Azure Firewall の教科書 GUI編

Azure Firewall は、Azure で提供されるクラウドネイティブなファイアウォールサービスです。Azure Firewall を利用することで、Azure リソースに対するネットワークトラフィックの制御や監視が可能になります。Azure Firewall の特徴や利点については、公式ドキュメントを参照してください。

Azure Firewall のドキュメント | Microsoft Learn

 

本ブログでは、Azure Firewall の構築手順について紹介します。具体的には、以下の内容を説明します。

• ネットワークの設定
• ファイアウォールのデプロイ
• デフォルトルートの設定
• アプリケーションルール、ネットワークルールの構成
• DNATルールの構成

これらの手順を実行することで、Azure Firewall を簡単に導入できます。Azure Firewall を使って、アウトバンド通信を制御してみましょう。

Azure Firewall では以下のルールが利用できます。

• アプリケーション ルール: サブネットからアクセスできる完全修飾ドメイン名 (FQDN) を定義します。
• ネットワーク ルール: 送信元アドレス、プロトコル、宛先ポート、送信先アドレスを定義します。

今回は本番環境を想定して、以下のようなハブ、スポークモデルでAzure Firewallをデプロイしてみましょう。

 

 

Hub仮想ネットワークの作成

初めにリソースグループと仮想ネットワークを作成します。

リソースグループ：Test-FW-RG 名前：Hub-VN 地域：Japan East

 

IPv4 アドレス空間：10.0.0.0/16

サブネット名のdefaultをクリックし、名前をAzureFirewallSubnetに変更します。

サブネット名：AzureFirewallSubnet

サブネット アドレス範囲：10.0.1.0/26

 

「確認および作成」をクリックして、作成します。

 

Spoke仮想ネットワークの作成

VM用の仮想ネットワークを作成します。

リソースグループ：Test-FW-RG 名前：Spoke-VN 地域：Japan East

「確認および作成」をクリックして、作成します。

 

ピアリング設定

作成したHubとSpokeの仮想ネットワークはデフォルトだと接続されておらず疎通できません。

仮想ネットワークを接続するためにピアリング設定を行います。

ピアリング リンク名：Hub-Spoke

リモート仮想ネットワーク：Spoke-Hub

サブスクリプション：任意

仮想ネットワーク：Spoke-VN

 

仮想マシン作成

ファイアウォールを検証するため仮想マシンを作成します。

リソースグループ：Test-FW-RG 仮想マシン名：vm01 地域：Japan East 可用性オプション：なし セキュリティの種類：Standard イメージ：Windows Server 2019 Datacenter – x64 Gen2 VMアーキテクチャ：x64 サイズ：Standard_D2s_v3 パブリック受信ポート：なし

 

 

ネットワークで以下設定します。

仮想ネットワーク：Spoke-VN サブネット：default パブリックIP：なし NICネットワークセキュリティグループ：Basic

 

 

ブート診断を「無効化」に設定します。

以降規定値で作成まで進みます。

 

ファイアーウォールを作成

Azure Portal > ファイアウォールから作成をクリックします。

リソースグループ：Test-FW-RG 名前：Test-FW01 地域：Japan East 可用性ゾーン：なし ファイアウォールSKU：Standard ファイアウォール管理：ファイアウォール規則(クラシック)を使用してこのファイアウォールを管理する 仮想ネットワークの選択：既存のものを使用 仮想ネットワーク：Hub-VN（Test-FW-RG） パブリックIPアドレス：fw-pip（新規作成） 強制トンネリング：無効

 

既定のルートを作成

Azure Portal > ルートテーブルで作成をクリックします。

リージョン：Japan East 名前：Firewall-route ゲートウェイのルート伝達する：Yes

 

確認および作成まで進み、作成します。

作成したルートテーブルを選択し、サブネット から関連付けをクリックします。

 

仮想ネットワーク：Spoke-VN

サブネット：default

ルート > 追加をクリックします。

ルート名：fw-dg

宛先アドレスのプレフィックス：IPアドレス

宛先IPアドレス/CIDR範囲：0.0.0.0/0

ネクストホップの種類：仮想アプライアンス

ネクストホップアドレス：10.0.1.4

 

アプリケーションルールコレクションの追加

Azure Portal > Azure Firewall から作成してTest-FW01をクリックします。

規則（クラシック）>アプリケーションルールコレクションの追加をクリックします。

 

名前：App-Coll01 優先度：200 アクション：許可 ターゲットのFQDN 名前：Allow-Nelco Source type：IP address Source：10.1.0.0/24 プロトコルポート：http,https ターゲットのFQDN：cloud.nissho-ele.co.jp

 

ネットワークルールコレクションの追加

名前：Net-Coll01 優先度：200 アクション：許可 名前：Allow-DNS プロトコル：UDP Source type：IP address Source：10.0.2.0/24 Destination tyep：IP address 宛先アドレス：209.244.0.3,209.244.0.4 宛先ポート：53

 

DNATルールの追加

DNATルールを作成することで、仮想マシンに直接RDP接続せずに、Firewallを介して接続することができます。

NATルールコレクションの追加 名前：rdp 優先度：200 名前：rdp-nat プロトコル：TCP Source type：IP address Source：* 宛先アドレス：20.78.192.157 宛先ポート：3389 変換されたアドレス：10.1.0.4 変換されたポート：3389

 

vm01のDNS変更

仮想マシン > ネットワーク からネットワークインターフェースを選択します。

ネットワークインターフェース > DNSサーバーでDNSを登録します。

DNSサーバー：209.244.0.3、209.244.0.4

 

テスト

FWのパブリックIPにアクセスしてVMへRDP接続する。

Internet Explorerを開いて、cloud.nissho-ele.co.jpにアクセスします。

正常にアクセスできますね。

www.google.comにアクセスします。

Azure Firewall でブロックされていることを確認します。