Distribuire e configurare Firewall di Azure in una rete ibrida con il portale di AzureDeploy and configure Azure Firewall in a hybrid network using the Azure portal

Quando si connette la rete locale a una rete virtuale di Azure per creare una rete ibrida, la possibilità di controllare l'accesso alle risorse di rete di Azure è una parte importante di un piano di sicurezza complessivo.When you connect your on-premises network to an Azure virtual network to create a hybrid network, the ability to control access to your Azure network resources is an important part of an overall security plan.

È possibile usare il Firewall di Azure per controllare l'accesso alla rete in una rete ibrida usando le regole che definiscono il traffico di rete consentito e negato.You can use Azure Firewall to control network access in a hybrid network using rules that define allowed and denied network traffic.

Per questo articolo vengono create tre reti virtuali:For this article, you create three virtual networks:

  • VNet-Hub: in questa rete virtuale si trova la rete virtuale.VNet-Hub - the firewall is in this virtual network.
  • VNet-Spoke: la rete virtuale spoke rappresenta il carico di lavoro che si trova in Azure.VNet-Spoke - the spoke virtual network represents the workload located on Azure.
  • VNet-Onprem: rappresenta una rete locale.VNet-Onprem - The on-premises virtual network represents an on-premises network. In una distribuzione reale la connessione può essere effettuata tramite una connessione VPN o ExpressRoute.In an actual deployment, it can be connected by either a VPN or ExpressRoute connection. Per semplicità, questa procedura usa una connessione gateway VPN e una rete virtuale situata in Azure viene usata per rappresentare una rete locale.For simplicity, this procedure uses a VPN gateway connection, and an Azure-located virtual network is used to represent an on-premises network.

Firewall in una rete ibrida

In questo articolo vengono illustrate le operazioni seguenti:In this article, you learn how to:

  • Creare la rete virtuale dell'hub del firewallCreate the firewall hub virtual network
  • Creare la rete virtuale spokeCreate the spoke virtual network
  • Creare la rete virtuale localeCreate the on-premises virtual network
  • Configurare e distribuire il firewallConfigure and deploy the firewall
  • Creare e connettere i gateway VPNCreate and connect the VPN gateways
  • Eseguire il peering tra le reti virtuali dell'hub e spokePeer the hub and spoke virtual networks
  • Creare le routeCreate the routes
  • Creare le macchine virtualiCreate the virtual machines
  • Testare il firewallTest the firewall

Se si vuole completare la procedura con Azure PowerShell, vedere Distribuire e configurare Firewall di Azure in una rete ibrida con Azure PowerShell.If you want to use Azure PowerShell instead to complete this procedure, see Deploy and configure Azure Firewall in a hybrid network using Azure PowerShell.

Nota

Questo articolo usa le regole del firewall classiche per gestire il firewall.This article uses classic Firewall rules to manage the firewall. Il metodo preferito è l'uso di Criteri firewall.The preferred method is to use Firewall Policy. Per completare questa procedura usando Criteri firewall, vedere Esercitazione:Distribuire e configurare Firewall di Azure e criteri in una rete ibrida usando l'portale di Azure .To complete this procedure using Firewall Policy, see Tutorial: Deploy and configure Azure Firewall and policy in a hybrid network using the Azure portal.

PrerequisitiPrerequisites

Una rete ibrida usa il modello di architettura hub-spoke per instradare il traffico tra le reti virtuali di Azure e le reti locali.A hybrid network uses the hub-and-spoke architecture model to route traffic between Azure VNets and on-premise networks. L'architettura hub-spoke presenta i requisiti seguenti:The hub-and-spoke architecture has the following requirements:

  • Impostare Usa il gateway o il server di route di questa rete virtuale quando il peering VNet-Hub su VNet-Spoke.Set Use this virtual network's gateway or Route Server when peering VNet-Hub to VNet-Spoke. Nell'architettura di rete hub-spoke il transito tramite gateway consente alle reti virtuali spoke di condividere il gateway VPN nell'hub invece di distribuire gateway VPN in ogni rete virtuale spoke.In a hub-and-spoke network architecture, a gateway transit allows the spoke virtual networks to share the VPN gateway in the hub, instead of deploying VPN gateways in every spoke virtual network.

    Inoltre, le route alle reti virtuali connesse al gateway o alle reti locali si propagheranno automaticamente alle tabelle di routing per le reti virtuali con peering che usano il transito tramite gateway.Additionally, routes to the gateway-connected virtual networks or on-premises networks will automatically propagate to the routing tables for the peered virtual networks using the gateway transit. Per altre informazioni, vedere Configurare il transito tramite gateway VPN per il peering di reti virtuali.For more information, see Configure VPN gateway transit for virtual network peering.

  • Impostare Usa i gateway della rete virtuale remota o il server di route quando si esegue il peer VNet-Spoke su VNet-Hub.Set Use the remote virtual network's gateways or Route Server when you peer VNet-Spoke to VNet-Hub. Se l'opzione Usa i gateway o il server di route della rete virtuale remota è impostata e l'opzione Usa il gateway o il server di route di questa rete virtuale nel peering remoto è impostata, la rete virtuale spoke usa i gateway della rete virtuale remota per il transito.If Use the remote virtual network's gateways or Route Server is set and Use this virtual network's gateway or Route Server on remote peering is also set, the spoke virtual network uses gateways of the remote virtual network for transit.

