Tutoriel : filtrer le trafic Internet entrant ou le trafic Intranet avec une règle DNAT de Pare-feu Azure en utilisant le Portail Azure

Vous pouvez configurer une règle DNAT (Destination Network Address Translation) de Pare-feu Azure pour traduire et filtrer le trafic Internet entrant ou Intranet (préversion) dans vos sous-réseaux. Quand vous configurez la stratégie DNAT, l’action de collection de règles est définie sur DNAT. Chaque règle de la collection de règles NAT peut ensuite être utilisée pour traduire le port et l’adresse IP privée ou publique de votre pare-feu en un port et une adresse IP privée. Les règles DNAT ajoutent implicitement une règle de réseau correspondante pour autoriser le trafic traduit. Par souci de sécurité, l’approche recommandée consiste à ajouter une source spécifique pour autoriser l’accès DNAT au réseau et éviter d’utiliser des caractères génériques. Pour plus d’informations sur la logique de traitement des règles de Pare-feu Azure, consultez l’article Logique de traitement des règles du service Pare-feu Azure.

Dans ce tutoriel, vous allez apprendre à :

Prérequis

Si vous n’avez pas d’abonnement Azure, créez un compte gratuit avant de commencer.

Créer un groupe de ressources

1. Connectez-vous au portail Azure.
2. Dans la page d’accueil du portail Azure, sélectionnez Groupes de ressources, puis sélectionnez Ajouter.
3. Pour Abonnement, sélectionnez votre abonnement.
4. Pour Nom du groupe de ressources, entrez RG-DNAT-Test.
5. Pour Région, sélectionnez une région. Toutes les autres ressources que vous créez doivent se trouver dans la même région.
6. Sélectionnez Revoir + créer.
7. Sélectionnez Create (Créer).

Configurer l’environnement réseau

Pour ce didacticiel, vous créez deux réseaux virtuels appairés :

• VN-Hub : le pare-feu est dans ce réseau virtuel.
• VN-Spoke : le serveur de la charge de travail est dans ce réseau virtuel.

Tout d’abord, créez les réseaux virtuels, puis appairez-les.

Créer le réseau virtuel du hub

1. À partir de la page d’accueil du portail Azure, sélectionnez Tous les services.

2. Sous Mise en réseau, sélectionnez Réseaux virtuels.

3. Sélectionnez Ajouter.

4. Pour Groupe de ressources, sélectionnez RG-DNAT-Test.

5. Dans le champ Nom, saisissez VN-Hub.

6. Pour Région, sélectionnez la région que vous avez utilisée précédemment.

7. Sélectionnez Suivant : Adresses IP.

8. Pour Espace d’adressage IPv4, acceptez la valeur par défaut 10.0.0.0/16.

9. Sous Nom du sous-réseau, sélectionnez Par défaut.

10. Modifiez le Nom du sous-réseau, puis tapez AzureFirewallSubnet.

    Le pare-feu se trouvera dans ce sous-réseau et le nom du sous-réseau doit être AzureFirewallSubnet.

    Notes

    La taille du sous-réseau AzureFirewallSubnet est /26. Pour plus d’informations sur la taille du sous-réseau, consultez le FAQ Pare-feu Azure.

11. Pour Espace d’adressage de sous-réseau, tapez 10.0.1.0/26.

12. Sélectionnez Enregistrer.

13. Sélectionnez Revoir + créer.

14. Sélectionnez Create (Créer).

Créer un réseau virtuel spoke

1. À partir de la page d’accueil du portail Azure, sélectionnez Tous les services.
2. Sous Mise en réseau, sélectionnez Réseaux virtuels.
3. Sélectionnez Ajouter.
4. Pour Groupe de ressources, sélectionnez RG-DNAT-Test.
5. Pour Nom, tapez VN-Spoke.
6. Pour Région, sélectionnez la région que vous avez utilisée précédemment.
7. Sélectionnez Suivant : Adresses IP.
8. Pour Espace d’adressage IPv4, supprimez la valeur par défaut et entrez 192.168.0.0/16.
9. Sélectionnez Ajouter un sous-réseau.
10. Pour Nom du sous-réseau, tapez SN-Workload.
11. Pour Plage d’adresses de sous-réseau, tapez 192.168.1.0/24.
12. Sélectionnez Ajouter.
13. Sélectionnez Revoir + créer.
14. Sélectionnez Create (Créer).

Homologuer les réseaux virtuels

Maintenant, appairez les deux réseaux virtuels.

1. Sélectionnez le réseau virtuel VN-Hub.
2. Sous Paramètres, sélectionnez Peerings.
3. Sélectionnez Ajouter.
4. Sous Ce réseau virtuel, pour le Nom du lien de peering, tapez Peer-HubSpoke.
5. Sous Réseau virtuel distant, pour Nom du lien de peering, tapez Peer-SpokeHub.
6. Sélectionnez VN-Spoke pour le réseau virtuel.
7. Acceptez les autres valeurs par défaut, puis sélectionnez Ajouter.

Création d'une machine virtuelle

Créez une machine virtuelle de charge de travail, puis placez-la dans le sous-réseau SN-Workload.

1. Dans le menu du Portail Azure, sélectionnez Créer une ressource.
2. Sous Populaire, sélectionnez Windows Server 2016 Datacenter.

Concepts de base

1. Pour Abonnement, sélectionnez votre abonnement.
2. Pour Groupe de ressources, sélectionnez RG-DNAT-Test.
3. Sous Nom de la machine virtuelle, tapez Srv-Workload.
4. Pour Région, sélectionnez le même emplacement que celui utilisé précédemment.
5. Entrez un nom d’utilisateur et un mot de passe.
6. Sélectionnez Suivant : Disques.

