Tutorial: Implementación y configuración de Azure Firewall en una red híbrida con Azure PortalTutorial: Deploy and configure Azure Firewall in a hybrid network using the Azure portal

Cuando conecta la red local a una red virtual de Azure para crear una red híbrida, la capacidad de controlar el acceso a los recursos de la red de Azure es parte importante de un plan de seguridad global.When you connect your on-premises network to an Azure virtual network to create a hybrid network, the ability to control access to your Azure network resources is an important part of an overall security plan.

Puede usar Azure Firewall para controlar el acceso de red en una red híbrida con reglas que definen el tráfico de red que se permite o que se rechaza.You can use Azure Firewall to control network access in a hybrid network using rules that define allowed and denied network traffic.

En este tutorial se crearán tres redes virtuales:For this tutorial, you create three virtual networks:

  • VNet-Hub: el firewall está en esta red virtual.VNet-Hub - the firewall is in this virtual network.
  • VNet-Spoke: la red virtual Spoke representa la carga de trabajo ubicada en Azure.VNet-Spoke - the spoke virtual network represents the workload located on Azure.
  • VNet-Onprem: la red virtual local representa una red local.VNet-Onprem - The on-premises virtual network represents an on-premises network. En una implementación real, se puede conectar mediante una conexión VPN o ExpressRoute.In an actual deployment, it can be connected by either a VPN or ExpressRoute connection. Para simplificar, este tutorial usa una conexión de puerta de enlace de VPN y una red virtual ubicada en Azure para representar una red local.For simplicity, this tutorial uses a VPN gateway connection, and an Azure-located virtual network is used to represent an on-premises network.

Firewall en una red híbrida

En este tutorial, aprenderá a:In this tutorial, you learn how to:

  • Declaración de las variablesDeclare the variables
  • Crear la red virtual del centro de firewallCreate the firewall hub virtual network
  • Crear la red virtual de tipo hub-and-spokeCreate the spoke virtual network
  • Crear la red virtual localCreate the on-premises virtual network
  • Configuración e implementación del firewallConfigure and deploy the firewall
  • Creación y conexión de las puertas de enlace de VPNCreate and connect the VPN gateways
  • Emparejar las redes virtuales de tipo hub-and-spokePeer the hub and spoke virtual networks
  • Creación de las rutasCreate the routes
  • Creación de las máquinas virtualesCreate the virtual machines
  • Probar el firewallTest the firewall

Si desea usar Azure PowerShell en su lugar para completar este procedimiento, consulte Implementación y configuración de Azure Firewall en una red híbrida con Azure PowerShell.If you want to use Azure PowerShell instead to complete this procedure, see Deploy and configure Azure Firewall in a hybrid network using Azure PowerShell.

Requisitos previosPrerequisites

Una red híbrida usa el modelo de arquitectura radial para enrutar el tráfico entre redes virtuales de Azure y redes locales.A hybrid network uses the hub-and-spoke architecture model to route traffic between Azure VNets and on-premise networks. La arquitectura radial tiene los siguientes requisitos:The hub-and-spoke architecture has the following requirements:

  • Establezca AllowGatewayTransit al emparejar VNet-Hub con VNet-Spoke.Set AllowGatewayTransit when peering VNet-Hub to VNet-Spoke. En una arquitectura de red radial, el tránsito de una puerta de enlace permite que las redes virtuales de radio compartan la puerta de enlace de VPN en el centro, en lugar de implementar puertas de enlace de VPN en todas las redes virtuales de radio.In a hub-and-spoke network architecture, a gateway transit allows the spoke virtual networks to share the VPN gateway in the hub, instead of deploying VPN gateways in every spoke virtual network.

    Además, las rutas a las redes virtuales conectadas a la puerta de enlace o a las redes locales se propagarán automáticamente a las tablas de enrutamiento de las redes virtuales emparejadas mediante el tránsito de la puerta de enlace.Additionally, routes to the gateway-connected virtual networks or on-premises networks will automatically propagate to the routing tables for the peered virtual networks using the gateway transit. Para más información, consulte Configuración del tránsito de la puerta de enlace de VPN para el emparejamiento de red virtual.For more information, see Configure VPN gateway transit for virtual network peering.

  • Establezca UseRemoteGateways al emparejar VNet-Spoke con VNet-Hub.Set UseRemoteGateways when you peer VNet-Spoke to VNet-Hub. Si se establece UseRemoteGateways y también se establece AllowGatewayTransit en emparejamiento remoto, la red virtual de radio usa puertas de enlace de la red virtual remota para el tránsito.If UseRemoteGateways is set and AllowGatewayTransit on remote peering is also set, the spoke virtual network uses gateways of the remote virtual network for transit.

