Compartilhar via

Tutorial: Proteger sua rede virtual de hub usando o Gerenciador de Firewall do Azure

  • Artigo

Ao conectar sua rede local a uma rede virtual do Azure para criar uma rede híbrida, a capacidade de controlar o acesso aos recursos da rede do Azure é uma parte importante de um plano geral de segurança.

Com o Gerenciador de Firewall do Azure, é possível criar uma rede virtual de hub para proteger o tráfego de rede híbrida destinado a endereços IP privados, PaaS do Azure e à Internet. É possível usar o Gerenciador de Firewall do Azure para controlar o acesso de rede em uma rede híbrida usando as políticas que definem tráfegos de rede permitidos e negados.

O Gerenciador de Firewall também dá suporte a uma arquitetura de hub virtual seguro. Para obter uma comparação dos tipos de arquitetura de rede virtual de hub e hub virtual seguro, confira quais são as opções de arquitetura do Gerenciador de Firewall do Azure?

Para este tutorial, você deve criar três redes virtuais:

  • VNet-Hub: o firewall está nessa rede virtual.
  • VNet-Spoke: a rede virtual spoke representa a carga de trabalho localizada no Azure.
  • VNet-Onprem: a rede virtual local representa uma rede local. Em uma implantação real, pode ser conectada por uma conexão VPN ou ExpressRoute. Para simplificar, este tutorial usa uma conexão de gateway de VPN, e uma rede virtual localizada no Azure é usada para representar uma rede local.

Diagrama de uma rede híbrida do hub do Gerenciador de Firewall do Azure.

Neste tutorial, você aprenderá a:

  • Criar uma política de firewall
  • Criar as redes virtuais
  • Configurar e implantar o firewall
  • Criar e conectar os gateways de VPN
  • Emparelhar as redes virtuais hub e spoke
  • Criar as rotas
  • Criar as máquinas virtuais
  • Testar o firewall

Pré-requisitos

Uma rede híbrida usa o modelo de arquitetura hub e spoke para rotear o tráfego entre as VNets do Azure e as redes locais. A arquitetura hub e spoke tem os seguintes requisitos:

  • Para rotear o tráfego de sub-rede spoke por meio do firewall do hub, você precisa de uma UDR (Rota Definida pelo Usuário) que aponte para o firewall com a configuração Propagação de rotas de gateway de rede virtual desabilitada. Essa opção impede a distribuição de rota para as sub-redes spoke. Isso impede que as rotas aprendidas entrem em conflito com sua UDR.
  • Configure uma UDR na sub-rede do gateway do hub que aponta para o endereço IP do firewall como o próximo salto para as redes spoke. Nenhuma UDR é necessária na sub-rede do Firewall do Azure, já que ela aprende as rotas com o BGP.

Consulte a seção Criar Rotas deste tutorial para ver como essas rotas são criadas.

Observação

O Firewall do Azure deve ter conectividade direta com a Internet. Se seu AzureFirewallSubnet aprender uma rota padrão para sua rede local via BGP, você deve substituir isso por um UDR 0.0.0.0/0 com o valor NextHopType definido como Internet para manter a conectividade direta com a Internet.

O Firewall do Azure pode ser configurado para dar suporte a túnel forçado. Para obter mais informações, confira Túnel forçado do Firewall do Azure.

Observação

O tráfego entre VNETs diretamente emparelhadas é roteado diretamente, mesmo se uma UDR aponta para o Firewall do Azure como o gateway padrão. Para enviar o tráfego de sub-rede para sub-rede para o firewall nesse cenário, uma UDR precisa conter o prefixo de rede da sub-rede de destino explicitamente em ambas as sub-redes.

Se você não tiver uma assinatura do Azure, crie uma conta gratuita antes de começar.

Criar uma política de firewall

  1. Entre no portal do Azure.

  2. Na barra de pesquisa do portal do Azure, digite Gerenciador de Firewall e pressione Enter.

  3. Na página do Gerenciador de Firewall do Azure, em Segurança, selecione Políticas de Firewall do Azure.

    Captura de tela mostrando a página principal do Gerenciador de Firewall.

  4. Selecione Criar uma Política de Firewall do Azure.

  5. Selecione sua assinatura e, para o Grupo de recursos, selecione Criar e crie um grupo de recursos chamado FW-Hybrid-Test.