  • Per instradare il traffico della subnet spoke attraverso il firewall dell'hub, è possibile usare una route definita dall'utente che punti al firewall con l'opzione Propagazione route del gateway di rete virtuale disabilitata.To route the spoke subnet traffic through the hub firewall, you can use a User Defined route (UDR) that points to the firewall with the Virtual network gateway route propagation option disabled. L'opzione Propagazione route del gateway di rete virtuale disabilitata impedisce la distribuzione delle route alle subnet spoke.The Virtual network gateway route propagation disabled option prevents route distribution to the spoke subnets. Evita anche che le route apprese entrino in conflitto con la route definita dall'utente.This prevents learned routes from conflicting with your UDR. Per mantenere abilitata l'opzione Propagazione route del gateway di rete virtuale, assicurarsi di definire route specifiche per il firewall per sostituire quelle pubblicate in locale su BGP.If you want to keep Virtual network gateway route propagation enabled, make sure to define specific routes to the firewall to override those that are published from on-premises over BGP.

  • Configurare una route definita dall'utente nella subnet del gateway dell'hub che punti all'indirizzo IP del firewall come hop successivo per le reti spoke.Configure a UDR on the hub gateway subnet that points to the firewall IP address as the next hop to the spoke networks. Non è richiesta alcuna route definita dall'utente nella subnet di Firewall di Azure, dal momento che le route vengono apprese dal protocollo BGP.No UDR is required on the Azure Firewall subnet, as it learns routes from BGP.

Vedere la sezione Creare route in questo articolo per vedere come vengono create queste route.See the Create Routes section in this article to see how these routes are created.

Nota

Connettività diretta al Firewall di Azure.Azure Firewall must have direct Internet connectivity. Se AzureFirewallSubnet apprende una route predefinita alla rete locale tramite BGP è necessario sostituirla con una route UDR 0.0.0.0/0 con il valore NextHopType impostato come Internet per mantenere connettività diretta a Internet.If your AzureFirewallSubnet learns a default route to your on-premises network via BGP, you must override this with a 0.0.0.0/0 UDR with the NextHopType value set as Internet to maintain direct Internet connectivity.

È possibile configurare Firewall di Azure per supportare il tunneling forzato.Azure Firewall can be configured to support forced tunneling. Per altre informazioni, vedere Tunneling forzato di Firewall di Azure.For more information, see Azure Firewall forced tunneling.

Nota

Il traffico tra reti virtuali direttamente con peering viene instradato direttamente anche se una route definita dall'utente punta al firewall di Azure come gateway predefinito.Traffic between directly peered VNets is routed directly even if a UDR points to Azure Firewall as the default gateway. Per inviare il traffico da subnet a subnet al firewall in questo scenario, una route definita dall'utente deve contenere il prefisso di rete subnet di destinazione in modo esplicito su entrambe le subnet.To send subnet to subnet traffic to the firewall in this scenario, a UDR must contain the target subnet network prefix explicitly on both subnets.

Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare.If you don't have an Azure subscription, create a free account before you begin.

Creare la rete virtuale dell'hub del firewallCreate the firewall hub virtual network

Creare prima di tutto il gruppo di risorse per contenere le risorse:First, create the resource group to contain the resources:

  1. Accedere al portale di Azure all'indirizzo https://portal.azure.com.Sign in to the Azure portal at https://portal.azure.com.
  2. Nella home page del portale di Azure selezionare Gruppi di risorse > Aggiungi.On the Azure portal home page, select Resource groups > Add.
  3. In Sottoscrizione selezionare la propria sottoscrizione.For Subscription, select your subscription.
  4. In Nome gruppo di risorse digitare FW-Hybrid-Test.For Resource group name, type FW-Hybrid-Test.
  5. In Area selezionare (Stati Uniti) Stati Uniti orientali.For Region, select (US) East US. Tutte le risorse create in seguito devono trovarsi nella stessa località.All resources that you create later must be in the same location.
  6. Selezionare Rivedi e crea.Select Review + Create.
  7. Selezionare Crea.Select Create.

A questo punto, creare la rete virtuale:Now, create the VNet:

Nota

La dimensione della subnet AzureFirewallSubnet è /26.The size of the AzureFirewallSubnet subnet is /26. Per altre informazioni sulle dimensioni delle subnet, vedere le domande frequenti su Firewall di Azure.For more information about the subnet size, see Azure Firewall FAQ.

