Implementar e configurar a Azure Firewall numa rede híbrida com o portal do Azure

  • Artigo

Quando liga a sua rede local a uma rede virtual do Azure para criar uma rede híbrida, a capacidade de controlar o acesso aos seus recursos de rede do Azure é uma parte importante de um plano de segurança global.

Você pode usar o Firewall do Azure para controlar o acesso à rede em uma rede híbrida usando regras que definem o tráfego de rede permitido e negado.

Para este artigo, você cria três redes virtuais:

  • VNet-Hub: O firewall está nesta rede virtual.
  • VNet-Spoke: A rede virtual spoke representa a carga de trabalho localizada no Azure.
  • VNet-Onprem: A rede virtual local representa uma rede local. Em uma implantação real, você pode se conectar a ela usando uma conexão de rede virtual privada (VPN) ou uma conexão de Rota Expressa do Azure. Para simplificar, este artigo usa uma conexão de gateway VPN e uma rede virtual localizada no Azure representa uma rede local.

Diagrama que mostra um firewall em uma rede híbrida.

Se você quiser usar o Azure PowerShell para concluir os procedimentos neste artigo, consulte Implantar e configurar o Firewall do Azure em uma rede híbrida usando o Azure PowerShell.

Nota

Este artigo usa regras clássicas do Firewall do Azure para gerenciar o firewall. O método preferencial é usar uma política do Gerenciador de Firewall do Azure. Para concluir este procedimento usando uma política do Gerenciador de Firewall do Azure, consulte Tutorial: Implantar e configurar o Firewall e a política do Azure em uma rede híbrida usando o portal do Azure.

Pré-requisitos

Uma rede híbrida usa o modelo de arquitetura hub-and-spoke para rotear o tráfego entre redes virtuais do Azure e redes locais. A arquitetura hub-and-spoke tem os seguintes requisitos:

  • Defina Usar o gateway desta rede virtual ou o Servidor de Rotas quando estiver emparelhando VNet-Hub para VNet-Spoke. Em uma arquitetura de rede hub-and-spoke, um trânsito de gateway permite que as redes virtuais spoke compartilhem o gateway VPN no hub, em vez de implantar gateways VPN em cada rede virtual falada.

    Além disso, as rotas para as redes virtuais conectadas ao gateway ou redes locais se propagam automaticamente para as tabelas de roteamento para as redes virtuais emparelhadas por meio do trânsito do gateway. Para obter mais informações, consulte Configurar o trânsito do gateway VPN para emparelhamento de rede virtual.

  • Defina Usar os gateways da rede virtual remota ou o Servidor de Rotas quando você emparelhar VNet-Spoke para VNet-Hub. Se Usar gateways da rede virtual remota ou Servidor de Rota estiver definido e Usar o gateway desta rede virtual ou Servidor de Rota no emparelhamento remoto também estiver definido, a rede virtual spoke usará gateways da rede virtual remota para trânsito.

  • Para rotear o tráfego de sub-rede spoke através do firewall do hub, você pode usar uma rota definida pelo usuário (UDR) que aponta para o firewall com a opção de propagação de rota do gateway de rede virtual desabilitada. A desativação dessa opção impede a distribuição de rotas para as sub-redes faladas, portanto, as rotas aprendidas não podem entrar em conflito com seu UDR. Se você quiser manter a propagação de rota do gateway de rede virtual habilitada, certifique-se de definir rotas específicas para o firewall para substituir rotas publicadas localmente pelo BGP (Border Gateway Protocol).

  • Configure um UDR na sub-rede do gateway de hub que aponte para o endereço IP do firewall como o próximo salto para as redes spoke. Nenhuma UDR é necessária na sub-rede do Firewall do Azure, porque ela aprende rotas do BGP.

A seção Criar as rotas mais adiante neste artigo mostra como criar essas rotas.