  • Para enrutar el tráfico de la subred de radio a través del firewall de centro, puede usar una ruta definida por el usuario (UDR) que apunte al firewall con la opción Virtual network gateway route propagation (Deshabilitar la propagación de rutas de la puerta de enlace de red virtual) deshabilitada.To route the spoke subnet traffic through the hub firewall, you can use a User Defined route (UDR) that points to the firewall with the Virtual network gateway route propagation option disabled. La opción Propagación de rutas de puerta de enlace de red virtual deshabilitada evita la distribución de rutas a las subredes de radio.The Virtual network gateway route propagation disabled option prevents route distribution to the spoke subnets. Esto evita que las rutas aprendidas entren en conflicto con la UDR.This prevents learned routes from conflicting with your UDR. Si desea mantener la opción Virtual network gateway route propagation (Deshabilitar la propagación de rutas de la puerta de enlace de red virtual) habilitada, asegúrese de definir rutas específicas para el firewall con el fin de invalidar las que se publican desde el entorno local mediante el protocolo de puerta de enlace de borde.If you want to keep Virtual network gateway route propagation enabled, make sure to define specific routes to the firewall to override those that are published from on-premises over BGP.

  • Configure una ruta definida por el usuario en la subred de la puerta de enlace del centro que apunte a la dirección IP del firewall como próximo salto para las redes de radio.Configure a UDR on the hub gateway subnet that points to the firewall IP address as the next hop to the spoke networks. No se requiere ninguna ruta definida por el usuario en la subred de Azure Firewall, ya que obtiene las rutas de BGP.No UDR is required on the Azure Firewall subnet, as it learns routes from BGP.

Consulte la sección Creación de rutas en este tutorial para ver cómo se crean estas rutas.See the Create Routes section in this tutorial to see how these routes are created.

Nota

Azure Firewall debe tener conectividad directa a Internet.Azure Firewall must have direct Internet connectivity. Si AzureFirewallSubnet aprende una ruta predeterminada a la red local mediante BGP, debe reemplazarla por una UDR 0.0.0.0/0 con el valor NextHopType establecido como Internet para mantener la conectividad directa a Internet.If your AzureFirewallSubnet learns a default route to your on-premises network via BGP, you must override this with a 0.0.0.0/0 UDR with the NextHopType value set as Internet to maintain direct Internet connectivity.

Azure Firewall puede configurarse para admitir la tunelización forzada.Azure Firewall can be configured to support forced tunneling. Para más información, consulte Tunelización forzada de Azure Firewall.For more information, see Azure Firewall forced tunneling.

Nota

El tráfico entre redes virtuales emparejadas directamente se enruta directamente aunque una ruta definida por el usuario apunte a Azure Firewall como puerta de enlace predeterminada.Traffic between directly peered VNets is routed directly even if a UDR points to Azure Firewall as the default gateway. Para enviar tráfico de subred a subred al firewall en este escenario, una UDR debe contener el prefijo de red de la subred de destino de forma explícita en ambas subredes.To send subnet to subnet traffic to the firewall in this scenario, a UDR must contain the target subnet network prefix explicitly on both subnets.

Si no tiene una suscripción a Azure, cree una cuenta gratuita antes de empezar.If you don't have an Azure subscription, create a free account before you begin.

Crear la red virtual del centro de firewallCreate the firewall hub virtual network

En primer lugar, cree el grupo de recursos en el que se incluirán los recursos de este tutorial:First, create the resource group to contain the resources for this tutorial:

  1. Inicie sesión en Azure Portal en https://portal.azure.com.Sign in to the Azure portal at https://portal.azure.com.
  2. En la página principal de Azure Portal, seleccione Grupos de recursos > Agregar.On the Azure portal home page, select Resource groups > Add.
  3. En Suscripción, seleccione la suscripción.For Subscription, select your subscription.
  4. En Nombre del grupo de recursos, escriba FW-Hybrid-Test.For Resource group name, type FW-Hybrid-Test.
  5. En Región, seleccione (EE. UU.) Este de EE. UU. .For Region, select (US) East US. Todos los recursos que cree después deben estar en la misma ubicación.All resources that you create later must be in the same location.
  6. Seleccione Revisar + crear.Select Review + Create.
  7. Seleccione Crear.Select Create.

Ahora, cree la red virtual:Now, create the VNet:

Nota

El tamaño de la subred AzureFirewallSubnet es /26.The size of the AzureFirewallSubnet subnet is /26. Para más información sobre el tamaño de la subred, consulte Preguntas más frecuentes sobre Azure Firewall.For more information about the subnet size, see Azure Firewall FAQ.