  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.
  2. In Rete selezionare Rete virtuale.Under Networking, select Virtual network.
  3. Selezionare Create (Crea).Select Create.
  4. In Gruppo di risorse selezionare FW-Hybrid-Test.For Resource group, select FW-Hybrid-Test.
  5. In Nome digitare VNet-hub.For Name, type VNet-hub.
  6. Selezionare Avanti: Indirizzi IP.Select Next: IP Addresses.
  7. Per Spazio indirizzi IPv4, eliminare l'indirizzo predefinito e digitare 10.5.0.0/16.For IPv4 Address space, delete the default address and type 10.5.0.0/16.
  8. In Nome subnet selezionare Aggiungi subnet.Under Subnet name, select Add subnet.
  9. Per Nome subnet immettere AzureFirewallSubnet.For Subnet name type AzureFirewallSubnet. Il firewall si troverà in questa subnet e il nome della subnet deve essere AzureFirewallSubnet.The firewall will be in this subnet, and the subnet name must be AzureFirewallSubnet.
  10. Per Intervallo di indirizzi subnet, digitare 10.5.0.0/26.For Subnet address range, type 10.5.0.0/26.
  11. Selezionare Aggiungi.Select Add.
  12. Selezionare Rivedi e crea.Select Review + create.
  13. Selezionare Create (Crea).Select Create.

Creare la rete virtuale spokeCreate the spoke virtual network

  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.
  2. In Rete selezionare Rete virtuale.In Networking, select Virtual network.
  3. In Gruppo di risorse selezionare FW-Hybrid-Test.For Resource group, select FW-Hybrid-Test.
  4. In Nome digitare VNet-Spoke.For Name, type VNet-Spoke.
  5. In Area selezionare (Stati Uniti) Stati Uniti orientali.For Region, select (US) East US.
  6. Selezionare Avanti: Indirizzi IP.Select Next: IP Addresses.
  7. Per Spazio indirizzi IPv4, eliminare l'indirizzo predefinito e digitare 10.6.0.0/16.For IPv4 address space, delete the default address and type 10.6.0.0/16.
  8. In Nome subnet selezionare Aggiungi subnet.Under Subnet name, select Add subnet.
  9. Per Nome subnet, digitare SN-Workload.For Subnet name type SN-Workload.
  10. Per Intervallo di indirizzi subnet, digitare 10.6.0.0/24.For Subnet address range, type 10.6.0.0/24.
  11. Selezionare Aggiungi.Select Add.
  12. Selezionare Rivedi e crea.Select Review + create.
  13. Selezionare Create (Crea).Select Create.

Creare la rete virtuale localeCreate the on-premises virtual network

  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.
  2. In Rete selezionare Rete virtuale.In Networking, select Virtual network.
  3. In Gruppo di risorse selezionare FW-Hybrid-Test.For Resource group, select FW-Hybrid-Test.
  4. In Nome digitare VNet-OnPrem.For Name, type VNet-OnPrem.
  5. In Area selezionare (Stati Uniti) Stati Uniti orientali.For Region, select (US) East US.
  6. Selezionare Avanti: Indirizzi IPSelect Next : IP Addresses
  7. Per Spazio indirizzi IPv4, eliminare l'indirizzo predefinito e digitare 192.168.0.0/16.For IPv4 address space, delete the default address and type 192.168.0.0/16.
  8. In Nome subnet selezionare Aggiungi subnet.Under Subnet name, select Add subnet.
  9. Per Nome subnet, digitare SN-Corp.For Subnet name type SN-Corp.
  10. Per Intervallo di indirizzi subnet, digitare 192.168.1.0/24.For Subnet address range, type 192.168.1.0/24.
  11. Selezionare Aggiungi.Select Add.
  12. Selezionare Rivedi e crea.Select Review + create.
  13. Selezionare Create (Crea).Select Create.

A questo punto creare una seconda subnet per il gateway.Now create a second subnet for the gateway.

  1. Nella pagina VNet-Onprem selezionare Subnet.On the VNet-Onprem page, select Subnets.
  2. Selezionare +Subnet.Select +Subnet.
  3. In Nome digitare GatewaySubnet.For Name, type GatewaySubnet.
  4. Per Intervallo di indirizzi subnet digitare 192.168.2.0/24.For Subnet address range type 192.168.2.0/24.
  5. Selezionare OK.Select OK.

Configurare e distribuire il firewallConfigure and deploy the firewall

A questo punto distribuire il firewall nella rete virtuale dell'hub del firewall.Now deploy the firewall into the firewall hub virtual network.

  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.

  2. Nella colonna di sinistra selezionare Rete, quindi cercare e selezionare Firewall.In the left column, select Networking, and search for and then select Firewall.

  3. Nella pagina Crea un firewall usare la tabella seguente per configurare il firewall:On the Create a Firewall page, use the following table to configure the firewall:

    ImpostazioneSetting ValoreValue
    SubscriptionSubscription <your subscription>
    Resource groupResource group FW-Hybrid-TestFW-Hybrid-Test
    NomeName AzFW01AzFW01
    AreaRegion Stati Uniti orientaliEast US
    Gestione del firewallFirewall management Usare le regole del firewall (versione classica) per gestire questo firewallUse Firewall rules (classic) to manage this firewall
    Scegliere una rete virtualeChoose a virtual network Use existing (Usa esistente):Use existing:
    VNet-hubVNet-hub
    Indirizzo IP pubblicoPublic IP address Aggiungi nuovo:Add new:
    fw-pip.fw-pip.
  4. Selezionare Rivedi e crea.Select Review + create.

  5. Controllare il riepilogo e quindi selezionare Crea per creare il firewall.Review the summary, and then select Create to create the firewall.