O Azure Firewall tem de ter conectividade à Internet direta. Se sua sub-rede AzureFirewallSubnet aprender uma rota padrão para sua rede local via BGP, você deverá substituí-la usando uma UDR 0.0.0.0/0 com o valor definido como Internet para manter a conectividade direta com a NextHopType Internet.

Nota

Você pode configurar o Firewall do Azure para dar suporte ao túnel forçado. Para obter mais informações, consulte Encapsulamento forçado do Firewall do Azure.

O tráfego entre redes virtuais diretamente emparelhadas é roteado diretamente, mesmo que um UDR aponte para o Firewall do Azure como o gateway padrão. Para enviar tráfego de sub-rede para sub-rede para o firewall nesse cenário, um UDR deve conter o prefixo de rede de sub-rede de destino explicitamente em ambas as sub-redes.

Se não tiver uma subscrição do Azure, crie uma conta gratuita antes de começar.

Criar a rede virtual do hub de firewall

Primeiro, crie o grupo de recursos para conter os recursos:

  1. Inicie sessão no portal do Azure.
  2. Na home page do portal do Azure, selecione Criar grupos> de recursos.
  3. Para Subscrição, selecione a sua subscrição.
  4. Para Grupo de recursos, insira RG-fw-hybrid-test.
  5. Em Região, selecione uma região. Todos os recursos criados posteriormente devem estar na mesma região.
  6. Selecione Rever + Criar.
  7. Selecione Criar.

Agora, crie a rede virtual.

Nota

O tamanho da sub-rede AzureFirewallSubnet é /26. Para obter mais informações sobre o tamanho da sub-rede, consulte Perguntas frequentes sobre o Firewall do Azure.

  1. Na home page do portal do Azure, selecione Criar um recurso.
  2. Na caixa de pesquisa, digite rede virtual.
  3. Selecione Rede virtual e, em seguida, selecione Criar.
  4. Para Grupo de recursos, selecione RG-fw-hybrid-test.
  5. Em Nome da rede virtual, insira VNet-Hub.
  6. Em Região, selecione a região que você usou anteriormente.
  7. Selecione Seguinte.
  8. Na guia Segurança, selecione Avançar.
  9. Para o espaço de endereçamento IPv4, exclua o endereço padrão e digite 10.5.0.0/16.
  10. Em Sub-redes, exclua a sub-rede padrão.
  11. Selecione Adicionar uma sub-rede.
  12. Na página Adicionar uma sub-rede, para Modelo de sub-rede, selecione Firewall do Azure.
  13. Selecione Adicionar.

Crie uma segunda sub-rede para o gateway:

  1. Selecione Adicionar uma sub-rede.
  2. Para Modelo de sub-rede, selecione Gateway de rede virtual.
  3. Para Endereço inicial, aceite o valor padrão de 10.5.1.0.
  4. Para Tamanho da sub-rede, aceite o valor padrão de /27.
  5. Selecione Adicionar.
  6. Selecione Rever + criar.
  7. Selecione Criar.

Crie a rede virtual spoke

  1. Na home page do portal do Azure, selecione Criar um recurso.
  2. Na caixa de pesquisa, digite rede virtual.
  3. Selecione Rede virtual e, em seguida, selecione Criar.
  4. Para Grupo de recursos, selecione RG-fw-hybrid-test.
  5. Em Nome, digite VNet-Spoke.
  6. Em Região, selecione a região que você usou anteriormente.
  7. Selecione Seguinte.
  8. Na guia Segurança, selecione Avançar.
  9. Para o espaço de endereçamento IPv4, exclua o endereço padrão e digite 10.6.0.0/16.
  10. Em Sub-redes, exclua a sub-rede padrão.
  11. Selecione Adicionar uma sub-rede.
  12. Em Nome, insira SN-Workload.
  13. Para Endereço inicial, aceite o valor padrão de 10.6.0.0.
  14. Para Tamanho da sub-rede, aceite o valor padrão de /24.
  15. Selecione Adicionar.
  16. Selecione Rever + criar.
  17. Selecione Criar.

