naam firewallroute.

  1. Zoek en selecteer in Azure Portalroutetabellen.

  2. Selecteer +maken.

  3. Gebruik de volgende waarden:

    Veld Waarde
    Abonnement Uw abonnement
    Resourcegroep learn-firewall-rg
    Regio Selecteer dezelfde locatie die u eerder hebt gebruikt.
    Naam firewall-route

    Schermopname van de informatie die moet worden opgenomen bij het maken van een routetabel.

  4. Selecteer Beoordelen + maken>Maken.

  5. Nadat de implementatie is voltooid, selecteert u Ga naar de resource.

Routetabel koppelen aan het subnet van de workload

Nu koppelt u firewallroute aan het subnet van de hostgroep.

  1. Selecteer bij firewall-route, onder Instellingen, Subnetten. Schermopname van de subnetoptie onder instellingen voor de firewallroute.

  2. Selecteer en koppel.

  3. Selecteer de volgende waarden:

    Veld Waarde
    Virtueel netwerk hostVNet
    Subnetwerk hostSubnet

  4. Selecteer OK en wacht totdat de koppeling is toegevoegd.

Route toevoegen aan routetabel

De laatste stap is het toevoegen van een route aan Azure Firewall in de routetabel. Nadat u deze stap hebt voltooid, wordt al het netwerkverkeer in het virtuele netwerk van de hostgroep gerouteerd via Azure Firewall.

  1. Selecteer onder Instellingende optie Routes.

    Schermopname van de optie Routes onder instellingen in de firewallroutetabel.

  2. Selecteer +toevoegen.

  3. Voer de volgende waarden in:

    Veld Waarde
    Routenaam fw-rt
    Doeltype IP-adressen
    DOEL-IP-adressen/CIDR-bereiken 0.0.0.0/0
    Het volgende hoptype Virtueel apparaat
    Adres van de volgende hop Plak het privé-IP-adres van de firewall uit de vorige oefeningseenheid. Deze vindt u op uw firewallpagina, vermeld als privé-IP-adres van de firewall.

    Schermopname van de informatie die moet worden opgenomen bij het toevoegen van een route.

  4. Selecteer toevoegen.

Een toepassingsregelverzameling maken

Standaard weigert de firewall de toegang tot alles, dus u moet voorwaarden configureren waaronder verkeer wordt toegestaan via de firewall.

Maak een verzameling toepassingsregels met regels om Azure Virtual Desktop toegang te geven tot verschillende FQDN's (Fully Qualified Domain Names).

  1. Zoek en selecteer in de Azure Portal Firewalls.

  2. Selecteer de learn-fw firewall.

  3. Selecteer onder Instellingenregels (klassiek). Schermopname van de klassieke regeloptie onder instellingen in de firewall.

  4. Selecteer het tabblad toepassingsregelverzameling en selecteer Toepassingsregelverzameling toevoegen. Schermopname van het tabblad Verzameling van toepassingsregels met de optie Toepassingsregelverzameling toevoegen.

  5. Voer de volgende gegevens in:

    Veld Waarde
    Naam app-coll01
    Voorrang 200
    Handeling Toestaan

  6. Voer onder Regelsin de sectie FQDN-tags de volgende gegevens in:

    Veld Waarde
    Naam sta-virtueel-bureaublad-toe
    Brontype IP-adres
    Bron Adresruimte voor hostVNet, zoals 10.0.0.0/16
    FQDN-tags Windows Virtual Desktop

  7. Voer onder Regelsin de sectie Doel-FQDN's de volgende gegevens in:

    Veld Waarde
    Naam opslag service bus-accounts toestaan
    Brontype IP-adres
    Bron Adresruimte voor hostVNet, zoals 10.0.0.0/16
    Protocol:Poort https
    Doel-FQDNs *xt.blob.core.windows.net, *eh.servicebus.windows.net, *xt.table.core.windows.net

  8. Wanneer u klaar bent, ziet het formulier eruit zoals in de volgende afbeelding: Schermopname waarin het ingevulde formulier voor de verzameling van toepassingsregels wordt weergegeven.

  9. Selecteer toevoegen.

Een netwerkregelverzameling maken

Stel dat ons scenario gebruikmaakt van Microsoft Entra Domain Services (Microsoft Entra Domain Services), dus u hoeft geen netwerkregel te maken om DNS toe te staan. U moet echter wel een regel maken om verkeer van uw Azure Virtual Desktop-VM's naar de Windows-activeringsservice toe te staan. Gebruik voor onze netwerkinstelling voor Key Management Services (KMS) het IP-adres van de bestemming van de KMS-server voor de wereldwijde Azure-cloud.

  1. Selecteer in learn-fw>Regels (klassiek)de netwerkregelverzameling .

  2. Selecteer het tabblad Netwerkregelverzameling en selecteer vervolgens Verzameling netwerkregels toevoegen. Schermopname van het tabblad Verzameling van netwerkregels met de optie Netwerkregelverzameling toevoegen.

  3. Voer de volgende gegevens in:

    Veld Waarde
    Naam net-coll01
    Voorrang 200
    Actie Toestaan

  4. Voer onder Regelsin de sectie IP-adressen de volgende gegevens in:

    Veld Waarde
    Naam allow-kms
    Protocol TCP
    Brontype IP-adres
    Bron Adresruimte voor hostVNet, zoals 10.0.0.0/16
    Doeltype IP-adres
    Doeladres 23.102.135.246
    Doelpoorten 1688

  5. Wanneer u klaar bent, ziet het formulier eruit zoals in de volgende afbeelding: Schermopname waarin het formulier voor het verzamelen van netwerkregels wordt weergegeven.

  6. Selecteer toevoegen.

Uw werk controleren

Op dit moment hebt u al het netwerkverkeer voor Azure Virtual Desktop gerouteerd via de firewall. Laten we controleren of de firewall werkt zoals verwacht. Uitgaand netwerkverkeer van de hostgroep moet worden gefilterd via de firewall naar de Azure Virtual Desktop-service. U kunt controleren of de firewall verkeer naar de service toestaat door de status van de serviceonderdelen te controleren.

  1. Voer in Azure Cloud Shell de volgende opdracht uit:

    "rdgateway", "rdbroker","rdweb"|% `
{Invoke-RestMethod -Method:Get `
-Uri https://$_.wvd.microsoft.com/api/health}|ft `
-Property Health,TimeStamp,ClusterUrl

  2. U krijgt ongeveer de volgende resultaten, waarbij alle drie de onderdeelservices als in orde worden vermeld:

    Health               TimeStamp           ClusterUrl
------               ---------           ----------
RDGateway is Healthy 7/2/2021 6:00:00 PM https://rdgateway-c101-cac-r1.wvd.microsoft.com/
RDBroker is Healthy  7/2/2021 6:00:00 PM https://rdbroker-c100-cac-r1.wvd.microsoft.com/
RDWeb is Healthy     7/2/2021 6:00:00 PM https://rdweb-c100-cac-r1.wvd.microsoft.com/

    Als een of meer onderdelen niet in orde zijn, werkt de firewall niet zoals verwacht.