Share via

Tutorial: Mengamankan hub virtual Anda menggunakan Azure Firewall Manager

  • Artikel

Dengan menggunakan Azure Firewall Manager, Anda dapat membuat hub virtual yang aman untuk mengamankan lalu lintas jaringan cloud Anda yang ditujukan untuk alamat IP pribadi, Azure PaaS, dan Internet. Perutean lalu lintas ke firewall dilakukan secara otomatis, jadi tidak perlu membuat rute yang ditentukan pengguna (UDR).

Firewall Manager juga mendukung arsitektur jaringan virtual hub. Untuk perbandingan jenis hub virtual yang aman dan jenis arsitektur jaringan virtual hub, lihat Apa saja opsi arsitektur Azure Firewall Manager?

Dalam tutorial ini, Anda akan mempelajari cara:

  • Membuat jaringan virtual spoke
  • Membuat hub virtual yang aman
  • Menyambungkan jaringan virtual hub dan spoke
  • Merutekan lalu lintas ke hub Anda
  • Menyebarkan server
  • Membuat kebijakan firewall dan mengamankan hub Anda
  • Menguji firewall

Penting

Prosedur dalam tutorial ini menggunakan Azure Firewall Manager untuk membuat hub aman Azure Virtual WAN baru. Anda dapat menggunakan Firewall Manager untuk meningkatkan hub yang ada, tetapi Anda tidak dapat mengonfigurasi Zona Ketersediaan Azure untuk Azure Firewall. Dimungkinkan juga untuk mengonversi hub yang ada ke hub aman menggunakan portal Azure, seperti yang dijelaskan dalam Mengonfigurasi Azure Firewall di hub Virtual WAN. Tetapi seperti Azure Firewall Manager, Anda tidak dapat mengonfigurasi Zona Ketersediaan. Untuk meningkatkan hub yang ada dan menentukan Zona Ketersediaan untuk Azure Firewall (disarankan) Anda harus mengikuti prosedur peningkatan di Tutorial: Mengamankan hub virtual Anda menggunakan Azure PowerShell.

Diagram showing the secure cloud network.

Prasyarat

Jika Anda tidak memiliki langganan Azure, buat akun gratis sebelum Anda memulai.

Membuat arsitektur hub dan spoke

Pertama, buat jaringan virtual spoke tempat Anda dapat meletakkan server Anda.

Membuat dua jaringan virtual spoke dan subnet

Kedua jaringan virtual masing-masing memiliki server beban kerja di dalamnya dan dilindungi oleh firewall.

  1. Pada beranda menu portal Microsoft Azure, pilih Buat sumber daya.
  2. Cari Jaringan virtual, pilih, dan pilih Buat.
  3. Untuk Langganan, Pilih langganan Anda.
  4. Untuk Grup Sumber Daya, pilih Buat baru, dan ketik fw-manager-rg untuk nama dan pilih OK.
  5. Untuk Nama jaringan virtual, ketik Spoke-01.
  6. Untuk Wilayah, pilih US Timur.
  7. Pilih Selanjutnya.
  8. Pada halaman Keamanan , pilih Berikutnya.
  9. Di bawah Tambahkan ruang alamat IPv4, terima default 10.0.0.0/16.
  10. Di bawah Subnet, pilih default.
  11. Untuk Nama, ketik Workload-01-SN.
  12. Untuk Alamat awal, ketik 10.0.1.0/24.
  13. Pilih Simpan.
  14. Pilih Tinjau + buat.
  15. Pilih Buat.

Ulangi prosedur ini untuk membuat jaringan virtual serupa lainnya di grup sumber daya fw-manager-rg :

Nama: Spoke-02
Ruang alamat: 10.1.0.0/16
Nama subnet: Workload-02-SN
Alamat awal: 10.1.1.0/24

Membuat hub virtual yang aman

Buat hub virtual yang aman menggunakan Firewall Manager.

  1. Pada halaman beranda portal Microsoft Azure, pilih Semua layanan.

  2. Dalam kotak pencarian, ketik Firewall Manager dan pilih Firewall Manager.

  3. Pada halaman Firewall Manager di bawah Penerapan, pilih Hub virtual.

  4. Di Firewall Manager| Hub virtual, pilih Buat hub virtual aman baru.

    Screenshot of creating a new secured virtual hub.