Criar a rede virtual local

  1. Na home page do portal do Azure, selecione Criar um recurso.
  2. Na caixa de pesquisa, digite rede virtual.
  3. Selecione Rede virtual e, em seguida, selecione Criar.
  4. Para Grupo de recursos, selecione RG-fw-hybrid-test.
  5. Em Nome, digite VNet-Onprem.
  6. Em Região, selecione a região que você usou anteriormente.
  7. Selecione Seguinte.
  8. Na guia Segurança, selecione Avançar.
  9. Para espaço de endereçamento IPv4, exclua o endereço padrão e digite 192.168.0.0/16.
  10. Em Sub-redes, exclua a sub-rede padrão.
  11. Selecione Adicionar uma sub-rede.
  12. Em Nome, digite SN-Corp.
  13. Para Endereço inicial, aceite o valor padrão de 192.168.0.0.
  14. Para Tamanho da sub-rede, aceite o valor padrão de /24.
  15. Selecione Adicionar.

Agora, crie uma segunda sub-rede para o gateway:

  1. Selecione Adicionar uma sub-rede.
  2. Para Modelo de sub-rede, selecione Gateway de rede virtual.
  3. Para Endereço inicial, aceite o valor padrão de 192.168.1.0.
  4. Para Tamanho da sub-rede, aceite o valor padrão de /27.
  5. Selecione Adicionar.
  6. Selecione Rever + criar.
  7. Selecione Criar.

Configurar e implementar a firewall

Implante o firewall na rede virtual do hub de firewall:

  1. Na home page do portal do Azure, selecione Criar um recurso.

  2. Na caixa de pesquisa, digite firewall.

  3. Selecione Firewall e, em seguida, selecione Criar.

  4. Na página Criar uma firewall, utilize a seguinte tabela para configurar a firewall:

    Definição Value
    Subscrição Selecione a sua subscrição.
    Grupo de recursos Digite RG-fw-hybrid-test.
    Nome Digite AzFW01.
    Região Selecione a região que você usou antes.
    Firewall SKU selecione Standard.
    Gestão de firewall Selecione Usar regras de firewall (clássicas) para gerenciar esse firewall.
    Escolha uma rede virtual Selecione Usar VNet-Hub existente>.
    Endereço IP público Selecione Adicionar novo>fw-pip.

  5. Selecione Rever + criar.

  6. Reveja o resumo e, em seguida, selecione Criar para criar a firewall.

    O firewall leva alguns minutos para ser implantado.

  7. Após a conclusão da implantação, vá para o grupo de recursos RG-fw-hybrid-test e selecione o firewall AzFW01 .

  8. Anote o endereço IP privado. Você pode usá-lo mais tarde quando você cria a rota padrão.

Configurar regras de rede

Primeiro, adicione uma regra de rede para permitir o tráfego da Web:

  1. Na página AzFW01, selecione Regras (clássicas).
  2. Selecione a guia Coleção de regras de rede.
  3. Selecione Adicionar coleção de regras de rede.
  4. Em Nome, introduza RCNet01.
  5. Em Prioridade, insira 100.
  6. Para Ação de coleta de regras, selecione Permitir.
  7. Em Endereços IP de Regras, para Nome, digite AllowWeb.
  8. Em Protocolo, selecione TCP.
  9. Em Tipo de origem, selecione Endereço IP.
  10. Para Source, digite 192.168.0.0/24.
  11. Em Tipo de destino, selecione Endereço IP.
  12. Em Endereço de destino, digite 10.6.0.0/16.
  13. Em Portas de destino, digite 80.

Agora, adicione uma regra para permitir o tráfego RDP. Na segunda linha da regra, insira as seguintes informações:

  1. Em Nome, digite AllowRDP.
  2. Em Protocolo, selecione TCP.
  3. Em Tipo de origem, selecione Endereço IP.
  4. Para Source, digite 192.168.0.0/24.
  5. Em Tipo de destino, selecione Endereço IP.
  6. Em Endereço de destino, digite 10.6.0.0/16.
  7. Em Portas de destino, digite 3389.
  8. Selecione Adicionar.

