Ćwiczenie — kierowanie ruchu sieciowego przez usługę Azure Firewall
W poprzednim ćwiczeniu wdrożono usługę Azure Firewall. Teraz musisz kierować cały ruch sieciowy przez zaporę i filtrować ruch przy użyciu reguł zapory. Gdy skończysz, usługa Azure Firewall będzie chronić wychodzący ruch sieciowy dla usługi Azure Virtual Desktop.
Kierowanie całego ruchu przez zaporę
W przypadku podsieci używanej przez pulę hostów skonfiguruj domyślną trasę ruchu wychodzącego, aby przejść przez zaporę. Wykonasz następujące trzy kroki:
- Utwórz tabelę tras w tej samej grupie zasobów co maszyny wirtualne i zapory puli hostów.
- Skojarz tabelę tras z podsiecią używaną przez maszyny wirtualne puli hostów.
- W tabeli tras dodaj trasę do zapory.
Po wykonaniu tych kroków cały ruch będzie kierowany do usługi Azure Firewall.
Tworzenie tabeli tras
Najpierw utworzysz tabelę tras o nazwie firewall-route.
W witrynie Azure Portal wyszukaj i wybierz pozycję Tabele tras.
Wybierz + Utwórz.
Użyj następujących wartości:
Pole Wartość Subskrypcja Twoja subskrypcja Grupa zasobów learn-firewall-rg Region (Region) Wybierz tę samą lokalizację, która była wcześniej używana. Nazwisko zapora — trasa 
Wybierz pozycję Przeglądanie + tworzenie>Utwórz.
Po zakończeniu wdrażania wybierz pozycję Przejdź do zasobu.
Kojarzenie tabeli tras z podsiecią obciążenia
Teraz skojarzysz trasę zapory z podsiecią puli hostów.
Na trasie zapory w obszarze Ustawienia wybierz pozycję Podsieci.
Wybierz pozycję + Skojarz.
Wybierz następujące wartości:
Pole Wartość Sieć wirtualna hostVNet Podsieć hostSubnet Wybierz przycisk OK i poczekaj na dodanie skojarzenia.
Dodawanie trasy do tabeli tras
Ostatnim krokiem jest dodanie trasy do usługi Azure Firewall w tabeli tras. Po wykonaniu tego kroku cały ruch sieciowy w sieci wirtualnej puli hostów będzie kierowany przez usługę Azure Firewall.
W obszarze Ustawienia wybierz pozycję Trasy.
Wybierz + Dodaj.
Wprowadź następujące wartości:
Pole Wartość Nazwa trasy fw-rt Typ docelowy Adresy IP Docelowe adresy IP/zakresy CIDR 0.0.0.0/0 Typ następnego przeskoku Urządzenie wirtualne Adres następnego przeskoku Wklej prywatny adres IP zapory z poprzedniej lekcji ćwiczenia. Można to znaleźć na stronie Zapora na liście prywatny adres IP zapory. 
Wybierz Dodaj.
Tworzenie kolekcji reguł aplikacji
Domyślnie zapora odmawia dostępu do wszystkich elementów, dlatego należy skonfigurować warunki, w których ruch jest dozwolony przez zaporę.
Utwórz kolekcję reguł aplikacji z regułami, aby umożliwić usłudze Azure Virtual Desktop dostęp do kilku w pełni kwalifikowanych nazw domen (FQDN).
W witrynie Azure Portal wyszukaj i wybierz pozycję Zapory.
Wybierz zaporę learn-fw .
W obszarze Ustawienia wybierz pozycję Reguły (klasyczne).
Wybierz kartę Kolekcja reguł aplikacji i wybierz pozycję Dodaj kolekcję reguł aplikacji.
Wprowadź następujące informacje:
Pole Wartość Nazwisko app-coll01 Priorytet 200 Akcja Zezwalaj W obszarze Reguły w sekcji Tagi FQDN wprowadź następujące informacje:
Pole Wartość Nazwisko allow-virtual-desktop Source type Adres IP Źródło Przestrzeń adresowa hostVNet, na przykład 10.0.0.0/16 Tagi FQDN Windows Virtual Desktop W obszarze Reguły w sekcji Docelowe nazwy FQDN wprowadź następujące informacje:
Pole Wartość Nazwisko allow-storage-service-bus-accounts Source type Adres IP Źródło Przestrzeń adresowa hostVNet, na przykład 10.0.0.0/16 Protokół:port https Docelowe nazwy FQDN *xt.blob.core.windows.net, ,*eh.servicebus.windows.net*xt.table.core.windows.netPo zakończeniu formularz wygląda jak na poniższej ilustracji:
Wybierz Dodaj.
Tworzenie kolekcji reguł sieciowych
Załóżmy, że w naszym scenariuszu są używane usługi Microsoft Entra Domain Services (Microsoft Entra Domain Services), więc nie trzeba tworzyć reguły sieciowej, aby zezwolić na usługę DNS. Należy jednak utworzyć regułę zezwalania na ruch z maszyn wirtualnych usługi Azure Virtual Desktop do usługi aktywacji systemu Windows. Aby zezwolić na usługa zarządzania kluczami (KMS), użyj docelowego adresu IP serwera USŁUGI KMS dla chmury globalnej platformy Azure.
Na stronie Learn-fw>Rules (wersja klasyczna) wybierz pozycję Kolekcja reguł sieciowych.
Wybierz kartę Kolekcja reguł sieciowych, a następnie wybierz pozycję Dodaj kolekcję reguł sieciowych.
Wprowadź następujące informacje:
Pole Wartość Nazwisko net-coll01 Priorytet 200 Akcja Zezwalaj W obszarze Reguły w sekcji Adresy IP wprowadź następujące informacje:
Pole Wartość Nazwisko allow-kms Protokół TCP Source type Adres IP Źródło Przestrzeń adresowa hostVNet, na przykład 10.0.0.0/16 Typ docelowy Adres IP Adres docelowy 23.102.135.246 Porty docelowe 1688 Po zakończeniu formularz wygląda jak na poniższej ilustracji:
Wybierz Dodaj.
Sprawdź swoją pracę
W tym momencie cały ruch sieciowy dla usługi Azure Virtual Desktop został przekierowany przez zaporę. Upewnijmy się, że zapora działa zgodnie z oczekiwaniami. Wychodzący ruch sieciowy z puli hostów powinien filtrować przez zaporę do usługi Azure Virtual Desktop. Możesz sprawdzić, czy zapora zezwala na ruch do usługi, sprawdzając stan składników usługi.
W usłudze Azure Cloud Shell uruchom następujące polecenie:
"rdgateway", "rdbroker","rdweb"|% ` {Invoke-RestMethod -Method:Get ` -Uri https://$_.wvd.microsoft.com/api/health}|ft ` -Property Health,TimeStamp,ClusterUrlPowinny zostać wyświetlone następujące wyniki, w których wszystkie trzy usługi składników są wyświetlane jako w dobrej kondycji:
Health TimeStamp ClusterUrl ------ --------- ---------- RDGateway is Healthy 7/2/2021 6:00:00 PM https://rdgateway-c101-cac-r1.wvd.microsoft.com/ RDBroker is Healthy 7/2/2021 6:00:00 PM https://rdbroker-c100-cac-r1.wvd.microsoft.com/ RDWeb is Healthy 7/2/2021 6:00:00 PM https://rdweb-c100-cac-r1.wvd.microsoft.com/Jeśli co najmniej jeden składnik nie jest w dobrej kondycji, zapora nie działa zgodnie z oczekiwaniami.