Azure portalı kullanarak Azure Güvenlik Duvarı'nı dağıtma ve yapılandırma

  • Makale

Giden ağ erişimini denetleme, genel ağ güvenlik planının önemli bir parçasıdır. Örneğin, web sitelerine erişimi sınırlamak isteyebilirsiniz. Alternatif olarak, erişilebilen giden IP adreslerini ve bağlantı noktalarını sınırlamak da isteyebilirsiniz.

Azure Güvenlik Duvarı, Azure alt ağından giden ağ erişimini denetlemenin bir yoludur. Azure Güvenlik Duvarı ile şunları yapılandırabilirsiniz:

  • Bir alt ağdan erişilebilen tam etki alanı adlarını (FQDN) tanımlayan uygulama kuralları.
  • Kaynak adres, protokol, hedef bağlantı noktası ve hedef adresini tanımlayan ağ kuralları.

Ağ trafiğinizi güvenlik duvarından alt ağın varsayılan ağ geçidi olarak yönlendirdiğinizde ağ trafiği yapılandırılan güvenlik duvarı kurallarına tabi tutulur.

Bu makalede, kolay dağıtım için iki alt ağa sahip basitleştirilmiş bir tek sanal ağ oluşturursunuz.

Üretim dağıtımları için güvenlik duvarının kendi sanal ağında olduğu bir merkez-uç modeli önerilir. İş yükü sunucuları, bir veya daha fazla alt ağa sahip aynı bölgedeki eşlenmiş sanal ağlarda yer alır.

  • AzureFirewallSubnet - güvenlik duvarı bu alt ağdadır.
  • Workload-SN: İş yükü sunucusu bu alt ağda yer alır. Bu alt ağın ağ trafiği güvenlik duvarından geçer.

Güvenlik duvarı ağ altyapısı diyagramı.

Bu makalede şunları öğreneceksiniz:

  • Test amaçlı ağ ortamı oluşturma
  • Güvenlik duvarı dağıtma
  • Varsayılan rota oluşturma
  • Uygulama kuralını www.google.com erişime izin verecek şekilde yapılandırma
  • Dış DNS sunucularına erişime izin vermek için ağ kuralı yapılandırma
  • Test sunucusuna uzak masaüstüne izin vermek için NAT kuralı yapılandırma
  • Güvenlik duvarını test etme

Not

Bu makalede, güvenlik duvarını yönetmek için klasik Güvenlik Duvarı kuralları kullanılır. Tercih edilen yöntem Güvenlik Duvarı İlkesi'ni kullanmaktır. Güvenlik Duvarı İlkesi'ni kullanarak bu yordamı tamamlamak için bkz. Öğretici: Azure portalını kullanarak Azure Güvenlik Duvarı ve ilkeyi dağıtma ve yapılandırma

İsterseniz Azure PowerShell kullanarak bu yordamı tamamlayabilirsiniz.

Önkoşullar

Azure aboneliğiniz yoksa başlamadan önce ücretsiz bir hesap oluşturun.

Ağı ayarlama

İlk olarak güvenlik duvarını dağıtmak için gerekli olan kaynakları içerecek bir kaynak grubu oluşturun. Ardından bir sanal ağ, alt ağlar ve bir test sunucusu oluşturun.

Kaynak grubu oluşturma

Kaynak grubu bu yordamda kullanılan tüm kaynakları içerir.

  1. Azure Portal’ında oturum açın.
  2. Azure portalı menüsünde Kaynak grupları'nı seçin veya herhangi bir sayfadan Kaynak grupları'nı arayın ve seçin. Daha sonra, Oluştur'u seçin.
  3. Abonelik için, aboneliğinizi seçin.
  4. Kaynak grubu adı alanına Test-FW-RG yazın.
  5. Bölge için bir bölge seçin. Oluşturduğunuz diğer tüm kaynakların aynı bölgede olması gerekir.
  6. Gözden geçir ve oluştur’u seçin.
  7. Oluştur'u belirleyin.

Sanal ağ oluşturma

Bu sanal ağın iki alt ağı vardır.

Not

AzureFirewallSubnet alt ağı boyutu /26'dır. Alt ağ boyutu hakkında daha fazla bilgi için bkz. Azure Güvenlik Duvarı SSS.