Criar e ligar os gateways de VPN

O hub e as redes virtuais locais são conectados por meio de gateways VPN.

Criar um gateway VPN para a rede virtual do hub

Crie o gateway VPN para a rede virtual do hub. As configurações de rede para rede exigem um tipo de VPN baseado em rota. A criação de um gateway VPN geralmente pode levar 45 minutos ou mais, dependendo da SKU selecionada.

  1. Na home page do portal do Azure, selecione Criar um recurso.
  2. Na caixa de pesquisa, digite gateway de rede virtual.
  3. Selecione Gateway de rede virtual e, em seguida, selecione Criar.
  4. Em Nome, insira GW-hub.
  5. Em Região, selecione a mesma região que você usou anteriormente.
  6. Para Tipo de gateway, selecione VPN.
  7. Para Tipo de VPN, selecione Baseado em rota.
  8. Para SKU, selecione Básico.
  9. Para Rede virtual, selecione VNet-Hub.
  10. Para Endereço IP público, selecione Criar novo e digite VNet-Hub-GW-pip para o nome.
  11. Em Ativar modo ativo-ativo, selecione Desativado.
  12. Aceite os padrões restantes e selecione Revisar + criar.
  13. Reveja a configuração e, em seguida, selecione Criar.

Criar um gateway VPN para a rede virtual local

Crie o gateway VPN para a rede virtual local. As configurações de rede para rede exigem um tipo de VPN baseado em rota. A criação de um gateway VPN geralmente pode levar 45 minutos ou mais, dependendo da SKU selecionada.

  1. Na home page do portal do Azure, selecione Criar um recurso.
  2. Na caixa de pesquisa, digite gateway de rede virtual.
  3. Selecione Gateway de rede virtual e, em seguida, selecione Criar.
  4. Em Nome, digite GW-Onprem.
  5. Em Região, selecione a mesma região que você usou anteriormente.
  6. Para Tipo de gateway, selecione VPN.
  7. Para Tipo de VPN, selecione Baseado em rota.
  8. Para SKU, selecione Básico.
  9. Em Rede virtual, selecione VNet-Onprem.
  10. Para Endereço IP público, selecione Criar novo e digite VNet-Onprem-GW-pip para o nome.
  11. Em Ativar modo ativo-ativo, selecione Desativado.
  12. Aceite os padrões restantes e selecione Revisar + criar.
  13. Reveja a configuração e, em seguida, selecione Criar.

Criar as ligações VPN

Agora você pode criar as conexões VPN entre o hub e os gateways locais.

Nas etapas a seguir, você cria a conexão da rede virtual do hub com a rede virtual local. Os exemplos mostram uma chave compartilhada, mas você pode usar seu próprio valor para a chave compartilhada. Importante: a chave partilhada tem de corresponder a ambas as ligações. A criação de uma ligação pode demorar algum tempo.

  1. Abra o grupo de recursos RG-fw-hybrid-test e selecione o gateway GW-hub .
  2. Selecione Conexões na coluna da esquerda.
  3. Selecione Adicionar.
  4. Para o nome da conexão, digite Hub-to-Onprem.
  5. Em Tipo de conexão, selecione VNet-to-VNet .
  6. Selecione Seguinte.
  7. Para Primeiro gateway de rede virtual, selecione GW-hub.
  8. Para Segundo gateway de rede virtual, selecione GW-Onprem.
  9. Para Chave compartilhada (PSK), insira AzureA1b2C3.
  10. Selecione Rever + Criar.
  11. Selecione Criar.

Crie a conexão de rede virtual entre o local e o hub. As etapas a seguir são semelhantes às anteriores, exceto que você cria a conexão de VNet-Onprem para VNet-Hub. Certifique-se de que as chaves partilhadas correspondem. A conexão é estabelecida após alguns minutos.