    La distribuzione richiede alcuni minuti.This takes a few minutes to deploy.

  6. Al termine della distribuzione, passare al gruppo di risorse FW-Hybrid-Test e selezionare il firewall AzFW01.After deployment completes, go to the FW-Hybrid-Test resource group, and select the AzFW01 firewall.

  7. Annotare l'indirizzo IP privato.Note the private IP address. Sarà necessario più avanti per la creazione della route predefinita.You'll use it later when you create the default route.

Configurare le regole di reteConfigure network rules

Aggiungere innanzitutto una regola di rete per consentire il traffico Web.First, add a network rule to allow web traffic.

  1. Nella pagina AzFW01 selezionare Regole.On the AzFW01 page, Select Rules.
  2. Selezionare la scheda Raccolta regole di rete.Select the Network rule collection tab.
  3. Selezionare Aggiungi raccolta regole di rete.Select Add network rule collection.
  4. In Nome digitare RCNet01.For Name, type RCNet01.
  5. In Priorità digitare 100.For Priority, type 100.
  6. Per Azione raccolta regole selezionare Consenti.For Rule collection action, select Allow.
  7. In Regole digitare AllowWeb in Nome.Under Rules, for Name, type AllowWeb.
  8. In Tipo di origine selezionare Indirizzo IP.For Source type, select IP address.
  9. In Origine digitare 192.168.1.0/24.For Source, type 192.168.1.0/24.
  10. In Protocollo selezionare TCP.For Protocol, select TCP.
  11. In Porte di destinazione digitare 80.For Destination Ports, type 80.
  12. Per Tipo di destinazione selezionare Indirizzo IP.For Destination type, select IP address.
  13. In Destinazione digitare 10.6.0.0/16.For Destination, type 10.6.0.0/16.

A questo punto aggiungere una regola per consentire il traffico RDP.Now add a rule to allow RDP traffic.

Nella seconda riga della regola digitare le informazioni seguenti:On the second rule row, type the following information:

  1. In Nome digitare AllowRDP.Name, type AllowRDP.
  2. In Tipo di origine selezionare Indirizzo IP.For Source type, select IP address.
  3. In Origine digitare 192.168.1.0/24.For Source, type 192.168.1.0/24.
  4. In Protocollo selezionare TCP.For Protocol, select TCP.
  5. In Porte di destinazione digitare 3389.For Destination Ports, type 3389.
  6. Per Tipo di destinazione selezionare Indirizzo IP.For Destination type, select IP address.
  7. Per Destinazione digitare 10.6.0.0/16For Destination, type 10.6.0.0/16
  8. Selezionare Aggiungi.Select Add.

Creare e connettere i gateway VPNCreate and connect the VPN gateways

Le reti virtuali dell'hub e locale sono connesse tramite gateway VPN.The hub and on-premises virtual networks are connected via VPN gateways.

Creare un gateway VPN per la rete virtuale dell'hubCreate a VPN gateway for the hub virtual network

Creare ora un gateway VPN per la rete virtuale dell'hub.Now create the VPN gateway for the hub virtual network. Le configurazioni da rete a rete richiedono un tipo di VpnType RouteBased.Network-to-network configurations require a RouteBased VpnType. La creazione di un gateway VPN spesso richiede anche più di 45 minuti, a seconda della SKU del gateway VPN selezionata.Creating a VPN gateway can often take 45 minutes or more, depending on the selected VPN gateway SKU.

  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.
  2. Nella casella di testo di ricerca digitare gateway di rete virtuale.In the search text box, type virtual network gateway.
  3. Selezionare Gateway di rete virtuale e selezionare Crea.Select Virtual network gateway, and select Create.
  4. In Nome digitare GW-hub.For Name, type GW-hub.
  5. In Area selezionare la stessa area usata in precedenza.For Region, select the same region that you used previously.
  6. In Tipo di gateway selezionare VPN.For Gateway type, select VPN.
  7. In Tipo VPN selezionare Basato su route.For VPN type, select Route-based.
  8. In SKU selezionare Basic.For SKU, select Basic.
  9. In Rete virtuale selezionare VNet-hub.For Virtual network, select VNet-hub.
  10. In Indirizzo IP pubblico selezionare Crea nuovo e digitare VNet-hub-GW-pip per il nome.For Public IP address, select Create new, and type VNet-hub-GW-pip for the name.
  11. Accettare tutte le altre impostazioni predefinite e quindi selezionare Rivedi e crea.Accept the remaining defaults and then select Review + create.
  12. Esaminare la configurazione e quindi selezionare Crea.Review the configuration, then select Create.

Creare un gateway VPN per la rete virtuale localeCreate a VPN gateway for the on-premises virtual network

Creare ora un gateway VPN per la rete virtuale locale.Now create the VPN gateway for the on-premises virtual network. Le configurazioni da rete a rete richiedono un tipo di VpnType RouteBased.Network-to-network configurations require a RouteBased VpnType. La creazione di un gateway VPN spesso richiede anche più di 45 minuti, a seconda della SKU del gateway VPN selezionata.Creating a VPN gateway can often take 45 minutes or more, depending on the selected VPN gateway SKU.