  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.
  2. En Redes, seleccione Red virtuales.Under Networking, select Virtual network.
  3. Seleccione Crear.Select Create.
  4. En Grupo de recursos, seleccione FW-Hybrid-Test.For Resource group, select FW-Hybrid-Test.
  5. En Nombre, escriba Vnet-Hub.For Name, type VNet-hub.
  6. Seleccione Siguiente: Direcciones IP.Select Next: IP Addresses.
  7. En Espacio de direcciones IPv4, elimine la dirección predeterminada y escriba 10.5.0.0/16.For IPv4 Address space, delete the default address and type 10.5.0.0/16.
  8. En Nombre de subred, seleccione Agregar subred.Under Subnet name, select Add subnet.
  9. En Nombre de subred, escriba AzureFirewallSubnet.For Subnet name type AzureFirewallSubnet. El firewall estará en esta subred y el nombre de la subred debe ser AzureFirewallSubnet.The firewall will be in this subnet, and the subnet name must be AzureFirewallSubnet.
  10. En Intervalo de direcciones de subred, escriba 10.5.0.0/26.For Subnet address range, type 10.5.0.0/26.
  11. Seleccione Agregar.Select Add.
  12. Seleccione Revisar y crear.Select Review + create.
  13. Seleccione Crear.Select Create.

Crear la red virtual de tipo hub-and-spokeCreate the spoke virtual network

  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.
  2. En Redes, seleccione Red virtual.In Networking, select Virtual network.
  3. En Grupo de recursos, seleccione FW-Hybrid-Test.For Resource group, select FW-Hybrid-Test.
  4. En Nombre, escriba VNet-Spoke.For Name, type VNet-Spoke.
  5. En Región, seleccione (EE. UU.) Este de EE. UU. .For Region, select (US) East US.
  6. Seleccione Siguiente: Direcciones IP.Select Next: IP Addresses.
  7. En Espacio de direcciones IPv4, elimine la dirección predeterminada y escriba 10.6.0.0/16.For IPv4 address space, delete the default address and type 10.6.0.0/16.
  8. En Nombre de subred, seleccione Agregar subred.Under Subnet name, select Add subnet.
  9. En Nombre de subred, escriba SN-Workload.For Subnet name type SN-Workload.
  10. En Intervalo de direcciones de subred, escriba 10.6.0.0/24.For Subnet address range, type 10.6.0.0/24.
  11. Seleccione Agregar.Select Add.
  12. Seleccione Revisar y crear.Select Review + create.
  13. Seleccione Crear.Select Create.

Crear la red virtual localCreate the on-premises virtual network

  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.
  2. En Redes, seleccione Red virtual.In Networking, select Virtual network.
  3. En Grupo de recursos, seleccione FW-Hybrid-Test.For Resource group, select FW-Hybrid-Test.
  4. En Nombre, escriba VNet-OnPrem.For Name, type VNet-OnPrem.
  5. En Región, seleccione (EE. UU.) Este de EE. UU. .For Region, select (US) East US.
  6. Seleccione Siguiente: Direcciones IPSelect Next : IP Addresses
  7. En Espacio de direcciones IPv4, elimine la dirección predeterminada y escriba 192.168.0.0/16.For IPv4 address space, delete the default address and type 192.168.0.0/16.
  8. En Nombre de subred, seleccione Agregar subred.Under Subnet name, select Add subnet.
  9. En Nombre de subred, escriba SN-Corp.For Subnet name type SN-Corp.
  10. En Intervalo de direcciones de subred, escriba 192.168.1.0/24.For Subnet address range, type 192.168.1.0/24.
  11. Seleccione Agregar.Select Add.
  12. Seleccione Revisar y crear.Select Review + create.
  13. Seleccione Crear.Select Create.

Ahora cree una segunda subred para la puerta de enlace.Now create a second subnet for the gateway.

  1. En la página VNet-Onprem, seleccione Subredes.On the VNet-Onprem page, select Subnets.
  2. Seleccione +Subred.Select +Subnet.
  3. En Nombre, escriba GatewaySubnet.For Name, type GatewaySubnet.
  4. En Intervalo de direcciones de subred, escriba 192.168.2.0/24.For Subnet address range type 192.168.2.0/24.
  5. Seleccione Aceptar.Select OK.

Configuración e implementación del firewallConfigure and deploy the firewall

Ahora, implemente el firewall en la red virtual del concentrador de firewall.Now deploy the firewall into the firewall hub virtual network.

  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.

  2. En la columna de la izquierda, seleccione Redes y, a continuación, busque y seleccione Firewall.In the left column, select Networking, and search for and then select Firewall.

  3. En la página Creación de un firewall, utilice la tabla siguiente para configurar el firewall:On the Create a Firewall page, use the following table to configure the firewall:

    ConfiguraciónSetting ValueValue
    SubscriptionSubscription <your subscription>
    Resource groupResource group FW-Hybrid-TestFW-Hybrid-Test
    NombreName AzFW01AzFW01
    RegionRegion Este de EE. UU.East US
    Elegir una red virtualChoose a virtual network Usar existente:Use existing:
    VNet-hubVNet-hub
    Dirección IP públicaPublic IP address Agregar nueva:Add new:
    fw-pip.fw-pip.
  4. Seleccione Revisar + crear.Select Review + create.