  1. Abra o grupo de recursos RG-fw-hybrid-test e selecione o gateway GW-Onprem .
  2. Selecione Conexões na coluna da esquerda.
  3. Selecione Adicionar.
  4. Para o nome da conexão, digite Onprem-to-Hub.
  5. Em Tipo de conexão, selecione VNet-to-VNet.
  6. Selecione Next: Settings.
  7. Para Primeiro gateway de rede virtual, selecione GW-Onprem.
  8. Para Segundo gateway de rede virtual, selecione GW-hub.
  9. Para Chave compartilhada (PSK), insira AzureA1b2C3.
  10. Selecione Rever + Criar.
  11. Selecione Criar.

Verificar as ligações

Após cerca de cinco minutos, o status de ambas as conexões deve ser Conectado.

Captura de tela que mostra conexões de gateway.

Peer o hub e redes virtuais spoke

Agora, peer o hub e redes virtuais faladas:

  1. Abra o grupo de recursos RG-fw-hybrid-test e selecione a rede virtual VNet-Hub .

  2. Na coluna da esquerda, selecione Emparelhamentos.

  3. Selecione Adicionar.

  4. Em Esta rede virtual:

    Nome da definição Definição
    Nome do link de emparelhamento Digite HubtoSpoke.
    Tráfego para rede virtual remota Selecione Permitir.
    Tráfego encaminhado da rede virtual remota Selecione Permitir.
    Gateway de rede virtual Selecione Usar o gateway desta rede virtual.

  5. Em Rede virtual remota:

    Nome da definição Value
    Nome do link de emparelhamento Entre no SpoketoHub.
    Modelo de implantação de rede virtual Selecione Gerenciador de recursos.
    Subscrição Selecione a sua subscrição.
    Rede virtual Selecione VNet-Spoke.
    Tráfego para rede virtual remota Selecione Permitir.
    Tráfego encaminhado da rede virtual remota Selecione Permitir.
    Gateway de rede virtual Selecione Usar o gateway da rede virtual remota.

  6. Selecione Adicionar.

A captura de tela a seguir mostra as configurações a serem usadas quando você peer hub e spoke redes virtuais:

Captura de tela que mostra seleções para hub de emparelhamento e redes virtuais faladas.

Criar as rotas

Nas etapas a seguir, você cria essas rotas:

  • Uma rota da sub-rede de gateway do hub para a sub-rede spoke através do endereço IP da firewall
  • Uma rota predefinida da sub-rede spoke através do endereço IP da firewall

Para criar as rotas:

  1. Na home page do portal do Azure, selecione Criar um recurso.
  2. Na caixa de pesquisa, insira a tabela de rotas.
  3. Selecione Tabela de rotas e, em seguida, selecione Criar.
  4. Para o grupo de recursos, selecione RG-fw-hybrid-test.
  5. Em Região, selecione o mesmo local usado anteriormente.
  6. Para o nome, digite UDR-Hub-Spoke.
  7. Selecione Rever + Criar.
  8. Selecione Criar.
  9. Depois que a tabela de rotas for criada, selecione-a para abrir a página da tabela de rotas.
  10. Selecione Rotas na coluna da esquerda.
  11. Selecione Adicionar.
  12. Para o nome da rota, digite ToSpoke.
  13. Em Tipo de destino, selecione Endereços IP.
  14. Para Endereços IP de destino/intervalos CIDR, digite 10.6.0.0/16.
  15. Para o próximo tipo de salto, selecione Dispositivo virtual.
  16. Para o endereço do salto seguinte, insira o endereço IP privado do firewall que você anotou anteriormente.
  17. Selecione Adicionar.

Agora, associe a rota à sub-rede:

  1. Na página UDR-Hub-Spoke - Rotas, selecione Sub-redes.
  2. Selecione Associar.
  3. Em Rede virtual, selecione VNet-Hub.
  4. Em Sub-rede, selecione GatewaySubnet.
  5. Selecione OK.