  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.
  2. Nella casella di testo di ricerca digitare gateway di rete virtuale e premere INVIO.In the search text box, type virtual network gateway and press Enter.
  3. Selezionare Gateway di rete virtuale e selezionare Crea.Select Virtual network gateway, and select Create.
  4. In Nome digitare GW-Onprem.For Name, type GW-Onprem.
  5. In Area selezionare la stessa area usata in precedenza.For Region, select the same region that you used previously.
  6. In Tipo di gateway selezionare VPN.For Gateway type, select VPN.
  7. In Tipo VPN selezionare Basato su route.For VPN type, select Route-based.
  8. In SKU selezionare Basic.For SKU, select Basic.
  9. In Rete virtuale, selezionare VNet-Onprem.For Virtual network, select VNet-Onprem.
  10. In Indirizzo IP pubblico selezionare Crea nuovo e digitare VNet-Onprem-GW-pip per il nome.For Public IP address, select Create new, and type VNet-Onprem-GW-pip for the name.
  11. Accettare tutte le altre impostazioni predefinite e quindi selezionare Rivedi e crea.Accept the remaining defaults and then select Review + create.
  12. Esaminare la configurazione e quindi selezionare Crea.Review the configuration, then select Create.

Creare le connessioni VPNCreate the VPN connections

A questo punto è possibile creare le connessioni VPN tra gateway locali e hub.Now you can create the VPN connections between the hub and on-premises gateways.

In questo passaggio si crea la connessione dalla rete virtuale dell'hub alla rete virtuale locale.In this step, you create the connection from the hub virtual network to the on-premises virtual network. Verrà visualizzata una chiave condivisa a cui si fa riferimento negli esempi.You'll see a shared key referenced in the examples. È possibile utilizzare i propri valori specifici per la chiave condivisa.You can use your own values for the shared key. L'importante è che la chiave condivisa corrisponda per entrambe le configurazioni.The important thing is that the shared key must match for both connections. Il completamento della creazione di una connessione può richiedere un po' di tempo.Creating a connection can take a short while to complete.

  1. Aprire il gruppo di risorse FW-Hybrid-Test e selezionare il gateway GW-hub.Open the FW-Hybrid-Test resource group and select the GW-hub gateway.
  2. Selezionare Connessioni nella colonna di sinistra.Select Connections in the left column.
  3. Selezionare Aggiungi.Select Add.
  4. Per il nome della connessione digitare Hub-to-Onprem.The the connection name, type Hub-to-Onprem.
  5. Selezionare Da rete virtuale a rete virtuale in Tipo di connessione.Select VNet-to-VNet for Connection type.
  6. In Secondo gateway di rete virtuale selezionare GW-Onprem.For the Second virtual network gateway, select GW-Onprem.
  7. In Chiave condivisa (PSK) digitare AzureA1b2C3.For Shared key (PSK), type AzureA1b2C3.
  8. Selezionare OK.Select OK.

Creare la connessione dalla rete virtuale locale alla rete virtuale dell'hub.Create the on-premises to hub virtual network connection. Questo passaggio è simile a quello precedente, con la differenza che viene creata la connessione da VNet-Onprem a VNet-hub.This step is similar to the previous one, except you create the connection from VNet-Onprem to VNet-hub. Assicurarsi che le chiavi condivise corrispondano.Make sure the shared keys match. Dopo alcuni minuti la connessione verrà stabilita.The connection will be established after a few minutes.

  1. Aprire il gruppo di risorse FW-Hybrid-Test e selezionare il gateway GW-Onprem.Open the FW-Hybrid-Test resource group and select the GW-Onprem gateway.
  2. Selezionare Connessioni nella colonna di sinistra.Select Connections in the left column.
  3. Selezionare Aggiungi.Select Add.
  4. Per il nome della connessione digitare Onprem-to-Hub.For the connection name, type Onprem-to-Hub.
  5. Selezionare Da rete virtuale a rete virtuale in Tipo di connessione.Select VNet-to-VNet for Connection type.
  6. In Secondo gateway di rete virtuale selezionare GW-hub.For the Second virtual network gateway, select GW-hub.
  7. In Chiave condivisa (PSK) digitare AzureA1b2C3.For Shared key (PSK), type AzureA1b2C3.
  8. Selezionare OK.Select OK.

Verificare la connessioneVerify the connection

Dopo circa cinque minuti lo stato di entrambe le connessioni dovrebbe essere Connesso.After about five minutes or so, the status of both connections should be Connected.

Connessioni del gateway

Eseguire il peering tra le reti virtuali dell'hub e spokePeer the hub and spoke virtual networks

Eseguire ora il peering tra le reti virtuali dell'hub e spoke.Now peer the hub and spoke virtual networks.

  1. Aprire il gruppo di risorse FW-Hybrid-Test e selezionare la rete virtuale VNet-hub.Open the FW-Hybrid-Test resource group and select the VNet-hub virtual network.