  1. Azure portalı menüsünde veya Giriş sayfasında Sanal ağlar'ı arayın.
  2. Sonuç bölmesinde Sanal ağlar'ı seçin.
  3. Oluştur'u belirleyin.
  4. Abonelik için, aboneliğinizi seçin.
  5. Kaynak grubu için Test-FW-RG'yi seçin.
  6. Sanal ağ adı için Test-FW-VN yazın.
  7. Bölge için daha önce kullandığınız bölgeyi seçin.
  8. İleri'yi seçin.
  9. Güvenlik sekmesinde Azure Güvenlik Duvarı Etkinleştir'i seçin.
  10. Azure Güvenlik Duvarı ad için Test-FW01 yazın.
  11. Azure Güvenlik Duvarı genel IP adresi için Genel IP adresi oluştur'u seçin.
  12. Ad alanına fw-pip yazın ve Tamam'ı seçin.
  13. İleri'yi seçin.
  14. Adres alanı için varsayılan 10.0.0.0/16'yı kabul edin.
  15. Alt ağ'ın altında varsayılan'ı seçin ve Ad değerini Workload-SN olarak değiştirin.
  16. Başlangıç adresi için 10.0.2.0/24 olarak değiştirin.
  17. Kaydet'i seçin.
  18. Gözden geçir ve oluştur’u seçin.
  19. Oluştur'u belirleyin.

Not

Azure Güvenlik Duvarı, kullanılabilir bağlantı noktalarına göre gerektiğinde genel IP'leri kullanır. Giden bağlantı için bir genel IP'yi rastgele seçtikten sonra, yalnızca geçerli genel IP'den başka bağlantı yapılamadıktan sonra bir sonraki kullanılabilir genel IP'yi kullanır. Yüksek trafik hacmi ve aktarım hızına sahip senaryolarda, giden bağlantı sağlamak için NAT Ağ Geçidi kullanılması önerilir. SNAT bağlantı noktaları, NAT Gateway ile ilişkili tüm genel IP'ler arasında dinamik olarak ayrılır. Daha fazla bilgi edinmek için bkz. NAT Gateway'i Azure Güvenlik Duvarı ile tümleştirme.

Sanal makine oluşturun

Şimdi iş yükü sanal makinesini oluşturun ve İş Yükü-SN alt aya yerleştirin.

  1. Azure portalı menüsünde veya Giriş sayfasında Kaynak oluştur’u seçin.

  2. Windows Server 2019 Datacenter'ı seçin.

  3. Sanal makine için şu değerleri girin:

    Ayar Value
    Kaynak grubu Test-FW-RG
    Virtual machine name Srv-Work
    Bölge Öncekiyle aynı
    Görsel Windows Server 2019 Datacenter
    Yönetici kullanıcı adı Kullanıcı adı yazın
    Parola Parola yazın

  4. Gelen bağlantı noktası kuralları,Genel gelen bağlantı noktaları'nın altında Yok'a tıklayın.

  5. Diğer varsayılanları kabul edin ve İleri: Diskler'i seçin.

  6. Disk varsayılanlarını kabul edin ve İleri: Ağ'ı seçin.

  7. Sanal ağ için Test-FW-VN'nin seçildiğinden ve alt ağın İş Yükü-SN olduğundan emin olun.

  8. Genel IP için Yok'a tıklayın.

  9. Diğer varsayılanları kabul edin ve İleri: Yönetim'i seçin.

  10. Varsayılanları kabul edin ve İleri: İzleme'yi seçin.

  11. Önyükleme tanılaması için Önyükleme tanılamasını devre dışı bırakmak için Devre Dışı Bırak'ı seçin. Diğer varsayılanları kabul edin ve Gözden geçir + oluştur'u seçin.

  12. Özet sayfasındaki ayarları gözden geçirin ve Oluştur'u seçin.

  13. Dağıtım tamamlandıktan sonra Kaynağa git'i seçin ve daha sonra kullanmanız gereken Srv-Work özel IP adresini not edin.

Not

Azure, genel IP adresi atanmamış veya bir iç temel Azure yük dengeleyicinin arka uç havuzunda yer alan VM'ler için varsayılan bir giden erişim IP'si sağlar. Varsayılan giden erişim IP mekanizması, yapılandırılamayan bir giden IP adresi sağlar.

Aşağıdaki olaylardan biri gerçekleştiğinde varsayılan giden erişim IP'si devre dışı bırakılır:

Sanal makine ölçek kümelerini esnek düzenleme modunda kullanarak oluşturduğunuz VM'lerin varsayılan giden erişimi yoktur.

