Intervalo de endereços IP privados do Firewall do Azure

O Firewall do Azure fornece a capacidade de SNAT a todo o tráfego de saída para endereços IP públicos. Por padrão, o Firewall do Azure não aceita o SNAT para regras de rede quando o endereço IP de destino está em um intervalo de endereços IP privado por IANA RFC 1918 ou espaço de endereço compartilhado por IANA RFC 6598. As regras de aplicativo sempre passam por SNAT usando um proxy transparente para qualquer endereço IP de destino.

Essa lógica funciona bem quando você roteia o tráfego diretamente para a Internet. No entanto, há cenários em que você talvez queira substituir o comportamento de SNAT padrão.

• Se tiver habilitado o túnel forçado, o tráfego de entrada na Internet será direcionado por SNAT a um dos endereços IP privados do firewall no AzureFirewallSubnet, ocultando a origem do seu firewall local.
• Se a sua organização usar intervalos de endereços IP registrados fora do IANA RFC 1918 ou do IANA RFC 6598 para redes privadas, o Firewall do Azure realizará SNAT do tráfego para um dos endereços IP privados do firewall no AzureFirewallSubnet. Você pode configurar o Firewall do Azure para não realizar SNAT de seu intervalo de endereços IP públicos. Por exemplo, você pode especificar um endereço IP individual da seguinte maneira: 192.168.1.10. Você pode especificar um intervalo de endereços IP da seguinte maneira: 192.168.1.0/24.

O comportamento de SNAT do Firewall do Azure pode ser alterado das seguintes formas:

• Para configurar o Firewall do Azure para nunca realizar SNAT do tráfego processado por regras de rede, independentemente de qual seja o endereço IP de destino, use 0.0.0.0/0 como seu intervalo de endereços IP privados. Com essa configuração, o Firewall do Azure nunca poderá rotear o tráfego diretamente para a Internet.

• Para configurar o Firewall do Azure para sempre realizar SNAT processado por regras de rede, independentemente de qual seja o endereço IP de destino, use 255.255.255.255/32 como seu intervalo de endereços IP privados.

• O Firewall do Azure pode ser configurado para aprender automaticamente os intervalos registrados e privados a cada hora e usar as rotas aprendidas para SNAT. Para essa capacidade, o Servidor de Rota do Azure deve estar implantado na mesma VNet que o Firewall do Azure.

Você pode configurar os endereços IP privados SNAT ao usar os métodos a seguir. Você deve configurar os endereços privados SNAT ao usar o método apropriado para sua configuração. Os firewalls associados a uma política de firewall devem especificar o intervalo na política e não usar AdditionalProperties.

Configurar intervalos de endereços IP privados SNAT - Azure PowerShell

Regras clássicas

Você pode usar o Azure PowerShell para especificar intervalos de endereços IP privados para o firewall.

Novo firewall

Para um novo firewall que usa regras clássicas, o cmdlet do Azure PowerShell é:

$azFw = @{
    Name               = '<fw-name>'
    ResourceGroupName  = '<resourcegroup-name>'
    Location           = '<location>'
    VirtualNetworkName = '<vnet-name>'
    PublicIpName       = '<public-ip-name>'
    PrivateRange       = @("IANAPrivateRanges", "192.168.1.0/24", "192.168.1.10")
}

New-AzFirewall @azFw

Para obter mais informações, confira New-AzFirewall.

Firewall existente

Para configurar um firewall existente com as regras clássicas, use os seguintes cmdlets do Azure PowerShell:

$azfw = Get-AzFirewall -Name '<fw-name>' -ResourceGroupName '<resourcegroup-name>'
$azfw.PrivateRange = @("IANAPrivateRanges","192.168.1.0/24", "192.168.1.10")
Set-AzFirewall -AzureFirewall $azfw

Configurar intervalos de endereços IP privados SNAT - CLI do Azure

Regras clássicas

Você pode usar a CLI do Azure para especificar intervalos de endereços IP privados para o firewall com o uso das regras clássicas.