  5. Revise el resumen y seleccione Crear para crear el firewall.Review the summary, and then select Create to create the firewall.

    Esto tarda unos minutos en implementarse.This takes a few minutes to deploy.

  6. Una vez finalizada la implementación, vaya al grupo de recursos FW-Hybrid-Test y seleccione el firewall AzFW01.After deployment completes, go to the FW-Hybrid-Test resource group, and select the AzFW01 firewall.

  7. Anote la dirección IP privada.Note the private IP address. Se usará más adelante al crear la ruta predeterminada.You'll use it later when you create the default route.

Configuración de reglas de redConfigure network rules

En primer lugar, agregue una regla de red para permitir el tráfico web.First, add a network rule to allow web traffic.

  1. En la página AzFW01, seleccione Reglas.On the AzFW01 page, Select Rules.
  2. Seleccione la pestaña Recopilación de reglas de red.Select the Network rule collection tab.
  3. Seleccione Agregar una colección de reglas de red .Select Add network rule collection.
  4. En Nombre, escriba RCNet01.For Name, type RCNet01.
  5. En Prioridad, escriba 100.For Priority, type 100.
  6. En Acción, seleccione Permitir.For Action, select Allow.
  7. En Reglas, como Nombre, escriba AllowWeb.Under Rules, for Name, type AllowWeb.
  8. En Protocolo, seleccione TCP.For Protocol, select TCP.
  9. Como Tipo de origen, seleccione Dirección IP.For Source type, select IP address.
  10. Como Origen, escriba 192.168.1.0/24.For Source, type 192.168.1.0/24.
  11. En Tipo de destino, seleccione Dirección IP.For Destination type, select IP address.
  12. Como Dirección de destino, escriba 10.6.0.0/16.For Destination address, type 10.6.0.0/16
  13. En Puertos de destino, escriba 80.For Destination Ports, type 80.

Ahora, agregue una regla para permitir el tráfico RDP.Now add a rule to allow RDP traffic.

En la segunda fila de la regla, escriba la siguiente información:On the second rule row, type the following information:

  1. En Nombre, escriba AllowRDP.Name, type AllowRDP.
  2. En Protocolo, seleccione TCP.For Protocol, select TCP.
  3. Como Tipo de origen, seleccione Dirección IP.For Source type, select IP address.
  4. Como Origen, escriba 192.168.1.0/24.For Source, type 192.168.1.0/24.
  5. En Tipo de destino, seleccione Dirección IP.For Destination type, select IP address.
  6. Como Dirección de destino, escriba 10.6.0.0/16.For Destination address, type 10.6.0.0/16
  7. En Puertos de destino, escriba 3389.For Destination Ports, type 3389.
  8. Seleccione Agregar.Select Add.

Creación y conexión de las puertas de enlace de VPNCreate and connect the VPN gateways

Las redes virtuales de centro y local están conectadas mediante puertas de enlace VPN.The hub and on-premises virtual networks are connected via VPN gateways.

Creación de una puerta de enlace VPN para la red virtual de centroCreate a VPN gateway for the hub virtual network

Cree la puerta de enlace VPN para la red virtual de centro.Now create the VPN gateway for the hub virtual network. Las configuraciones de red a red requieren un VpnType RouteBased.Network-to-network configurations require a RouteBased VpnType. La creación de una puerta de enlace de VPN suele tardar 45 minutos o más, según la SKU de la puerta de enlace de VPN seleccionada.Creating a VPN gateway can often take 45 minutes or more, depending on the selected VPN gateway SKU.

  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.
  2. En el cuadro de texto de búsqueda, escriba puerta de enlace de red virtual.In the search text box, type virtual network gateway.
  3. Seleccione Puerta de enlace de red virtual y, después, Crear.Select Virtual network gateway, and select Create.
  4. En Nombre, escriba GW-hub.For Name, type GW-hub.
  5. En Región, seleccione la misma región que usó anteriormente.For Region, select the same region that you used previously.
  6. En Tipo de puerta de enlace seleccione VPN.For Gateway type, select VPN.
  7. En Tipo de VPN seleccione Basada en rutas.For VPN type, select Route-based.
  8. En SKU, seleccione Básico.For SKU, select Basic.
  9. En Red virtual, seleccione VNet-hub.For Virtual network, select VNet-hub.
  10. En Dirección IP pública, seleccione Crear nuevo y escriba VNet-hub-GW-pip como nombre.For Public IP address, select Create new, and type VNet-hub-GW-pip for the name.
  11. Acepte el resto de valores predeterminados y seleccione Revisar y crear.Accept the remaining defaults and then select Review + create.
  12. Revise la configuración y, después, seleccione Crear.Review the configuration, then select Create.