  6. Para o nome da política, digite Pol-Net01.

  7. Em Região, selecione Leste dos EUA.

  8. Selecione Próximo: Configurações de DNS.

  9. Escolha Avançar: Inspeção do TLS.

  10. Selecione Próximo: Regras.

  11. Selecione Adicionar uma coleção de regras.

  12. Em Nome, digite RCNet01.

  13. Para Tipo de coleção de regras, selecione Rede.

  14. Em Prioridade, digite 100.

  15. Em Ação, selecione Permitir.

  16. Em Regras, em Nome, digite AllowWeb.

  17. Em Origem, digite 192.168.1.0/24.

  18. Em Protocolo, selecione TCP.

  19. Em Portas de Destino, digite 80.

  20. Para Tipo de Destino, selecione Endereço IP.

  21. Para Destino, digite 10.6.0.0/16.

  22. Na próxima linha de regra, insira as seguintes informações:

    Nome: digite AllowRDP
    Origem: digite 192.168.1.0/24.
    Protocolo: selecione TCP
    Portas de Destino: digite 3389
    Tipo de Destino: selecione Endereço IP
    Para Destino, digite 10.6.0.0/16

  23. Selecione Adicionar.

  24. Selecione Examinar + criar.

  25. Examine os detalhes e depois selecione Criar.

Criar a rede virtual do hub de firewall

Observação

O tamanho da sub-rede AzureFirewallSubnet é /26. Para obter mais informações sobre o tamanho da sub-rede, confira Perguntas frequentes sobre o Firewall do Azure.

  1. Na página inicial do portal do Azure, selecione Criar um recurso.

  2. Pesquise por Rede virtual e selecione Rede virtual.

  3. Selecione Criar.

  4. Em Assinatura, selecione sua assinatura.

  5. Em Grupo de recursos, selecione FW-Hybrid-Test.

  6. Em Nome, digite VNet-hub.

  7. Em Região, selecione Leste dos EUA.

  8. Selecione Avançar.

  9. Em Segurança, selecione Avançar.

  10. Em Espaço de endereço IPv4, digite 10.5.0.0/16.

  11. Em Sub-redes, selecione padrão.

  12. Para Finalidade da sub-rede, selecione Firewall do Azure.

  13. Para o Endereço inicial, digite 10.5.0.0/26.

  14. Aceite as outras configurações padrão e selecione Salvar.

  15. Selecione Examinar + criar.

  16. Selecione Criar.

Adicione outra sub-rede com uma finalidade de sub-rede definida como Gateway de Rede Virtual com um endereço inicial de 10.5.1.0/27. Essa sub-rede é usada para o gateway de VPN.

Criar a rede virtual spoke

  1. Na página inicial do portal do Azure, selecione Criar um recurso.
  2. Pesquise por Rede virtual e selecione Rede virtual.
  3. Selecione Criar.
  4. Em Assinatura, selecione sua assinatura.
  5. Em Grupo de recursos, selecione FW-Hybrid-Test.
  6. Em Nome, digite VNet-Spoke.
  7. Em Região, selecione Leste dos EUA.
  8. Selecione Avançar.
  9. Na página Segurança, selecione Avançar.
  10. Selecione Próximo: Endereços IP.
  11. Em Espaço de endereços IPv4, digite 10.6.0.0/16.
  12. Em Sub-redes, selecione padrão.
  13. Altere o Nome para SN-Workload.
  14. Para o Endereço inicial, digite 10.6.0.0/24.
  15. Aceite as outras configurações padrão e selecione Salvar.
  16. Selecione Examinar + criar.
  17. Selecione Criar.