Novo firewall

Para um novo firewall que usa regras clássicas, o comando da CLI do Azure é:

az network firewall create \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

Firewall existente

Para configurar um firewall existente com as regras clássicas, o comando da CLI do Azure é:

az network firewall update \
-n <fw-name> \
-g <resourcegroup-name> \
--private-ranges 192.168.1.0/24 192.168.1.10 IANAPrivateRanges

Configurar intervalos de endereços IP privados SNAT – Modelo do ARM

Regras clássicas

Para configurar o SNAT durante a Implantação de modelo do ARM, você pode adicionar o seguinte à propriedadeadditionalProperties:

"additionalProperties": {
   "Network.SNAT.PrivateRanges": "IANAPrivateRanges , IPRange1, IPRange2"
},

Política de firewall

Os firewalls do Azure associados a uma política de firewall têm suporte para intervalos privados SNAT desde a versão de API 2020-11-01. No momento, você pode usar um modelo para atualizar o intervalo de SNAT particular na Política de Firewall. O exemplo a seguir configura o firewall para tráfego de rede SNAT sempre:

{ 

            "type": "Microsoft.Network/firewallPolicies", 
            "apiVersion": "2020-11-01", 
            "name": "[parameters('firewallPolicies_DatabasePolicy_name')]", 
            "location": "eastus", 
            "properties": { 
                "sku": { 
                    "tier": "Standard" 
                }, 
                "snat": { 
                    "privateRanges": "[255.255.255.255/32]" 
                } 
            } 

Configurar intervalos de endereços IP privados SNAT - Portal do Azure

Regras clássicas

Você pode usar o portal do Azure para especificar intervalos de endereços IP privados para o firewall.

1. Selecione o grupo de recursos e, em seguida, o firewall.

2. Na página de Visão geral, Intervalos de IP privado, selecione o valor padrão IANA RFC 1918.

   A página Editar prefixos de IP privado é aberta:

   

3. Por padrão, o IANAPrivateRanges está configurado.

4. Edite os intervalos de endereços IP privados para o seu ambiente e selecione Salvar.

Política de firewall

1. Selecione seu grupo de recursos e sua política de firewall.

2. Selecione os Intervalos de IP privado (SNAT) na coluna Configurações.

3. Selecione as condições para executar o SNAT para seu ambiente em Executar SNAT para personalizar a configuração de SNAT.

4. Escolha Aplicar.

Rotas de SNAT de aprendizado automático (versão prévia)

Você pode configurar o Firewall do Azure para aprender automaticamente os intervalos registrados e privados a cada 30 minutos. Esses intervalos de endereços aprendidos são considerados como internos à rede e, portanto, não é possível realizar SNAT do tráfego para destinos nos intervalos aprendidos. A configuração de intervalos de SNAT de aprendizado automático exige que o Servidor de Rota do Azure esteja implantado na mesma VNet que o Firewall do Azure. O firewall deve ser associado ao Servidor de Rota do Azure e configurado para aprender automaticamente os intervalos de SNAT na Política de Firewall do Azure. Atualmente, você pode usar um modelo do ARM, o Azure PowerShell ou o portal do Azure para configurar rotas de SNAT de aprendizado automático.

Configurar usando um modelo do ARM

Você pode usar o JSON a seguir para configurar o aprendizado automático. O Firewall do Azure deve estar associado a um Servidor de Rota do Azure.