Creación de una puerta de enlace VPN para la red virtual localCreate a VPN gateway for the on-premises virtual network

Cree la puerta de enlace VPN para la red virtual local.Now create the VPN gateway for the on-premises virtual network. Las configuraciones de red a red requieren un VpnType RouteBased.Network-to-network configurations require a RouteBased VpnType. La creación de una puerta de enlace de VPN suele tardar 45 minutos o más, según la SKU de la puerta de enlace de VPN seleccionada.Creating a VPN gateway can often take 45 minutes or more, depending on the selected VPN gateway SKU.

  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.
  2. En el cuadro de texto de búsqueda, escriba puerta de enlace de red virtual y presione Entrar.In the search text box, type virtual network gateway and press Enter.
  3. Seleccione Puerta de enlace de red virtual y, después, Crear.Select Virtual network gateway, and select Create.
  4. En Nombre, escriba GW-Onprem.For Name, type GW-Onprem.
  5. En Región, seleccione la misma región que usó anteriormente.For Region, select the same region that you used previously.
  6. En Tipo de puerta de enlace seleccione VPN.For Gateway type, select VPN.
  7. En Tipo de VPN seleccione Basada en rutas.For VPN type, select Route-based.
  8. En SKU, seleccione Básico.For SKU, select Basic.
  9. En Red virtual, selecciona VNet-Onprem.For Virtual network, select VNet-Onprem.
  10. En Dirección IP pública, seleccione Crear nuevo y escriba VNet-Onprem-GW-pip como nombre.For Public IP address, select Create new, and type VNet-Onprem-GW-pip for the name.
  11. Acepte el resto de valores predeterminados y seleccione Revisar y crear.Accept the remaining defaults and then select Review + create.
  12. Revise la configuración y, después, seleccione Crear.Review the configuration, then select Create.

Creación de las conexionesCreate the VPN connections

Ahora puede crear las conexiones de VPN entre las puertas de enlace de centro y local.Now you can create the VPN connections between the hub and on-premises gateways.

En este paso va a crear la conexión entre la red virtual de centro y la red virtual local.In this step, you create the connection from the hub virtual network to the on-premises virtual network. Verá una clave compartida a la que se hace referencia en los ejemplos.You'll see a shared key referenced in the examples. Puede utilizar sus propios valores para la clave compartida.You can use your own values for the shared key. Lo importante es que la clave compartida coincida en ambas conexiones.The important thing is that the shared key must match for both connections. Se tardará unos momentos en terminar de crear la conexión.Creating a connection can take a short while to complete.

  1. Abra el grupo de recursos FW-Hybrid-Test y seleccione la puerta de enlace GW-hub.Open the FW-Hybrid-Test resource group and select the GW-hub gateway.
  2. Seleccione Conexiones en la columna izquierda.Select Connections in the left column.
  3. Seleccione Agregar.Select Add.
  4. En el nombre de la conexión, escriba Hub-to-Onprem.The the connection name, type Hub-to-Onprem.
  5. En Tipo de conexión, seleccione De VNet a VNet.Select VNet-to-VNet for Connection type.
  6. En Segunda puerta enlace de red virtual, seleccione GW-Onprem.For the Second virtual network gateway, select GW-Onprem.
  7. En Clave compartida (PSK) , escriba AzureA1b2C3.For Shared key (PSK), type AzureA1b2C3.
  8. Seleccione Aceptar.Select OK.

Cree la conexión de red entre la red virtual local y la red virtual de centro.Create the on-premises to hub virtual network connection. Este paso es similar al anterior, excepto que se crea una conexión desde la red virtual local a la red virtual de centro.This step is similar to the previous one, except you create the connection from VNet-Onprem to VNet-hub. Asegúrese de que coincidan las claves compartidas.Make sure the shared keys match. Después de unos minutos, se habrá establecido la conexión.The connection will be established after a few minutes.

  1. Abra el grupo de recursos FW-Hybrid-Test y seleccione la puerta de enlace GW-Onprem.Open the FW-Hybrid-Test resource group and select the GW-Onprem gateway.
  2. Seleccione Conexiones en la columna izquierda.Select Connections in the left column.
  3. Seleccione Agregar.Select Add.
  4. Para el nombre de la conexión, escriba Onprem-to-Hub.For the connection name, type Onprem-to-Hub.
  5. En Tipo de conexión, seleccione De VNet a VNet.Select VNet-to-VNet for Connection type.
  6. En Segunda puerta enlace de red virtual, seleccione GW-hub.For the Second virtual network gateway, select GW-hub.
  7. En Clave compartida (PSK) , escriba AzureA1b2C3.For Shared key (PSK), type AzureA1b2C3.
  8. Seleccione Aceptar.Select OK.

Comprobación de la conexiónVerify the connection

Después de unos cinco minutos o más, el estado de ambas conexiones debe ser conectado.After about five minutes or so, the status of both connections should be Connected.