Azure'daki giden bağlantılar hakkında daha fazla bilgi için bkz . Azure'da varsayılan giden erişim ve giden bağlantılar için Kaynak Ağ Adresi Çevirisi'ni (SNAT) kullanma.

Güvenlik duvarını inceleme

  1. Kaynak grubuna gidin ve güvenlik duvarını seçin.
  2. Güvenlik duvarı özel ve genel IP adreslerini not edin. Bu adresleri daha sonra kullanacaksınız.

Varsayılan rota oluşturma

Güvenlik duvarı üzerinden giden ve gelen bağlantı için bir yol oluşturduğunuzda, sonraki atlama olarak sanal gereç özel IP'sine sahip varsayılan 0.0.0.0/0 yolu yeterlidir. Bu, giden ve gelen bağlantıları güvenlik duvarı üzerinden yönlendirir. Örneğin, güvenlik duvarı bir TCP el sıkışmasını gerçekleştiriyorsa ve gelen bir isteği yanıtlarsa, yanıt trafiği gönderen IP adresine yönlendirilir. Bu tasarım gereğidir.

Sonuç olarak, AzureFirewallSubnet IP aralığını dahil etmek için başka bir kullanıcı tanımlı yol oluşturmanıza gerek yoktur. Bu, bağlantıların bırakılmasına neden olabilir. Özgün varsayılan yol yeterlidir.

Workload-SN alt ağında varsayılan giden rotayı güvenlik duvarından geçecek şekilde yapılandırın.

  1. Azure portalında Rota tablolarını arayın.
  2. Sonuçlar bölmesinde Yönlendirme tabloları'nı seçin.
  3. Oluştur'u belirleyin.
  4. Abonelik için, aboneliğinizi seçin.
  5. Kaynak grubu için Test-FW-RG'yi seçin.
  6. Bölge için daha önce kullandığınız konumu seçin.
  7. Ad alanına Firewall-route yazın.
  8. Gözden geçir ve oluştur’u seçin.
  9. Oluştur'u belirleyin.

Dağıtım tamamlandıktan sonra Kaynağa git'i seçin.

  1. Güvenlik duvarı yolu sayfasında Alt ağlar'ı ve ardından İlişkilendir'i seçin.

  2. Sanal ağ için Test-FW-VN'yi seçin.

  3. Alt ağ için İş Yükü-SN'yi seçin. Bu yol için yalnızca İş Yükü-SN alt ağı seçtiğinizden emin olun; aksi takdirde güvenlik duvarınız düzgün çalışmaz.

  4. Tamam'ı seçin.

  5. Yollar'ı ve ardından Ekle'yi seçin.

  6. Yol adı için fw-dg yazın.

  7. Hedef türü için IP Adresleri'ne tıklayın.

  8. Hedef IP adresleri/CIDR aralıkları için 0.0.0.0/0 yazın.

  9. Sonraki atlama türü için Sanal gereç'i seçin.

    Azure Güvenlik Duvarı, normalde yönetilen bir hizmettir ancak bu durumda sanal gereç kullanılabilir.

  10. Sonraki atlama adresi alanına önceden not ettiğiniz güvenlik duvarı özel IP adresini yazın.

  11. Ekle'yi seçin.

Uygulama kuralı yapılandırma

Bu, öğesine www.google.comgiden erişime izin veren uygulama kuralıdır.

  1. Test-FW-RG'yi açın ve Test-FW01 güvenlik duvarını seçin.
  2. Test-FW01 sayfasındaki Ayarlar'ın altında Kurallar (klasik) öğesini seçin.
  3. Uygulama kuralı koleksiyonu sekmesini seçin.
  4. Uygulama kuralı koleksiyonu ekle'yi seçin.
  5. Ad alanına App-Coll01 yazın.
  6. Öncelik alanına 200 yazın.
  7. Eylem alanında İzin ver'i seçin.
  8. Kurallar'ın altında, Hedef FQDN'ler bölümünde Ad alanına Allow-Google yazın.
  9. Kaynak türü için IP adresi'ne tıklayın.
  10. Kaynak için 10.0.2.0/24 yazın.
  11. Protokol:bağlantı noktası alanına http, https yazın.
  12. Hedef FQDN'ler içinwww.google.com
  13. Ekle'yi seçin.

Azure Güvenlik Duvarı'nda varsayılan olarak izin verilen altyapı FQDN'leri için yerleşik bir kural koleksiyonu bulunur. Bu FQDN'ler platforma özgüdür ve başka amaçlarla kullanılamaz. Daha fazla bilgi için bkz. Altyapı FQDN'leri.