	  "type": "Microsoft.Network/firewallPolicies",
         "apiVersion": "2022-11-01",
	"name": "[parameters('firewallPolicies_DatabasePolicy_name')]", 
            "location": "eastus", 
            "properties": { 
                "sku": { 
                    "tier": "Standard" 
                }, 
                "snat": { 
                     "autoLearnPrivateRanges": "Enabled"
                } 
            } 

Use o seguinte JSON para associar um Servidor de Rota do Azure:

  "type": "Microsoft.Network/azureFirewalls",
  "apiVersion": "2022-11-01",
  "name": "[parameters('azureFirewalls_testFW_name')]",
  "location": "eastus",
  "properties": {
    "sku": {
      "name": "AZFW_VNet",
      "tier": "Standard"
    },
    "threatIntelMode": "Alert",
    "additionalProperties": {
      "Network.RouteServerInfo.RouteServerID": "[parameters'virtualHubs_TestRouteServer_externalid')]"
    },
    ...
  }

Configurar usando o Azure PowerShell

• Criar um novo firewall com um RouteServerId

  # specify RouteServerId Uri
  $routeServerId="/subscriptions/your_sub/resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
  
  # Create AzureFirewall 
  $azureFirewall = New-AzFirewall -Name $azureFirewallName -ResourceGroupName `
     $rgname -Location $location -RouteServerId $routeServerId 
  
  # Get firewall and confirm if RouteServerId is included on the response under additional properties (Network.RouteServerInfo.RouteServerID) 
  Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname 
  

• Atualizar um firewall existente com o RouteServerId

  # specify RouteServerId Uri 
  $routeServerId="/subscriptions/ your_sub /resourceGroups/testRG/providers/Microsoft.Network/virtualHubs/TestRS"
  
  # Get firewall 
  $azFirewall = Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname 
  
  # Update the response with RouteServerId and do firewall SET 
  $azFirewall.RouteServerId = $routeServerId 
  Set-AzFirewall -AzureFirewall $azFirewall
  
  # Do firewall Get and confirm if routeServerId is updated 
  Get-AzFirewall -Name $azureFirewallName -ResourceGroupName $rgname
  
  

• Criar uma nova política de firewall com o parâmetro de SNAT fornecido

  # If AutoLearnPrivateRange parameter is provided, auto learn will be enabled, if not it will be disabled 
  $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange -AutoLearnPrivateRange
  
  # Create AzureFirewallPolicy (with SNAT) 
  $azureFirewallPolicy = New-AzFirewallPolicy -Name $azureFirewallPolicyName `
     -ResourceGroupName $rgname -Location $location -Snat $snat
  
  # Get AzureFirewallPolicy and verify 
  Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname 
  
  

• Atualizar uma política de firewall existente com SNAT

  $snat = New-AzFirewallPolicySnat -PrivateRange $privateRange2 
  
  # Set AzureFirewallPolicy 
  $azureFirewallPolicy.Snat = $snat 
  Set-AzFirewallPolicy -InputObject $azureFirewallPolicy 
  
  # Do Get and Verify 
  Get-AzFirewallPolicy -Name $azureFirewallPolicyName -ResourceGroupName $rgname 
  

• Obter prefixos aprendidos pelo firewall

    Get-AzFirewallLearnedIpPrefix -Name $azureFirewallName -ResourceGroupName $rgname 
  

Configuração usando o portal do Azure

Você pode usar o portal para associar um Servidor de Rota ao Firewall do Azure para configurar rotas de SNAT de aprendizado automático (versão prévia).

Use o portal para concluir as seguintes tarefas:

• Adicione uma sub-rede chamada RouteServerSubnet à VNet de firewall existente. O tamanho da sub-rede deve ser pelo menos /27.
• Implante um Servidor de Rota na VNet de firewall existente. Para obter informações sobre o Servidor de Rota do Azure, confira Início Rápido: criar e configurar o Servidor de Rota usando o portal do Azure.
• Adicione o servidor de rota na página Prefixos de IP SNAT aprendidos do firewall (versão prévia).
• Modifique sua política de firewall para habilitar prefixos de IP de aprendizado automático (versão prévia) na seção Intervalos de IP Privado (SNAT).
• Você pode ver as rotas aprendidas na página Prefixos de IP do SNAT aprendido (versão prévia).

Próximas etapas

• Saiba mais sobre o Túnel forçado do Firewall do Azure.