Criar a rede virtual local

  1. Na página inicial do portal do Azure, selecione Criar um recurso.

  2. Pesquise por Rede virtual e selecione Rede virtual.

  3. Selecione Criar.

  4. Em Assinatura, selecione sua assinatura.

  5. Em Grupo de recursos, selecione FW-Hybrid-Test.

  6. Em Nome da rede virtual, digite VNet-OnPrem.

  7. Em Região, selecione Leste dos EUA.

  8. Selecione Avançar.

  9. Na página Segurança, selecione Avançar.

  10. Em Espaço de endereços IPv4, digite 192.168.0.0/16.

  11. Em Sub-redes, selecione padrão.

  12. Altere o Nome para SN-Corp.

  13. Para o Endereço inicial, digite 192.168.1.0/24.

  14. Aceite as outras configurações padrão e selecione Salvar.

  15. Selecione Adicionar uma sub-rede.

  16. Para Finalidade da sub-rede, selecione Gateway de Rede Virtual.

  17. Para o Endereço inicial, digite 192.168.2.0/27.

  18. Selecione Adicionar.

  19. Selecione Examinar + criar.

  20. Selecione Criar.

Configurar e implantar o firewall

Quando políticas de segurança são associadas a um hub, ele é chamado de rede virtual de hub.

Converta a rede virtual VNet-Hub em uma rede virtual de hub e proteja-a com o Firewall do Azure.

  1. Na barra de pesquisa do portal do Azure, digite Gerenciador de Firewall e pressione Enter.

  2. No painel direito, selecione Visão geral.

  3. Na página do Gerenciador de Firewall do Azure, em Adicionar segurança a redes virtuais, selecione Exibir redes virtuais de hub.

  4. Em Redes Virtuais, marque a caixa de seleção para VNet-hub.

  5. Selecione Gerenciar Segurança e Implantar um Firewall com a Política de Firewall.

  6. Na página Converter redes virtuais, em Camada do Firewall do Azure, selecione Premium. Em Política de Firewall, marque a caixa de seleção para Pol-Net01.

  7. Selecione Próximo: Examinar + confirmar

  8. Examine os detalhes e, em seguida, selecione Confirmar.

    Isso leva alguns minutos para ser implantado.

  9. Após a conclusão da implantação, acesse o grupo de recursos FW-Hybrid-Test e selecione o firewall.

  10. Observe o endereço IP privado do firewall na página Visão geral. Você usará isso mais tarde quando criar a rota padrão.

Criar e conectar os gateways de VPN

As redes virtuais locais e de hub são conectadas por meio de gateways VPN.

Criar um gateway de VPN para a rede virtual do hub

Agora crie o gateway de VPN para a rede virtual do hub. As configurações de rede a rede exigem um RouteBased VpnType. A criação de um gateway de VPN pode levar 45 minutos ou mais, dependendo da SKU do gateway de VPN selecionado.

  1. Na página inicial do portal do Azure, selecione Criar um recurso.
  2. Na caixa de texto de pesquisa, digite gateway de rede virtual e pressione Enter.
  3. Selecione Gateway de rede virtual e selecione Criar.
  4. Em Nome, digite GW-hub.
  5. Em Região, selecione EUA (Leste dos EUA) .
  6. Em Tipo de gateway, selecione VPN.
  7. Para SKU, selecione VpnGw2.
  8. Para Geração, selecione Geração2.
  9. Em Rede virtual, selecione VNet-hub.
  10. Em Endereço IP público, selecione Criar e digite VNet-hub-GW-pip para o nome.
  11. Em Habilitar o modo ativo-ativo, selecione Desabilitado.
  12. Aceite os padrões restantes e, em seguida, selecione Examinar + criar.
  13. Examine a configuração e, em seguida, selecione Criar.

Criar um gateway de VPN para a rede virtual local

Agora crie um gateway de VPN para a rede virtual local. As configurações de rede a rede exigem um RouteBased VpnType. A criação de um gateway de VPN pode levar 45 minutos ou mais, dependendo da SKU do gateway de VPN selecionado.

  1. Na página inicial do portal do Azure, selecione Criar um recurso.
  2. Na caixa de texto de pesquisa, digite gateway de rede virtual e pressione Enter.
  3. Selecione Gateway de rede virtual e selecione Criar.
  4. Em Nome, digite GW-Onprem.
  5. Em Região, selecione EUA (Leste dos EUA) .
  6. Em Tipo de gateway, selecione VPN.
  7. Para SKU, selecione VpnGw2.
  8. Para Geração, selecione Geração2.
  9. Em Rede virtual, selecione VNet-Onprem.
  10. Em Endereço IP público, selecione Criar e digite VNet-Onprem-GW-pip para o nome.
  11. Em Habilitar o modo ativo-ativo, selecione Desabilitado.
  12. Aceite os padrões restantes e, em seguida, selecione Examinar + criar.
  13. Examine a configuração e, em seguida, selecione Criar.