Conexiones de puerta de enlace

Emparejar las redes virtuales de tipo hub-and-spokePeer the hub and spoke virtual networks

Ahora, empareje las redes virtuales de tipo hub-and-spoke.Now peer the hub and spoke virtual networks.

  1. Abra el grupo de recursos FW-Hybrid-Test y seleccione la red virtual VNet-hub.Open the FW-Hybrid-Test resource group and select the VNet-hub virtual network.

  2. En la columna izquierda, seleccione Emparejamientos.In the left column, select Peerings.

  3. Seleccione Agregar.Select Add.

  4. En Esta red virtual:Under This virtual network:

    Nombre del valorSetting name ValueValue
    Nombre del vínculo de emparejamientoPeering link name HubtoSpokeHubtoSpoke
    Tráfico hacia la red virtual remotaTraffic to remote virtual network Permitir (predeterminado)Allow (default)
    Tráfico reenviado desde la red virtual remotaTraffic forwarded from remote virtual network Permitir (predeterminado)Allow (default)
    Puerta de enlace de red virtualVirtual network gateway Usar la puerta de enlace de esta red virtualUse this virtual network's gateway
  5. En Red virtual remota:Under Remote virtual network:

    Nombre del valorSetting name ValueValue
    Nombre del vínculo de emparejamientoPeering link name SpoketoHubSpoketoHub
    Modelo de implementación de red virtualVirtual network deployment model Resource ManagerResource manager
    SuscripciónSubscription <your subscription>
    Virtual networkVirtual network VNet-SpokeVNet-Spoke
    Tráfico hacia la red virtual remotaTraffic to remote virtual network Permitir (predeterminado)Allow (default)
    Tráfico reenviado desde la red virtual remotaTraffic forwarded from remote virtual network Permitir (predeterminado)Allow (default)
    Puerta de enlace de red virtualVirtual network gateway Usar la puerta de enlace de la red virtual remotaUse the remote virtual network's gateway
  6. Seleccione Agregar.Select Add.

    Emparejamiento de Vnet

Creación de las rutasCreate the routes

A continuación, cree un par de rutas:Next, create a couple routes:

  • Una ruta desde la subred de puerta de enlace de concentrador a la subred de radio mediante la dirección IP del firewall.A route from the hub gateway subnet to the spoke subnet through the firewall IP address
  • Una ruta predeterminada desde la subred de radio mediante la dirección IP del firewall.A default route from the spoke subnet through the firewall IP address
  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.
  2. En el cuadro de texto de búsqueda, escriba tabla de rutas y presione Entrar.In the search text box, type route table and press Enter.
  3. Seleccione Tabla de rutas.Select Route table.
  4. Seleccione Crear.Select Create.
  5. Seleccione FW-Hybrid-Test en grupo de recursos.Select the FW-Hybrid-Test for the resource group.
  6. En Región, seleccione la misma ubicación que usó anteriormente.For Region, select the same location that you used previously.
  7. En el nombre, escriba UDR-Hub-Spoke.For the name, type UDR-Hub-Spoke.
  8. Seleccione Revisar + crear.Select Review + Create.
  9. Seleccione Crear.Select Create.
  10. Una vez creada la tabla de rutas, selecciónela para abrir la página de la tabla de rutas.After the route table is created, select it to open the route table page.
  11. Seleccione Rutas en la columna izquierda.Select Routes in the left column.
  12. Seleccione Agregar.Select Add.
  13. En el nombre de ruta, escriba ToSpoke.For the route name, type ToSpoke.
  14. En el prefijo de dirección, escriba 10.6.0.0/16.For the address prefix, type 10.6.0.0/16.
  15. En el tipo del próximo salto, seleccione Aplicación virtual.For next hop type, select Virtual appliance.
  16. En la dirección del próximo salto, escriba la dirección IP privada del firewall que anotó anteriormente.For next hop address, type the firewall's private IP address that you noted earlier.
  17. Seleccione Aceptar.Select OK.

Ahora asocie la ruta a la subred.Now associate the route to the subnet.

  1. En la página UDR-Hub-Spoke - Routes, seleccione Subredes.On the UDR-Hub-Spoke - Routes page, select Subnets.
  2. Seleccione Asociar.Select Associate.
  3. En Red virtual, seleccione VNet-hub.Under Virtual network, select VNet-hub.
  4. En Subred, seleccione GatewaySubnet.Under Subnet, select GatewaySubnet.
  5. Seleccione Aceptar.Select OK.

Ahora, cree la ruta predeterminada desde la subred radial.Now create the default route from the spoke subnet.

