Hướng Dẫn Tạo và Cấu Hình Azure Firewall

Giới thiệu

Khi các ứng dụng mở rộng và thu hút thêm nhiều người dùng, việc đảm bảo truy cập mạng an toàn và được kiểm soát trở thành một yêu cầu thiết yếu. Azure Firewall là một dịch vụ bảo mật mạng hoàn toàn được quản lý, mang lại khả năng kiểm soát tập trung, lọc nâng cao và bảo vệ chống lại các mối đe dọa. Nó cho phép các tổ chức áp dụng chính sách bảo mật đồng nhất trên các khối lượng công việc trong khi vẫn cho phép các giao tiếp cần thiết như cập nhật ứng dụng và phân giải DNS.

Trong hướng dẫn này, bạn sẽ học cách tạo và cấu hình Azure Firewall, xây dựng một chính sách tường lửa, và thêm cả quy tắc ứng dụng và quy tắc mạng để bảo vệ mạng ảo ứng dụng của bạn (app-vnet).

Mục tiêu học tập

Bằng cách làm theo hướng dẫn này, bạn sẽ học cách:

• Triển khai Azure Firewall vào một mạng ảo hiện có.
• Cấu hình chính sách tường lửa cho việc quản lý tập trung.
• Tạo một quy tắc ứng dụng cho phép truy cập ra ngoài đến Azure DevOps để cập nhật liên tục.
• Tạo một quy tắc mạng hỗ trợ phân giải DNS.

Tổng quan kiến trúc

Giải pháp sử dụng một mạng ảo ứng dụng (app-vnet) duy nhất để lưu trữ các khối lượng công việc. Azure Firewall được triển khai trong một subnet dành riêng gọi là AzureFirewallSubnet, nơi nó kiểm tra và lọc lưu lượng. Một chính sách tường lửa định nghĩa các quy tắc bảo mật:

• Một quy tắc ứng dụng cấp quyền truy cập cho ứng dụng đến các dịch vụ Azure DevOps.
• Một quy tắc mạng cho phép phân giải DNS.

Thiết kế này đảm bảo giao tiếp ra ngoài an toàn trong khi vẫn duy trì quản lý bảo mật tập trung.

Bước 1: Tạo Subnet cho Azure Firewall

Azure Firewall yêu cầu một subnet dành riêng có tên là AzureFirewallSubnet.

1. Trong cổng thông tin Azure, tìm kiếm Mạng ảo và mở mạng ảo ứng dụng của bạn (app-vnet).

2. Chọn Subnet và sau đó chọn + Subnet.

3. Đặt tên cho subnet là AzureFirewallSubnet và chỉ định dải địa chỉ 10.1.63.0/26.

4. Để các cài đặt khác mặc định và lưu lại.

Bước 2: Triển khai Azure Firewall

1. Trong cổng thông tin Azure, tìm kiếm Firewall và chọn + Tạo.

2. Sử dụng nhóm tài nguyên RG1 và đặt tên cho tường lửa là app-vnet-firewall.

3. Chọn Standard SKU và cấu hình để sử dụng một chính sách tường lửa mới có tên là fw-policy.

4. Chọn East US làm khu vực, gán nó cho mạng ảo hiện có app-vnet.

5. Tạo một chính sách Firewall mới gọi là fw-policy và một địa chỉ IP công cộng mới gọi là fwpip.

6. Hoàn thành wizard bằng cách chọn Xem + tạo và sau đó Tạo.

Lưu ý: Việc triển khai có thể mất vài phút.

Bước 3: Cấu hình Chính sách Tường lửa

Thêm một Quy tắc Ứng dụng

1. Trong cổng thông tin Azure, tìm kiếm Chính sách Tường lửa và mở fw-policy.

2. Đi đến Quy tắc ứng dụng và thêm một bộ quy tắc mới.

3. Đặt tên cho nó là app-vnet-fw-rule-collection, đặt mức độ ưu tiên là 200 và hành động là Cho phép.

4. Thêm một quy tắc có tên AllowAzurePipelines cho phép lưu lượng HTTPS từ dải địa chỉ nguồn 10.1.0.0/23 đến các tên miền đã được xác định đầy đủ (FQDNs) dev.azure.com và azure.microsoft.com.

Quy tắc này đảm bảo rằng ứng dụng của bạn có thể giao tiếp an toàn với Azure DevOps để cập nhật.

Thêm một Quy tắc Mạng

1. Trong fw-policy, mở Quy tắc mạng và thêm một bộ quy tắc mới.

2. Đặt tên cho nó là app-vnet-fw-nrc-dns, đặt mức độ ưu tiên là 200 và hành động là Cho phép.

3. Thêm một quy tắc có tên AllowDns cho phép lưu lượng UDP trên cổng 53 từ dải địa chỉ nguồn 10.1.0.0/23 đến các địa chỉ IP 1.1.1.1 và 1.0.0.1.

Quy tắc này đảm bảo rằng các truy vấn DNS từ các khối lượng công việc ứng dụng được phân giải thành công.

Bước 4: Xác minh Việc Triển khai

1. Trong cổng thông tin Azure, tìm kiếm Firewall và mở app-vnet-firewall. Xác nhận rằng trạng thái cung cấp hiển thị Đã thành công.
2. Tiếp theo, tìm kiếm Chính sách tường lửa và mở fw-policy. Đảm bảo rằng trạng thái cung cấp của nó cũng hiển thị Đã thành công.

Kết luận

Trong hướng dẫn này, bạn đã tạo và cấu hình Azure Firewall để bảo vệ một mạng ảo ứng dụng. Bạn đã triển khai tường lửa vào một subnet dành riêng, tạo một chính sách tường lửa tập trung, và thêm cả quy tắc ứng dụng và quy tắc mạng.

Với thiết lập này, ứng dụng của bạn hiện đã được bảo vệ bởi một dịch vụ tường lửa được quản lý trong khi vẫn duy trì quyền truy cập ra ngoài cần thiết cho cập nhật và phân giải DNS. Cách tiếp cận này tập trung hóa bảo mật mạng và chuẩn bị môi trường của bạn cho việc mở rộng trong tương lai và các nhu cầu bảo vệ nâng cao.