Criar conexões de VPN

Agora você pode criar as conexões VPN entre o hub e os gateways locais.

Nesta etapa, você criará a conexão da rede virtual do hub à rede virtual local. Existe uma chave compartilhada referenciada nos exemplos. Você pode usar seus próprios valores para a chave compartilhada. O importante é que a chave compartilhada deve corresponder em ambas as conexões. Leva um tempo para criar a conexão.

  1. Abra o grupo de recursos FW-Hybrid-Test e selecione o gateway GW-hub.
  2. Na coluna à esquerda, em Configurações, selecione Conexões.
  3. Selecione Adicionar.
  4. Para o nome da conexão, digite Hub-to-Onprem.
  5. Selecione VNET a VNET em Tipo de conexão.
  6. Selecione Avançar: Configurações.
  7. Em Primeiro gateway de rede virtual, selecione GW-hub.
  8. No Segundo gateway de rede virtual, selecione GW-Onprem.
  9. Em Chave compartilhada (PSK) , digite AzureA1b2C3.
  10. Selecione Examinar + criar.
  11. Selecione Criar.

Crie a conexão da rede virtual local à de hub. Esta etapa é semelhante à anterior, exceto que você cria a conexão da VNet-Onprem à VNet-hub. Verifique se que as chaves compartilhadas correspondem. Depois de alguns minutos, a conexão deverá ser estabelecida.

  1. Abra o grupo de recursos FW-Hybrid-Test e selecione o gateway GW-Onprem.
  2. Selecione Conexões na coluna à esquerda.
  3. Selecione Adicionar.
  4. Para o nome da conexão, digite Onprem-to-Hub.
  5. Selecione VNET a VNET em Tipo de conexão.
  6. Selecione Avançar: Configurações.
  7. Em Primeiro gateway de rede virtual, selecione GW-Onprem.
  8. Para o Segundo gateway de rede virtual, selecione GW-hub.
  9. Em Chave compartilhada (PSK) , digite AzureA1b2C3.
  10. Selecione OK.

Verificar conexão

Cerca de cinco minutos após a implantação da segunda conexão de rede, o status de ambas as conexões deve ser Conectado.

Captura de tela mostrando as conexões do gateway de VPN.

Emparelhar as redes virtuais hub e spoke

Agora emparelhe as redes virtuais hub e spoke.

  1. Abra o grupo de recursos FW-Hybrid-Test e selecione a rede virtual VNet-hub.

  2. Na coluna à esquerda, selecione Emparelhamentos.

  3. Selecione Adicionar.

  4. Em Resumo da rede virtual remota:

    Nome da configuração Valor
    Nome do link de emparelhamento SpoketoHub
    Modelo de implantação de rede virtual Gerenciador de Recursos
    Assinatura <sua assinatura>
    Rede virtual VNet-Spoke
    Permitir que 'VNet-Spoke' acesse 'VNet-hub' selecionadas
    Permitir que o 'VNet-Spoke' receba o tráfego encaminhado do 'VNet-Hub' selecionadas
    Permitir que o servidor de gateway ou de rota em 'VNet-Spoke' encaminhe o tráfego para 'VNet-Hub' não selecionado
    Habilitar 'VNet-Spoke' para usar o servidor de rota ou gateway remoto do 'VNet-hub' selecionadas

  5. Em Resumo da rede virtual local:

    Nome da configuração Valor
    Nome do link de emparelhamento HubtoSpoke
    Permitir que 'VNet-hub' acesse 'VNet-Spoke' selecionadas
    Permitir que 'VNet-hub' receba o tráfego encaminhado de 'VNet-Spoke' selecionadas
    Permitir que o servidor de gateway ou de rota em 'VNet-Hub' encaminhe o tráfego para 'VNet-Spoke' selecionadas
    Habilitar 'VNet-hub' para usar o servidor de rota ou gateway remoto de 'VNet-Spoke' não selecionado

  6. Selecione Adicionar.

    Captura de tela mostrando o Emparelhamento VNET.