Crie a rota padrão a partir da sub-rede falada:

  1. Na home page do portal do Azure, selecione Criar um recurso.
  2. Na caixa de pesquisa, insira a tabela de rotas.
  3. Selecione Tabela de rotas e, em seguida, selecione Criar.
  4. Para o grupo de recursos, selecione RG-fw-hybrid-test.
  5. Em Região, selecione o mesmo local usado anteriormente.
  6. Para o nome, digite UDR-DG.
  7. Em Propagar rota de gateway, selecione Não.
  8. Selecione Rever + Criar.
  9. Selecione Criar.
  10. Depois que a tabela de rotas for criada, selecione-a para abrir a página da tabela de rotas.
  11. Selecione Rotas na coluna da esquerda.
  12. Selecione Adicionar.
  13. Para o nome da rota, digite ToHub.
  14. Em Tipo de destino, selecione Endereços IP.
  15. Para Endereços IP de destino/intervalos CIDR, digite 0.0.0.0/0.
  16. Para o próximo tipo de salto, selecione Dispositivo virtual.
  17. Para o endereço do salto seguinte, insira o endereço IP privado do firewall que você anotou anteriormente.
  18. Selecione Adicionar.

Associe a rota à sub-rede:

  1. Na página UDR-DG - Rotas, selecione Sub-redes.
  2. Selecione Associar.
  3. Em Rede virtual, selecione VNet-Spoke.
  4. Em Sub-rede, selecione SN-Workload.
  5. Selecione OK.

Criar máquinas virtuais

Crie a carga de trabalho spoke e as máquinas virtuais locais e coloque-as nas sub-redes apropriadas.

Criar a máquina virtual de carga de trabalho

Crie uma máquina virtual na rede virtual spoke que execute o IIS (Serviços de Informações da Internet) e não tenha endereço IP público:

  1. Na home page do portal do Azure, selecione Criar um recurso.
  2. Em Produtos populares do Marketplace, selecione Windows Server 2019 Datacenter.
  3. Insira estes valores para a máquina virtual:
    • Grupo de recursos: Selecione RG-fw-hybrid-test.
    • Nome da máquina virtual: Digite VM-Spoke-01.
    • Região: selecione a mesma região que você usou anteriormente.
    • Nome de usuário: insira um nome de usuário.
    • Palavra-passe: Introduza uma palavra-passe.
  4. Para Portas de entrada públicas, selecione Permitir portas selecionadas e, em seguida, selecione HTTP (80) e RDP (3389).
  5. Selecione Next: Disks.
  6. Aceite os padrões e selecione Avançar: Rede.
  7. Para a rede virtual, selecione VNet-Spoke. A sub-rede é SN-Workload.
  8. Em IP público, selecione Nenhum.
  9. Selecione Next: Management.
  10. Selecione Next: Monitoring.
  11. Para Diagnóstico de inicialização, selecione Desabilitar.
  12. Selecione Rever+Criar, reveja as definições na página de resumo e, em seguida, selecione Criar.

Instalar o IIS

  1. No portal do Azure, abra o Azure Cloud Shell e certifique-se de que está definido como PowerShell.

  2. Execute o seguinte comando para instalar o IIS na máquina virtual e altere o local, se necessário:

    Set-AzVMExtension `
        -ResourceGroupName RG-fw-hybrid-test `
        -ExtensionName IIS `
        -VMName VM-Spoke-01 `
        -Publisher Microsoft.Compute `
        -ExtensionType CustomScriptExtension `
        -TypeHandlerVersion 1.4 `
        -SettingString '{"commandToExecute":"powershell Add-WindowsFeature Web-Server; powershell      Add-Content -Path \"C:\\inetpub\\wwwroot\\Default.htm\" -Value $($env:computername)"}' `
        -Location EastUS

Criar a máquina virtual local

Crie uma máquina virtual que você usa para se conectar via acesso remoto ao endereço IP público. A partir daí, você pode se conectar ao servidor spoke através do firewall.