  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.
  2. En el cuadro de texto de búsqueda, escriba tabla de rutas y presione Entrar.In the search text box, type route table and press Enter.
  3. Seleccione Tabla de rutas.Select Route table.
  4. Seleccione Crear.Select Create.
  5. Seleccione FW-Hybrid-Test en grupo de recursos.Select the FW-Hybrid-Test for the resource group.
  6. En Región, seleccione la misma ubicación que usó anteriormente.For Region, select the same location that you used previously.
  7. En el nombre, escriba UDR-DG.For the name, type UDR-DG.
  8. En Propagar la ruta de la puerta de enlace, seleccione No.For Propagate gateway route, select No.
  9. Seleccione Revisar + crear.Select Review + Create.
  10. Seleccione Crear.Select Create.
  11. Una vez creada la tabla de rutas, selecciónela para abrir la página de la tabla de rutas.After the route table is created, select it to open the route table page.
  12. Seleccione Rutas en la columna izquierda.Select Routes in the left column.
  13. Seleccione Agregar.Select Add.
  14. En el nombre de ruta, escriba ToHub.For the route name, type ToHub.
  15. En el prefijo de dirección, escriba 0.0.0.0/0.For the address prefix, type 0.0.0.0/0.
  16. En el tipo del próximo salto, seleccione Aplicación virtual.For next hop type, select Virtual appliance.
  17. En la dirección del próximo salto, escriba la dirección IP privada del firewall que anotó anteriormente.For next hop address, type the firewall's private IP address that you noted earlier.
  18. Seleccione Aceptar.Select OK.

Ahora asocie la ruta a la subred.Now associate the route to the subnet.

  1. En la página UDR-DG - Routes, seleccione Subredes.On the UDR-DG - Routes page, select Subnets.
  2. Seleccione Asociar.Select Associate.
  3. En Red virtual, seleccione VNet-spoke.Under Virtual network, select VNet-spoke.
  4. En Subred, seleccione SN-Workload.Under Subnet, select SN-Workload.
  5. Seleccione Aceptar.Select OK.

Creación de máquinas virtualesCreate virtual machines

Ahora, cree la carga de trabajo de tipo hub-and-spoke y las máquinas virtuales locales, y colóquelas en las subredes adecuadas.Now create the spoke workload and on-premises virtual machines, and place them in the appropriate subnets.

Creación de la máquina virtual de cargas de trabajoCreate the workload virtual machine

Cree una máquina virtual en la red virtual radial, que ejecute IIS, sin ninguna dirección IP pública.Create a virtual machine in the spoke virtual network, running IIS, with no public IP address.

  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.
  2. En la página Popular, seleccione Windows Server 2016 Datacenter.Under Popular, select Windows Server 2016 Datacenter.
  3. Especifique estos valores para la máquina virtual:Enter these values for the virtual machine:
    • Grupo de recursos: seleccione FW-Hybrid-Test.Resource group - Select FW-Hybrid-Test.
    • Nombre de la máquina virtual: VM-Spoke-01.Virtual machine name: VM-Spoke-01.
    • Región: la misma región que usó anteriormente.Region - Same region that you're used previously.
    • Nombre de usuario: <type a user name>.User name: <type a user name>.
    • Contraseña: <type a password>Password: <type a password>
  4. En Puertos de entrada públicos, seleccione Permitir los puertos seleccionados y, después, seleccione HTTP (80) y RDP (3389) .For Public inbound ports, select Allow selected ports, and then select HTTP (80), and RDP (3389)
  5. Seleccione Siguiente: Discos.Select Next:Disks.
  6. Acepte los valores predeterminados y seleccione Siguiente: Redes.Accept the defaults and select Next: Networking.
  7. Seleccione VNet-Spoke para la red virtual y la subred es SN-Workload.Select VNet-Spoke for the virtual network and the subnet is SN-Workload.
  8. En IP pública, seleccione Ninguno.For Public IP, select None.
  9. Seleccione Siguiente: Administración.Select Next:Management.
  10. En Diagnósticos de arranque, seleccione Deshabilitado.For Boot diagnostics, Select Disable.
  11. Seleccione Revisar y crear, revise la configuración en la página de resumen y, después, seleccione Crear.Select Review+Create, review the settings on the summary page, and then select Create.

Instalación de IISInstall IIS

  1. En Azure Portal, abra Cloud Shell y asegúrese de que está establecido en PowerShell.From the Azure portal, open the Cloud Shell and make sure that it's set to PowerShell.

  2. Ejecute el siguiente comando para instalar IIS en la máquina virtual; cambie la ubicación si es necesario:Run the following command to install IIS on the virtual machine and change the location if necessary:

    Set-AzVMExtension `
            -ResourceGroupName FW-Hybrid-Test `
            -ExtensionName IIS `
            -VMName VM-Spoke-01 `
            -Publisher Microsoft.Compute `
            -ExtensionType CustomScriptExtension `
            -TypeHandlerVersion 1.4 `
            -SettingString '{"commandToExecute":"powershell Add-WindowsFeature Web-Server; powershell      Add-Content -Path \"C:\\inetpub\\wwwroot\\Default.htm\" -Value $($env:computername)"}' `
            -Location EastUS
    

Creación de la máquina virtual localCreate the on-premises virtual machine

Se trata de una máquina virtual con una dirección IP pública a la que se puede conectar mediante Escritorio remoto.This is a virtual machine that you use to connect using Remote Desktop to the public IP address. Desde allí, puede conectarse al servidor local a través del firewall.From there, you then connect to the on-premises server through the firewall.