Criar as rotas

Em seguida, crie duas rotas:

  • Uma rota da sub-rede do gateway do hub até a sub-rede do spoke pelo endereço IP de firewall
  • Uma rota padrão da sub-rede do spoke pelo endereço IP de firewall
  1. Na página inicial do portal do Azure, selecione Criar um recurso.
  2. Na caixa de texto de pesquisa, digite tabela de rotas e pressione Enter.
  3. Selecione Tabela de rotas.
  4. Selecione Criar.
  5. Selecione o FW-Hybrid-Test para o grupo de recursos.
  6. Em Região, selecione Leste dos EUA.
  7. Para o nome, digite UDR-Hub-Spoke.
  8. Selecione Examinar + criar.
  9. Selecione Criar.
  10. Depois que a tabela de rotas for criada, selecione-a para abrir a página da tabela de rotas.
  11. Selecione Rotas na coluna à esquerda.
  12. Selecione Adicionar.
  13. Para o nome da rota, digite ToSpoke.
  14. Em Tipo de destino, selecione Endereços de IP.
  15. Nos Intervalos de CIDR /endereço IP de destino, digite 10.6.0.0/16.
  16. Para o tipo do próximo salto, selecione Solução de virtualização.
  17. Para o endereço do próximo salto, digite o endereço IP privado do firewall anotado anteriormente.
  18. Selecione Adicionar.

Agora associe a rota à sub-rede.

  1. Na página UDR-Hub-Spoke – Rotas, selecione Sub-redes.
  2. Selecione Associar.
  3. Em Rede virtual, selecione VNet-hub.
  4. Em Sub-rede, selecione GatewaySubnet.
  5. Selecione OK.

Agora crie a rota padrão com base na sub-rede spoke.

  1. Na página inicial do portal do Azure, selecione Criar um recurso.
  2. Na caixa de texto de pesquisa, digite tabela de rotas e pressione Enter.
  3. Selecione Tabela de rotas.
  4. Selecione Criar.
  5. Selecione o FW-Hybrid-Test para o grupo de recursos.
  6. Em Região, selecione Leste dos EUA.
  7. Para o nome, digite UDR-DG.
  8. Em Propagar rotas do gateway, selecione Não.
  9. Selecione Examinar + criar.
  10. Selecione Criar.
  11. Depois que a tabela de rotas for criada, selecione-a para abrir a página da tabela de rotas.
  12. Selecione Rotas na coluna à esquerda.
  13. Selecione Adicionar.
  14. Para o nome da rota, digite ToHub.
  15. Para o Tipo de destino, selecione Endereços IP
  16. Nos Intervalos de CIDR /endereço IP de destino, digite 0.0.0.0/0.
  17. Para o tipo do próximo salto, selecione Solução de virtualização.
  18. Para o endereço do próximo salto, digite o endereço IP privado do firewall anotado anteriormente.
  19. Selecione Adicionar.

Agora associe a rota à sub-rede.

  1. Na página UDR-DG – Rotas, selecione Sub-redes.
  2. Selecione Associar.
  3. Em Rede virtual, selecione VNet-spoke.
  4. Em Sub-rede, escolha SN-Workload.
  5. Selecione OK.

Criar máquinas virtuais

Agora crie a carga de trabalho do spoke e as máquinas virtuais locais e coloque-as nas sub-redes apropriadas.

Criar a máquina virtual de carga de trabalho

Crie uma máquina virtual na rede virtual spoke, que executa o IIS, sem nenhum endereço IP público.

  1. Na página inicial do portal do Azure, selecione Criar um recurso.

  2. Em Produtos populares do Marketplace, selecione o Datacenter do Windows Server 2019.

  3. Insira esses valores para a máquina virtual:

    • Grupo de recursos – selecione FW-Hybrid-Test
    • Nome da máquina virtual – VM-Spoke-01
    • Região - Leste dos EUA
    • Nome de usuário – digite um nome de usuário
    • Senha – digite uma senha