  2. Nella colonna di sinistra selezionare Peering.In the left column, select Peerings.

  3. Selezionare Aggiungi.Select Add.

  4. In Questa rete virtuale:Under This virtual network:

    Nome impostazioneSetting name valoreValue
    Nome del collegamento di peeringPeering link name HubtoSpokeHubtoSpoke
    Traffico verso la rete virtuale remotaTraffic to remote virtual network Consenti (impostazione predefinita)Allow (default)
    Traffico inoltrato dalla rete virtuale remotaTraffic forwarded from remote virtual network Consenti (impostazione predefinita)Allow (default)
    Gateway di rete virtualeVirtual network gateway Usa il gateway di questa rete virtualeUse this virtual network's gateway
  5. In Rete virtuale remota:Under Remote virtual network:

    Nome impostazioneSetting name valoreValue
    Nome del collegamento di peeringPeering link name SpoketoHubSpoketoHub
    Modello di distribuzione della rete virtualeVirtual network deployment model Resource ManagerResource manager
    SubscriptionSubscription <your subscription>
    Rete virtualeVirtual network VNet-SpokeVNet-Spoke
    Traffico verso la rete virtuale remotaTraffic to remote virtual network Consenti (impostazione predefinita)Allow (default)
    Traffico inoltrato dalla rete virtuale remotaTraffic forwarded from remote virtual network Consenti (impostazione predefinita)Allow (default)
    Gateway di rete virtualeVirtual network gateway Usa il gateway della rete virtuale remotaUse the remote virtual network's gateway
  6. Selezionare Aggiungi.Select Add.

    Peering di rete virtuale

Creare le routeCreate the routes

Creare quindi due route:Next, create a couple routes:

  • Una route dalla subnet del gateway dell'hub alla subnet spoke attraverso l'indirizzo IP del firewallA route from the hub gateway subnet to the spoke subnet through the firewall IP address
  • Una route predefinita dalla subnet spoke attraverso l'indirizzo IP del firewallA default route from the spoke subnet through the firewall IP address
  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.
  2. Nella casella di testo di ricerca digitare tabella di route e premere INVIO.In the search text box, type route table and press Enter.
  3. Selezionare Tabella di route.Select Route table.
  4. Selezionare Crea.Select Create.
  5. Selezionare FW-Hybrid-Test come gruppo di risorse.Select the FW-Hybrid-Test for the resource group.
  6. In Area selezionare la stessa località usata in precedenza.For Region, select the same location that you used previously.
  7. Per il nome digitare UDR-Hub-Spoke.For the name, type UDR-Hub-Spoke.
  8. Selezionare Rivedi e crea.Select Review + Create.
  9. Selezionare Crea.Select Create.
  10. Al termine della creazione della tabella di route, selezionarla per aprire la pagina corrispondente.After the route table is created, select it to open the route table page.
  11. Selezionare Route nella colonna di sinistra.Select Routes in the left column.
  12. Selezionare Aggiungi.Select Add.
  13. Come nome della route digitare ToSpoke.For the route name, type ToSpoke.
  14. Per il prefisso dell'indirizzo digitare 10.6.0.0/16.For the address prefix, type 10.6.0.0/16.
  15. Come tipo hop successivo selezionare Appliance virtuale.For next hop type, select Virtual appliance.
  16. Come indirizzo hop successivo digitare l'indirizzo IP privato del firewall annotato in precedenza.For next hop address, type the firewall's private IP address that you noted earlier.
  17. Selezionare OK.Select OK.

A questo punto associare la route alla subnet.Now associate the route to the subnet.

  1. Nella pagina UDR-Hub-Spoke - Route selezionare Subnet.On the UDR-Hub-Spoke - Routes page, select Subnets.
  2. Selezionare Associa.Select Associate.
  3. In Rete virtuale selezionare VNet-hub.Under Virtual network, select VNet-hub.
  4. In Subnet selezionare GatewaySubnet.Under Subnet, select GatewaySubnet.
  5. Selezionare OK.Select OK.

A questo punto creare la route predefinita dalla subnet spoke.Now create the default route from the spoke subnet.

  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.
  2. Nella casella di testo di ricerca digitare tabella di route e premere INVIO.In the search text box, type route table and press Enter.
  3. Selezionare Tabella di route.Select Route table.
  4. Selezionare Crea.Select Create.
  5. Selezionare FW-Hybrid-Test come gruppo di risorse.Select the FW-Hybrid-Test for the resource group.
  6. In Area selezionare la stessa località usata in precedenza.For Region, select the same location that you used previously.
  7. Per il nome digitare UDR-DG.For the name, type UDR-DG.
  8. Per Propaga route del gateway selezionare No.For Propagate gateway route, select No.
  9. Selezionare Rivedi e crea.Select Review + Create.
  10. Selezionare Crea.Select Create.
  11. Al termine della creazione della tabella di route, selezionarla per aprire la pagina corrispondente.After the route table is created, select it to open the route table page.
  12. Selezionare Route nella colonna di sinistra.Select Routes in the left column.
  13. Selezionare Aggiungi.Select Add.
  14. Come nome della route digitare ToHub.For the route name, type ToHub.
  15. Per il prefisso dell'indirizzo digitare 0.0.0.0/0.For the address prefix, type 0.0.0.0/0.
  16. Come tipo hop successivo selezionare Appliance virtuale.For next hop type, select Virtual appliance.
  17. Come indirizzo hop successivo digitare l'indirizzo IP privato del firewall annotato in precedenza.For next hop address, type the firewall's private IP address that you noted earlier.
  18. Selezionare OK.Select OK.