  1. En la página principal de Azure Portal, seleccione Crear un recurso.From the Azure portal home page, select Create a resource.
  2. En la página Popular, seleccione Windows Server 2016 Datacenter.Under Popular, select Windows Server 2016 Datacenter.
  3. Especifique estos valores para la máquina virtual:Enter these values for the virtual machine:
    • Grupo de recursos: seleccione el existente y, después, FW-Hybrid-Test.Resource group - Select existing, and then select FW-Hybrid-Test.
    • Nombre de máquina virtual - VM-Onprem.Virtual machine name - VM-Onprem.
    • Región: la misma región que usó anteriormente.Region - Same region that you're used previously.
    • Nombre de usuario: <type a user name>.User name: <type a user name>.
    • Contraseña: <type a user password>.Password: <type a user password>.
  4. En Puertos de entrada públicos, seleccione Permitir los puertos seleccionados y, después, seleccione RDP (3389) .For Public inbound ports, select Allow selected ports, and then select RDP (3389)
  5. Seleccione Siguiente: Discos.Select Next:Disks.
  6. Acepte los valores predeterminados y seleccione Siguiente: Redes.Accept the defaults and select Next:Networking.
  7. Seleccione VNet-Onprem para red virtual y la subred es SN-Corp.Select VNet-Onprem for virtual network and the subnet is SN-Corp.
  8. Seleccione Siguiente: Administración.Select Next:Management.
  9. En Diagnósticos de arranque, seleccione Deshabilitado.For Boot diagnostics, Select Disable.
  10. Seleccione Revisar y crear, revise la configuración en la página de resumen y, después, seleccione Crear.Select Review+Create, review the settings on the summary page, and then select Create.

Probar el firewallTest the firewall

  1. En primer lugar, anote la dirección IP privada de la máquina virtual VM-spoke-01.First, note the private IP address for VM-spoke-01 virtual machine.

  2. En Azure Portal, conéctese a la máquina virtual VM-Onprem.From the Azure portal, connect to the VM-Onprem virtual machine.

  1. Abra un explorador web en VM-Onprem y vaya a http://<VM-spoke-01 private IP>.Open a web browser on VM-Onprem, and browse to http://<VM-spoke-01 private IP>.

    Debería ver la página web de VM-spoke-01: Página web VM-Spoke-01You should see the VM-spoke-01 web page: VM-Spoke-01 web page

  2. En la máquina virtual VM-Onprem, abra un escritorio remoto a VM-spoke-01 en la dirección IP privada.From the VM-Onprem virtual machine, open a remote desktop to VM-spoke-01 at the private IP address.

    Se realizará la conexión y podrá iniciar sesión.Your connection should succeed, and you should be able to sign in.

Con ello, ha comprobado que las reglas de firewall funcionan:So now you've verified that the firewall rules are working:

  • Puede examinar el servidor web en la red virtual de tipo hub-and-spoke.You can browse web server on the spoke virtual network.
  • Puede conectarse al servidor en la red virtual de tipo hub-and-spoke mediante RDP.You can connect to the server on the spoke virtual network using RDP.

A continuación, cambie la acción de recopilación de la regla de red del firewall a Deny (Denegar) para comprobar que las reglas del firewall funcionan según lo previsto.Next, change the firewall network rule collection action to Deny to verify that the firewall rules work as expected.

  1. Seleccione el firewall AzFW01.Select the AzFW01 firewall.
  2. Seleccione Reglas.Select Rules.
  3. Seleccione la pestaña Recopilación de reglas de red y seleccione la colección de reglas RCNet01.Select the Network rule collection tab and select the RCNet01 rule collection.
  4. En Acción, seleccione Denegar.For Action, select Deny.
  5. Seleccione Guardar.Select Save.

Cierre los escritorios remotos existentes antes de probar las reglas modificadas.Close any existing remote desktops before testing the changed rules. Ahora, ejecute de nuevo las pruebas.Now run the tests again. Esta vez, todas producirán un error.They should all fail this time.

Limpieza de recursosClean up resources

Puede conservar los recursos relacionados con el firewall para el siguiente tutorial o, si ya no los necesita, eliminar el grupo de recursos FW-Hybrid-Test para eliminarlos todos.You can keep your firewall resources for the next tutorial, or if no longer needed, delete the FW-Hybrid-Test resource group to delete all firewall-related resources.

Pasos siguientesNext steps

A continuación, puede supervisar los registros de Azure Firewall.Next, you can monitor the Azure Firewall logs.