  4. Em Portas de entrada públicas, selecione Permitir portas selecionadas e, em seguida, selecione HTTP (80) e RDP (3389)

  5. Selecione Avançar:Discos.

  6. Aceite os padrões e selecione Avançar: Rede.

  7. Selecione VNet-Spoke para a rede virtual; a sub-rede é SN-Workload.

  8. Selecione Avançar: Gerenciamento.

  9. Selecione Avançar: Monitoramento.

  10. Em Diagnóstico de inicialização, selecione Desabilitar.

  11. Selecione Examinar + Criar, examine as configurações na página de resumo e selecione Criar.

Instalar o IIS

  1. No portal do Azure, abra o Cloud Shell e verifique se ele está definido como PowerShell.

  2. Execute o comando a seguir para instalar o IIS na máquina virtual e altere a localização se necessário:

    Set-AzVMExtension `
        -ResourceGroupName FW-Hybrid-Test `
        -ExtensionName IIS `
        -VMName VM-Spoke-01 `
        -Publisher Microsoft.Compute `
        -ExtensionType CustomScriptExtension `
        -TypeHandlerVersion 1.4 `
        -SettingString '{"commandToExecute":"powershell Add-WindowsFeature Web-Server; powershell      Add-Content -Path \"C:\\inetpub\\wwwroot\\Default.htm\" -Value $($env:computername)"}' `
        -Location EastUS

Criar a máquina virtual local

Trata-se de uma máquina virtual que pode ser usada para se conectar usando a Área de Trabalho Remota ao endereço IP público. A partir daí, você conecta o servidor local por meio do firewall.

  1. Na página inicial do portal do Azure, selecione Criar um recurso.

  2. Em Preencher, selecione Windows Server 2019 Datacenter.

  3. Insira esses valores para a máquina virtual:

    • Grupo de recursos – selecione existente e escolha FW-Hybrid-Test
    • Nome da máquina virtual - VM-Onprem
    • Região - Leste dos EUA
    • Nome de usuário – digite um nome de usuário
    • Senha: digite sua senha

  4. Em Portas de entrada públicas, selecione Permitir portas selecionadas e, em seguida, RDP (3389)

  5. Selecione Avançar:Discos.

  6. Aceite os padrões e selecione Avançar: Rede.

  7. Selecione VNet-Onprem para a rede virtual e verifique se a sub-rede é SN-Corp.

  8. Selecione Avançar: Gerenciamento.

  9. Selecione Avançar: Monitoramento.

  10. Em Diagnóstico de inicialização, selecione Desabilitar.

  11. Selecione Examinar + Criar, examine as configurações na página de resumo e selecione Criar.

Testar o firewall

  1. Primeiro, anote o endereço IP privado da máquina virtual VM-Spoke-01 na página de visão geral dessa VM.

  2. No portal do Azure, conecte a máquina virtual VM-Onprem.

  1. Abra um navegador da Web na VM-Onprem e navegue até o IP privado http://<VM-spoke-01>.

    Você deverá ver a página da Web VM-spoke-01: Captura de tela mostrando a página da Web da vm-spoke-01.

  2. Na máquina virtual VM-Onprem, abra uma Área de Trabalho Remota para VM-spoke-01 no endereço IP privado.

    Sua conexão deverá ter sucesso e você deverá conseguir entrar.

Agora você verificou que as regras de firewall estão funcionando:

  • Você pode procurar o servidor Web na rede virtual spoke.
  • Você pode conectar o servidor na rede virtual spoke usando o RDP.

Em seguida, altere a ação de coleção de regras da rede do firewall para Deny a fim de verificar se as regras do firewall funciona como o esperado.

  1. Abra o grupo de recursos FW-Hybrid-Test e selecione a política de firewall Pol-Net01.
  2. Em Configurações, selecione Coleções de Regras.
  3. Escolha a coleção de regras RCNet01.
  4. Para Ação de coleção de regras, selecione Negar.
  5. Clique em Salvar.

Feche as áreas de trabalho remotas e navegadores existentes em VM-Onprem antes de testar as regras alteradas. Depois que a atualização da coleção de regras for concluída, execute os testes novamente. Todos devem apresentar falha na conexão nesse momento.

Limpar os recursos

Você pode manter seus recursos de firewall para investigação adicional ou, se não forem mais necessários, excluir o grupo de recursos FW-Hybrid-Test para excluir todos os recursos relacionados ao firewall.

Próximas etapas

Tutorial: Proteger sua WAN Virtual usando o Gerenciador de Firewall do Azure