A questo punto associare la route alla subnet.Now associate the route to the subnet.

  1. Nella pagina UDR-DG - Route selezionare Subnet.On the UDR-DG - Routes page, select Subnets.
  2. Selezionare Associa.Select Associate.
  3. In Rete virtuale selezionare VNet-spoke.Under Virtual network, select VNet-spoke.
  4. In Subnet selezionare SN-Workload.Under Subnet, select SN-Workload.
  5. Selezionare OK.Select OK.

Creare macchine virtualiCreate virtual machines

Creare ora le macchine virtuali locali e per il carico di lavoro spoke e posizionarle nelle subnet appropriate.Now create the spoke workload and on-premises virtual machines, and place them in the appropriate subnets.

Creare la macchina virtuale per il carico di lavoroCreate the workload virtual machine

Creare una macchina virtuale nella rete virtuale spoke, con IIS in esecuzione e senza indirizzo IP pubblico.Create a virtual machine in the spoke virtual network, running IIS, with no public IP address.

  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.
  2. In Più comuni selezionare Windows Server 2016 Datacenter.Under Popular, select Windows Server 2016 Datacenter.
  3. Immettere i valori seguenti per la macchina virtuale:Enter these values for the virtual machine:
    • Gruppo di risorse: selezionare FW-Hybrid-Test.Resource group - Select FW-Hybrid-Test.
    • Nome macchina virtuale: VM-Spoke-01.Virtual machine name: VM-Spoke-01.
    • Area: la stessa area usata in precedenza.Region - Same region that you're used previously.
    • Nome utente: <type a user name>.User name: <type a user name>.
    • Password: <type a password>Password: <type a password>
  4. In Porte in ingresso pubbliche selezionare Consenti porte selezionate e quindi selezionare HTTP (80) e RDP (3389)For Public inbound ports, select Allow selected ports, and then select HTTP (80), and RDP (3389)
  5. Selezionare Next:Disks.Select Next:Disks.
  6. Accettare le impostazioni predefinite e selezionare Next: Rete.Accept the defaults and select Next: Networking.
  7. Selezionare VNet-Spoke per la rete virtuale. La subnet è SN-Workload.Select VNet-Spoke for the virtual network and the subnet is SN-Workload.
  8. In IP pubblico selezionare Nessuno.For Public IP, select None.
  9. Selezionare Next:Management.Select Next:Management.
  10. In Diagnostica di avvio selezionare Disabilita.For Boot diagnostics, Select Disable.
  11. Selezionare Rivedi e crea, esaminare le impostazioni nella pagina di riepilogo e quindi selezionare Crea.Select Review+Create, review the settings on the summary page, and then select Create.

Installare IISInstall IIS

  1. Nel portale di Azure aprire Cloud Shell e assicurarsi che sia impostato su PowerShell.From the Azure portal, open the Cloud Shell and make sure that it's set to PowerShell.

  2. Eseguire questo comando per installare IIS nella macchina virtuale e, se necessario, modificare il percorso:Run the following command to install IIS on the virtual machine and change the location if necessary:

    Set-AzVMExtension `
            -ResourceGroupName FW-Hybrid-Test `
            -ExtensionName IIS `
            -VMName VM-Spoke-01 `
            -Publisher Microsoft.Compute `
            -ExtensionType CustomScriptExtension `
            -TypeHandlerVersion 1.4 `
            -SettingString '{"commandToExecute":"powershell Add-WindowsFeature Web-Server; powershell      Add-Content -Path \"C:\\inetpub\\wwwroot\\Default.htm\" -Value $($env:computername)"}' `
            -Location EastUS
    

Creare la macchina virtuale localeCreate the on-premises virtual machine

Si tratta di una macchina virtuale usata per connettersi all'indirizzo IP pubblico usando Desktop remoto.This is a virtual machine that you use to connect using Remote Desktop to the public IP address. Da qui, ci si connette al server locale attraverso il firewall.From there, you then connect to the on-premises server through the firewall.

  1. Dalla home page del portale di Azure selezionare Crea una risorsa.From the Azure portal home page, select Create a resource.
  2. In Più comuni selezionare Windows Server 2016 Datacenter.Under Popular, select Windows Server 2016 Datacenter.
  3. Immettere i valori seguenti per la macchina virtuale:Enter these values for the virtual machine:
    • Gruppo di risorse: selezionare Usa esistente e quindi FW-Hybrid-Test.Resource group - Select existing, and then select FW-Hybrid-Test.
    • Nome della macchina virtuale: - VM-Onprem.Virtual machine name - VM-Onprem.
    • Area: la stessa area usata in precedenza.Region - Same region that you're used previously.
    • Nome utente: <type a user name>.User name: <type a user name>.
    • Password: <type a user password>.Password: <type a user password>.
  4. In Porte in ingresso pubbliche selezionare Consenti porte selezionate e quindi selezionare RDP (3389) .For Public inbound ports, select Allow selected ports, and then select RDP (3389)
  5. Selezionare Next:Disks.Select Next:Disks.
  6. Accettare le impostazioni predefinite e selezionare Next:Networking.Accept the defaults and select Next:Networking.
  7. Selezionare VNet-Onprem per la rete virtuale. La subnet è SN-Corp.Select VNet-Onprem for virtual network and the subnet is SN-Corp.
  8. Selezionare Next:Management.Select Next:Management.
  9. In Diagnostica di avvio selezionare Disabilita.For Boot diagnostics, Select Disable.
  10. Selezionare Rivedi e crea, esaminare le impostazioni nella pagina di riepilogo e quindi selezionare Crea.Select Review+Create, review the settings on the summary page, and then select Create.