Ağ kuralını yapılandırma

Bu, bağlantı noktası 53’deki (DNS) iki IP adresine giden erişime izin veren ağ kuralıdır.

  1. Ağ kuralı koleksiyonu sekmesini seçin.

  2. Ağ kuralı koleksiyonu ekle'yi seçin.

  3. Ad alanına Net-Coll01 yazın.

  4. Öncelik alanına 200 yazın.

  5. Eylem alanında İzin ver'i seçin.

  6. Kurallar'ın altında, AD alanına Allow-DNS yazın.

  7. Protokol alanında UDP'yi seçin.

  8. Kaynak türü için IP adresi'ne tıklayın.

  9. Kaynak için 10.0.2.0/24 yazın.

  10. Hedef türü için IP adresini seçin.

  11. Hedef adresi için 209.244.0.3,209.244.0.4 yazın

    Bunlar Level3 tarafından işletilen genel DNS sunucularıdır.

  12. Hedef Bağlantı Noktaları için 53 yazın.

  13. Ekle'yi seçin.

DNAT kuralını yapılandırma

Bu kural, uzak masaüstünü güvenlik duvarı üzerinden Srv-Work sanal makinesine bağlamanıza olanak tanır.

  1. NAT kuralı koleksiyonu sekmesini seçin.
  2. NAT kuralı koleksiyonu ekle'yi seçin.
  3. Ad alanına rdp yazın.
  4. Öncelik alanına 200 yazın.
  5. Kurallar'ın altında, Ad alanına rdp-nat yazın.
  6. Protokol alanında TCP'yi seçin.
  7. Kaynak türü için IP adresi'ne tıklayın.
  8. Kaynak olarak yazın*.
  9. Hedef adresi için güvenlik duvarı genel IP adresini yazın.
  10. Hedef Bağlantı Noktaları için 3389 yazın.
  11. Çevrilmiş adres için Srv-work özel IP adresini yazın.
  12. Çevrilmiş bağlantı noktası için 3389 yazın.
  13. Ekle'yi seçin.

Srv-Work ağ arabiriminin birincil ve ikincil DNS adresini değiştirme

Test amacıyla sunucunun birincil ve ikincil DNS adreslerini yapılandırın. Bu genel bir Azure Güvenlik Duvarı gereksinimi değildir.

  1. Azure portalı menüsünde Kaynak grupları'nı seçin veya herhangi bir sayfadan Kaynak grupları'nı arayın ve seçin. Test-FW-RG kaynak grubunu seçin.
  2. Srv-Work sanal makinesi için ağ arabirimini seçin.
  3. Ayarlar'ın altında DNS sunucuları'nı seçin.
  4. DNS sunucuları'nın altında Özel'i seçin.
  5. 209.244.0.3 yazın ve DNS sunucusu ekle metin kutusuna Enter tuşuna, sonraki metin kutusuna ise 209.244.0.4 tuşuna basın.
  6. Kaydet'i seçin.
  7. Srv-Work sanal makinesini yeniden başlatın.

Güvenlik duvarını test etme

Şimdi güvenlik duvarını test edin ve beklendiği gibi çalıştığını onaylayın.

  1. Uzak masaüstünü güvenlik duvarı genel IP adresine bağlayın ve Srv-Work sanal makinesinde oturum açın.

  2. Internet Explorer'ı açın ve https://www.google.com adresine gidin.

  3. Internet Explorer güvenlik uyarılarında Tamam Kapat'ı> seçin.

    Google giriş sayfasını görmeniz gerekir.

  4. https://www.microsoft.com adresine göz atın.

    Güvenlik duvarı sizi engellemelidir.

Şimdi güvenlik duvarı kurallarının çalıştığını doğruladınız:

  • RDP kullanarak sanal makineye bağlanabilirsiniz.
  • İzin verilen bir FQDN'ye göz atabilir ancak diğerlerine göz atamazsınız.
  • Yapılandırılmış dış DNS sunucusunu kullanarak DNS adlarını çözümleyebilirsiniz.

Kaynakları temizleme

Teste devam etmek için güvenlik duvarı kaynaklarınızı koruyabilir veya artık gerekli değilse Test-FW-RG kaynak grubunu silip güvenlik duvarıyla ilgili tüm kaynakları silebilirsiniz.

Sonraki adımlar