Disques

1. Sélectionnez Suivant : Mise en réseau.

Mise en réseau

1. Pour Réseau virtuel, sélectionnez VN-Spoke.
2. Pour Sous-réseau, sélectionnez SN-Workload.
3. Pour Adresse IP publique, sélectionnez Aucune.
4. Pour Ports d’entrée publics, sélectionnez Aucun.
5. Conservez les autres paramètres par défaut, puis sélectionnez Suivant : Gestion.

Gestion

1. Pour Diagnostics de démarrage, sélectionnez Désactiver.
2. Sélectionnez Vérifier + créer.

Vérifier + créer.

Passez en revue le récapitulatif, puis sélectionnez Créer. L’exécution de cette opération nécessite quelques minutes.

Une fois le déploiement terminé, notez l’adresse IP privée de la machine virtuelle. Elle servira ultérieurement pour configurer le pare-feu. Sélectionnez le nom de la machine virtuelle. Sous Paramètres, sélectionnez Mise en réseau pour trouver l’adresse IP privée.

Déployer le pare-feu et la stratégie

1. Dans la page d’accueil du portail, sélectionnez Créer une ressource.

2. Recherchez pare-feu, puis sélectionnez Pare-feu.

3. Sélectionnez Create (Créer).

4. Sur la page Créer un pare-feu, utilisez le tableau suivant pour configurer le pare-feu :

   Paramètre	Valeur
   Abonnement	<votre abonnement>
   Resource group	Sélectionner RG-DNAT-test
   Nom	FW-DNAT-test
   Région	Sélectionnez le même emplacement que celui utilisé précédemment
   Gestion de pare-feu	Utiliser une stratégie de pare-feu pour gérer ce pare-feu
   Stratégie de pare-feu	Ajouter nouveau : fw-dnat-pol votre région sélectionnée
   Choisir un réseau virtuel	Utiliser l’existant : VN-Hub
   Adresse IP publique	Ajouter nouveau, Nom : fw-pip.

5. Acceptez les autres valeurs par défaut, puis sélectionnez Vérifier + créer.

6. Passez en revue le récapitulatif, puis sélectionnez Créer pour créer le pare-feu.

   Le déploiement prend quelques minutes.

7. Une fois le déploiement terminé, accédez au groupe de ressources RG-DNAT-Test, puis sélectionnez le pare-feu FW-DNAT-test.

8. Notez les adresses IP privée et publique du pare-feu. Vous les utiliserez ultérieurement lors de la création de l’itinéraire par défaut et de la règle NAT.

Créer un itinéraire par défaut

Pour le sous-réseau SN-Workload, vous devez configurer l’itinéraire sortant par défaut pour qu’il traverse le pare-feu.

1. À partir de la page d’accueil du portail Azure, sélectionnez Tous les services.

2. Sous Mise en réseau, sélectionnez Tables d’itinéraires.

3. Sélectionnez Ajouter.

4. Pour Abonnement, sélectionnez votre abonnement.

5. Pour Groupe de ressources, sélectionnez RG-DNAT-Test.

6. Pour Région, sélectionnez la même région que celle utilisée précédemment.

7. Dans le champ Nom, tapez RT-FW-route.

8. Sélectionnez Revoir + créer.

9. Sélectionnez Create (Créer).

10. Sélectionnez Accéder à la ressource.

11. Sélectionnez Sous-réseaux, puis Associer.

12. Pour Réseau virtuel, sélectionnez VN-Spoke.

13. Pour Sous-réseau, sélectionnez SN-Workload.

14. Sélectionnez OK.

15. Sélectionnez Routes, puis Ajouter.

16. Pour Nom de l’itinéraire, tapez fw-dg.

17. Pour Préfixe d’adresse, entrez 0.0.0.0/0.

18. Pour Type de tronçon suivant, sélectionnez Appliance virtuelle.

    Le Pare-feu Azure est en réalité un service managé, mais l’appliance virtuelle fonctionne dans ce cas.

19. Pour Adresse de tronçon suivant, entrez l’adresse IP privée pour le pare-feu que vous avez notée précédemment.

20. Sélectionnez OK.

Configurer une règle NAT

Cette règle vous permet de connecter un Bureau à distance à la machine virtuelle Srv-Workload par le biais du pare-feu.

1. Ouvrez le groupe de ressources RG-DNAT-Test, puis sélectionnez la stratégie de pare-feu fw-dnat-pol.
2. Sous Paramètres, sélectionnez Règles DNAT.
3. Sélectionnez Ajouter une collection de règles.
4. Pour Nom, entrez rdp.
5. Pour Priorité, entrez 200.
6. Pour Groupe de collection de règles, sélectionnez DefaultDnatRuleCollectionGroup.
7. Sous Règles, pour Nom, entrez rdp-nat.
8. Pour Type de source, sélectionnez Adresse IP.
9. Pour Source, tapez *.
10. Pour Protocole, sélectionnez TCP.
11. Pour Ports de destination, tapez 3389.
12. Pour Type de destination, sélectionnez Adresse IP.
13. Pour Destination, tapez l’adresse IP privée ou publique de pare-feu.
14. Pou Adresse traduite, tapez l’adresse IP privée de Srv-Workload.
15. Dans le champ Port traduit, tapez 3389.
16. Sélectionnez Ajouter.

Tester le pare-feu

1. Connectez un bureau distant à l’adresse IP publique du pare-feu. Vous devriez être connecté à la machine virtuelle Srv-Workload.
2. Fermez le bureau à distance.

Nettoyer les ressources

Vous pouvez garder vos ressources de pare-feu pour le prochain didacticiel, ou, si vous n’en avez plus besoin, vous pouvez supprimer le groupe de ressources RG-DNAT-Test pour supprimer toutes les ressources associées au pare-feu.

Étapes suivantes