Nota

Azure offre un indirizzo IP ffimero per le macchine virtuali di Azure a cui non è assegnato un indirizzo IP pubblico o che sono nel pool back-end di un indirizzo Azure Load Balancer.Azure provides an ephemeral IP for Azure Virtual Machines which aren't assigned a public IP address, or are in the backend pool of an internal Basic Azure Load Balancer. Il meccanismo IP ffemero fornisce un indirizzo IP in uscita non configurabile.The ephemeral IP mechanism provides an outbound IP address that isn't configurable.

L'indirizzo IP ffemero è disabilitato quando un indirizzo IP pubblico viene assegnato alla macchina virtuale o la macchina virtuale viene inserita nel pool back-end di un Load Balancer Standard con o senza regole in uscita.The ephemeral IP is disabled when a public IP address is assigned to the virtual machine or the virtual machine is placed in the backend pool of a Standard Load Balancer with or without outbound rules. Se una NAT di rete virtuale di Azure gateway virtuale viene assegnata alla subnet della macchina virtuale, l'indirizzo IP ffemero è disabilitato.If a Azure Virtual Network NAT gateway resource is assigned to the subnet of the virtual machine, the ephemeral IP is disabled.

Per altre informazioni sulle connessioni in uscita in Azure, vedere Uso di SNAT (Source Network Address Translation) per le connessioni in uscita.For more information on outbound connections in Azure, see Using Source Network Address Translation (SNAT) for outbound connections.

Testare il firewallTest the firewall

  1. Innanzitutto, prendere nota dell'indirizzo IP privato per la macchina virtuale VM-spoke-01.First, note the private IP address for VM-spoke-01 virtual machine.

  2. Dal portale di Azure connettersi alla macchina virtuale VM-Onprem.From the Azure portal, connect to the VM-Onprem virtual machine.

  1. Aprire un Web browser in VM-Onprem e andare a http://<VM-spoke-01 private IP>.Open a web browser on VM-Onprem, and browse to http://<VM-spoke-01 private IP>.

    Viene visualizzata la pagina VM-spoke-01: Pagina Web VM-Spoke-01You should see the VM-spoke-01 web page: VM-Spoke-01 web page

  2. Nella macchina virtuale VM-Onprem aprire un desktop remoto per VM-spoke-01 all'indirizzo IP privato.From the VM-Onprem virtual machine, open a remote desktop to VM-spoke-01 at the private IP address.

    La connessione dovrebbe avere esito positivo e dovrebbe essere possibile eseguire l'accesso.Your connection should succeed, and you should be able to sign in.

A questo punto si è verificato che le regole del firewall funzionano:So now you've verified that the firewall rules are working:

  • È possibile esplorare il Web server nella rete virtuale spoke.You can browse web server on the spoke virtual network.
  • È possibile connettersi al server nella rete virtuale spoke con RDP.You can connect to the server on the spoke virtual network using RDP.

Modificare quindi l'azione della raccolta di regole di rete del firewall impostandola su Nega per verificare che le regole del firewall funzionino come previsto.Next, change the firewall network rule collection action to Deny to verify that the firewall rules work as expected.

  1. Selezionare il firewall AzFW01.Select the AzFW01 firewall.
  2. Selezionare Regole.Select Rules.
  3. Selezionare la scheda Raccolta regole di rete e quindi la raccolta di regole RCNet01.Select the Network rule collection tab and select the RCNet01 rule collection.
  4. In Azione selezionare Nega.For Action, select Deny.
  5. Selezionare Salva.Select Save.

Chiudere eventuali desktop remoti esistenti prima di testare le regole modificate.Close any existing remote desktops before testing the changed rules. A questo punto rieseguire i test,Now run the tests again. che dovrebbero avere tutti esito negativo.They should all fail this time.

Pulire le risorseClean up resources

È possibile mantenere le risorse del firewall per ulteriori test o, se non è più necessario, eliminare il gruppo di risorse FW-Hybrid-Test per eliminare tutte le risorse correlate al firewall.You can keep your firewall resources for further testing, or if no longer needed, delete the FW-Hybrid-Test resource group to delete all firewall-related resources.

Passaggi successiviNext steps

È possibile ora monitorare i log di Firewall di Azure.Next, you can monitor the Azure Firewall logs.

Esercitazione: monitorare i log del Firewall di AzureTutorial: Monitor Azure Firewall logs