  5. Pilih Langganan Anda.

  6. Untuk Grup sumber daya, pilih fw-manager-rg.

  7. Untuk Wilayah, pilih US Timur.

  8. Untuk Nama hub virtual aman, ketik Hub-01.

  9. Untuk Ruang Alamat Hub, ketik 10.2.0.0/16.

  10. Pilih vWAN baru.

  11. Untuk nama WAN virtual baru, ketik Vwan-01.

  12. Untuk Jenis Pilih Standar.

  13. Kosongkan kotak centang Sertakan gateway VPN untuk mengaktifkan Mitra Keamanan Tepercaya.

    Screenshot of creating a new virtual hub with properties.

  14. Pilih Berikutnya: Azure Firewall.

  15. Terima pengaturan default Azure FirewallDiaktifkan.

  16. Untuk tingkat Azure Firewall, pilih Standar.

  17. Pilih kombinasi Zona Ketersediaan yang diinginkan.

Penting

Virtual WAN adalah kumpulan hub dan layanan yang tersedia di dalam hub. Anda dapat menyebarkan Virtual WAN sebanyak yang dibutuhkan. Di hub Virtual WAN, ada beberapa layanan seperti VPN, ExpressRoute, dan sebagainya. Masing-masing layanan ini secara otomatis disebarkan di seluruh Zona Ketersediaan kecuali Azure Firewall, jika wilayah tersebut mendukung Zona Ketersediaan. Untuk menyelaraskan dengan ketahanan Azure Virtual WAN, Anda harus memilih semua Zona Ketersediaan yang tersedia.

Screenshot of configuring Azure Firewall parameters.

  1. Ketik 1 di kotak teks Tentukan jumlah alamat IP Publik.

  2. Di bawah Kebijakan Firewall pastikan Kebijakan Tolak Default dipilih. Anda menyempurnakan pengaturan Anda nanti di artikel ini.

  3. Pilih Berikutnya: Penyedia Mitra Keamanan.

    Screenshot of configuring Trusted Partners parameters.

  4. Terima pengaturan default Mitra Keamanan TepercayaDinonaktifkan, dan pilih Berikutnya: Tinjau + buat.

  5. Pilih Buat.

    Screenshot of creating the Firewall instance.

Catatan

Mungkin perlu waktu hingga 30 menit untuk membuat hub virtual yang aman.

Anda dapat menemukan alamat IP publik firewall setelah penyebaran selesai.

  1. Buka Firewall Manager.
  2. Pilih Hub virtual.
  3. Pilih hub-01.
  4. Pilih AzureFirewall_Hub-01.
  5. Perhatikan alamat IP publik yang akan digunakan nanti.

Menyambungkan jaringan virtual hub dan spoke

Sekarang anda dapat meyerekan jaringan virtual hub dan spoke.

  1. Pilih grup sumber daya fw-manager-rg, lalu pilih WAN virtual Vwan-01.

  2. Di bawah Konektivitas, pilih Koneksi jaringan virtual.

    Screenshot of adding Virtual Network connections.

  3. Pilih Tambahkan koneksi.

  4. Untuk Nama koneksi, ketik hub-spoke-01.

  5. Untuk Hub, pilih Hub-01.

  6. Untuk Grup sumber daya, pilih fw-manager-rg.

  7. Untuk Jaringan Virtual, pilih Spoke-01.

  8. Pilih Buat.

  9. Ulangi untuk menyambungkan jaringan virtual Spoke-02 : nama koneksi - hub-spoke-02.

Menyebarkan server

  1. Di portal Microsoft Azure, pilih Buat sumber daya.

  2. Pilih Pusat Data Windows Server 2019 di daftar Populer.

  3. Masukkan nilai ini untuk komputer virtual:

    Pengaturan Nilai
    Grup sumber daya fw-manager-rg
    Nama komputer virtual Srv-workload-01
    Wilayah (US) US Timur)
    Nama pengguna administrator ketik nama pengguna
    Kata sandi ketik kata sandi

  4. Di bawah Aturan port masuk, untuk Port masuk publik, pilih Tidak Ada.

  5. Terima default lainnya lalu pilih Berikutnya: Disk.

  6. Pakai default disk dan pilih Berikutnya : Jaringan.

  7. Pilih Spoke-01 untuk jaringan virtual dan pilih Workload-01-SN untuk subnet.

  8. Untuk IP Publik, pilih Tidak Ada.

  9. Pakai default yang lain dan kemudian pilih Berikutnya: Manajemen.

  10. Pilih Berikutnya:Pemantauan.

  11. Pilih Nonaktifkan untuk menonaktifkan diagnostik boot. Pakai default yang lain lalu pilih Tinjau + Buat.

  12. Tinjau ulang pengaturan pada halaman ringkasan, lalu pilih Buat.

Gunakan informasi dalam tabel berikut untuk mengonfigurasi komputer virtual lain bernama Srv-Workload-02. Konfigurasi yang lainnya sama dengan komputer virtual Srv-workload-01.