  1. Na home page do portal do Azure, selecione Criar um recurso.
  2. Em Popular, selecione Windows Server 2019 Datacenter.
  3. Insira estes valores para a máquina virtual:
    • Grupo de recursos: Selecione Existente e, em seguida, selecione RG-fw-hybrid-test.
    • Nome da máquina virtual: insira VM-Onprem.
    • Região: selecione a mesma região que você usou anteriormente.
    • Nome de usuário: insira um nome de usuário.
    • Palavra-passe: Introduza uma palavra-passe de utilizador.
  4. Para Portas de entrada públicas, selecione Permitir portas selecionadas e, em seguida, selecione RDP (3389).
  5. Selecione Next: Disks.
  6. Aceite os padrões e selecione Avançar: Rede.
  7. Para a rede virtual, selecione VNet-Onprem. A sub-rede é SN-Corp.
  8. Selecione Next: Management.
  9. Selecione Next: Monitoring.
  10. Para Diagnóstico de inicialização, selecione Desabilitar.
  11. Selecione Rever+Criar, reveja as definições na página de resumo e, em seguida, selecione Criar.

Nota

O Azure fornece um IP de acesso de saída padrão para VMs que não recebem um endereço IP público ou estão no pool de back-end de um balanceador de carga básico interno do Azure. O mecanismo IP de acesso de saída padrão fornece um endereço IP de saída que não é configurável.

O IP de acesso de saída padrão é desativado quando um dos seguintes eventos acontece:

  • Um endereço IP público é atribuído à VM.
  • A VM é colocada no pool de back-end de um balanceador de carga padrão, com ou sem regras de saída.
  • Um recurso do Gateway NAT do Azure é atribuído à sub-rede da VM.

As VMs que você cria usando conjuntos de dimensionamento de máquina virtual no modo de orquestração flexível não têm acesso de saída padrão.

Para obter mais informações sobre conexões de saída no Azure, consulte Acesso de saída padrão no Azure e Usar SNAT (Conversão de Endereço de Rede de Origem) para conexões de saída.

Testar a firewall

  1. Observe o endereço IP privado para a máquina virtual VM-Spoke-01 .

  2. No portal do Azure, conecte-se à máquina virtual VM-Onprem .

  3. Abra um navegador da Web no VM-Onprem e navegue até http://<VM-Spoke-01 private IP>.

    A página da Web VM-Spoke-01 deve ser aberta.

    Captura de tela que mostra a página da Web da máquina virtual falada.

  4. Na máquina virtual VM-Onprem, abra uma conexão de acesso remoto para VM-Spoke-01 no endereço IP privado.

    Sua conexão deve ser bem-sucedida e você deve ser capaz de entrar.

Agora que você verificou que as regras de firewall estão funcionando, você pode:

  • Navegue até o servidor web na rede virtual falada.
  • Conecte-se ao servidor na rede virtual spoke usando RDP.

Em seguida, altere a ação para a coleção de regras de rede de firewall para Negar, para verificar se as regras de firewall funcionam conforme o esperado:

  1. Selecione o firewall AzFW01 .
  2. Selecione Regras (clássico).
  3. Selecione o separador Coleção de regras de rede e selecione a coleção de regras RCNet01.
  4. Em Ação, selecione Negar.
  5. Selecione Guardar.

Feche todas as conexões de acesso remoto existentes. Execute os testes novamente para testar as regras alteradas. Desta vez, devem falhar todos.

Clean up resources (Limpar recursos)

Você pode manter seus recursos de firewall para testes adicionais. Se você não precisar mais deles, exclua o grupo de recursos RG-fw-hybrid-test para excluir todos os recursos relacionados ao firewall.

Próximos passos

Monitorizar os registos do Azure Firewall