Pengaturan Nilai
Jaringan virtual Spoke-02
Subnet Workload-02-SN

Setelah server disebarkan, pilih sumber daya server, dan di Penjaringan perhatikan alamat IP privat untuk setiap server.

Membuat kebijakan firewall dan mengamankan hub Anda

Kebijakan firewall mendefinisikan kumpulan aturan untuk mengarahkan lalu lintas pada satu atau beberapa hub virtual yang aman. Anda membuat kebijakan firewall lalu mengamankan hub Anda.

  1. Dari Pengelola Firewall, pilih kebijakan Azure Firewall.

    Screenshot of creating an Azure Policy with first step.

  2. Pilih Buat Kebijakan Azure Firewall.

    Screenshot of configuring Azure Policy settings in first step.

  3. Untuk Grup sumber daya, pilih fw-manager-rg.

  4. Di bawah Detail kebijakan, untuk Nama ketik Policy-01 dan untuk Wilayah pilih US Timur.

  5. Untuk Tingkat kebijakan, pilih Standar.

  6. Pilih Berikutnya: Pengaturan DNS.

    Screenshot of configuring DNS settings.

  7. Pilih Berikutnya: Inspeksi TLS.

    Screenshot of configuring TLS settings.

  8. Pilih Berikutnya : Aturan.

  9. Pada tab Aturan, pilih Tambahkan kumpulan aturan.

    Screenshot of configuring Rule Collection.

  10. Pada halaman Tambahkan kumpulan aturan, ketik App-RC-01 untuk Nama.

  11. Untuk Tipe kumpulan aturan, pilih Aplikasi.

  12. Untuk Prioritas, ketik 100.

  13. Pastikan Tindakan kumpulan aturanDiizinkan.

  14. Untuk Nama aturan, ketik Allow-msft.

  15. Untuk Jenis Sumber, pilih alamat IP.

  16. Untuk Sumber, ketik *.

  17. Untuk Protokol, ketik http,https.

  18. Pastikan Jenis Tujuan adalah FQDN.

  19. Untuk Tujuan, ketik *.microsoft.com.

  20. Pilih Tambahkan.

  21. Tambahkan aturan DNAT sehingga Anda dapat menghubungkan desktop jarak jauh ke mesin virtual Srv-Workload-01.

    1. Pilih Tambahkan Kumpulan Aturan.
    2. Untuk Nama, ketik dnat-rdp.
    3. Untuk Jenis kumpulan aturan, pilih DNAT.
    4. Untuk Prioritas, ketik 100.
    5. Untuk Nama aturan, ketik Allow-rdp.
    6. Untuk Jenis Sumber, pilih alamat IP.
    7. Untuk Sumber, ketik *.
    8. Untuk Protokol, pilih TCP.
    9. Untuk Port Tujuan, jenis 3389.
    10. Untuk Tujuan, ketik alamat IP publik firewall yang Anda perhatikan sebelumnya.
    11. Untuk Jenis yang diterjemahkan, pilih Alamat IP.
    12. Untuk Alamat Terjemahan, ketik alamat IP privat untuk Srv-Workload-01 yang Anda perhatikan sebelumnya.
    13. Untuk Port terjemahan, ketik 3389.
    14. Pilih Tambahkan.

  22. Tambahkan Aturan jaringan sehingga Anda dapat menghubungkan desktop jarak jauh dari Srv-Workload-01 ke Srv-Workload-02.

    1. Pilih Tambahkan Kumpulan Aturan.
    2. Untuk Nama, ketik vnet-rdp.
    3. Untuk Jenis kumpulan aturan, pilih Jaringan.
    4. Untuk Prioritas, ketik 100.
    5. Untuk Tindakan kumpulan aturan, pilih Izinkan.
    6. Untuk aturan Nama ketik Allow-vnet.
    7. Untuk Jenis Sumber, pilih alamat IP.
    8. Untuk Sumber, ketik *.
    9. Untuk Protokol, pilih TCP.
    10. Untuk Port Tujuan, jenis 3389.
    11. Untuk Jenis Tujuan, pilih Alamat IP.
    12. Untuk Tujuan, ketik alamat IP privat Srv-Workload-02 yang Anda perhatikan sebelumnya.
    13. Pilih Tambahkan.

  23. Pilih Berikutnya: IDPS.

  24. Pada halaman IDPS , pilih Berikutnya: Inteligensi Ancaman

    Screenshot of configuring IDPS settings.

  25. Di halaman Inteligensi Ancaman, terima default dan pilih Tinjau dan Buat:

    Screenshot of configuring Threat Intelligence settings.

  26. Tinjau untuk mengonfirmasi pilihan Anda lalu pilih Buat.

Mengaitkan kebijakan

Kaitkan kebijakan firewall dengan hub.

  1. Dari Firewall Manager, pilih Tampilkan kebijakan Azure Firewall.

  2. Pilih kotak centang untuk Policy-01.

  3. Pilih Kelola kaitan, Hub terkait.

    Screenshot of configuring Policy association.

  4. Pilih hub-01.

  5. Pilih Tambahkan.

    Screenshot of adding Policy and Hub settings.

Merutekan lalu lintas ke hub Anda

Sekarang Anda harus memastikan bahwa lalu lintas jaringan akan dialihkan melalui firewall Anda.

  1. Dari Firewall Manager, pilih Hub virtual.

  2. Pilih Hub-01.

  3. Di bagian Pengaturan, pilih Konfigurasi keamanan.

  4. Di bawah Lalu lintas Internet, pilih Azure Firewall.

  5. Di bawah Lalu lintas privat, pilih Kirim melalui Azure Firewall.

    Catatan

    Jika Anda menggunakan rentang alamat IP publik untuk jaringan privat di jaringan virtual atau cabang lokal, Anda perlu secara eksplisit menentukan awalan alamat IP ini. Pilih bagian Awalan Lalu Lintas Privat lalu tambahkan bersama prefiks alamat RFC1918.

  6. Di bawah Inter-hub, pilih Diaktifkan untuk mengaktifkan fitur niat perutean Virtual WAN. Niat perutean adalah mekanisme di mana Anda dapat mengonfigurasi Virtual WAN untuk merutekan lalu lintas cabang-ke-cabang (lokal ke lokal) melalui Azure Firewall yang disebarkan di Hub Virtual WAN. Untuk informasi selengkapnya mengenai prasyarat dan pertimbangan yang terkait dengan fitur niat perutean, lihat Dokumentasi Niat Perutean.

  7. Pilih Simpan.

  8. Pilih Oke pada dialog Peringatan.

    Screenshot of Secure Connections.

  9. Pilih OK pada dialog Migrasi untuk menggunakan antar-hub .

    Catatan

    Perlu beberapa menit untuk memperbarui tabel rute.

  10. Verifikasi bahwa kedua koneksi menunjukkan Azure Firewall yang mengamankan lalu lintas Internet dan privat.

    Screenshot of Secure Connections final status.

Menguji firewall

Untuk menguji aturan firewall, sambungkan desktop jarak jauh menggunakan alamat IP publik firewall, yaitu NATed ke Srv-Workload-01. Setelah itu, gunakan browser untuk menguji aturan aplikasi dan menyambungkan desktop jarak jauh ke Srv-Workload-02 untuk menguji aturan jaringan.

Menguji aturan aplikasi

Sekarang, uji aturan firewall untuk mengonfirmasi bahwa aturan bekerja seperti yang diharapkan.

  1. Sambungkan desktop jarak jauh ke alamat IP publik firewall, dan masuk.

  2. Buka Internet Explorer dan telusuri https://www.microsoft.com.

  3. Pilih OK>Tutup pada pemberitahuan keamanan Internet Explorer.

    Anda akan melihat halaman beranda Microsoft.

  4. Telusuri https://www.google.com.

    Firewall harus memblokir ini.

Jadi sekarang Anda memverifikasi bahwa aturan aplikasi firewall berfungsi:

  • Anda dapat menjelajah ke FQDN yang diizinkan, tetapi tidak ke yang lainnya.

Menguji aturan jaringan

Sekarang uji aturan jaringan.

  • Dari Srv-Workload-01, buka desktop jarak jauh ke alamat IP privat Srv-Workload-02.

    Desktop jarak jauh akan tersambung ke Srv-Workload-02.

Jadi sekarang Anda memverifikasi bahwa aturan jaringan firewall berfungsi:

  • Anda bisa menyambungkan desktop jarak jauh ke server yang berada di jaringan virtual lainnya.

Membersihkan sumber daya

Setelah selesai menguji sumber daya firewall Anda, hapus grup sumber daya fw-manager-rg untuk menghapus semua sumber daya yang terkait dengan firewall.

Langkah berikutnya

Pelajari tentang mitra keamanan tepercaya