Azure Firewall と Azure Standard Load Balancer を統合する

[アーティクル]
06/01/2023

Azure Firewall と Azure Standard Load Balancer (パブリックまたは内部) を仮想ネットワークに統合できます。

内部ロードバランサーと Azure Firewall の統合は、設計が大幅に簡素化されるという点で推奨されます。パブリックロードバランサーが既にデプロイされていて、今後もその環境を維持したい場合は、そのパブリックロードバランサーを使用できます。ただし、パブリックロードバランサーのシナリオでは、機能が無効になる可能性がある非対称ルーティングの問題を認識しておく必要があります。

Azure Load Balancer の詳細については、Azure Load Balancer とは何かに関する記事を参照してください。

パブリックロードバランサー

パブリックロードバランサーを使用する場合、ロードバランサーはパブリックフロントエンド IP アドレスを使用してデプロイされます。

非対称ルーティング

非対称ルーティングとは、パケットが送信先に到達するために通過するパスと、送信元に戻るために通過するパスが異なるルーティングです。この問題は、サブネットの既定のルートにファイアウォールのプライベート IP アドレスが含まれているときに、パブリックロードバランサーを使用した場合に発生します。この場合、ロードバランサーの受信トラフィックはパブリック IP アドレス経由で受信されますが、復路のパスはファイアウォールのプライベート IP アドレスを通過します。ファイアウォールはステートフルであり、そのような確立済みのセッションを認識しないため、返されるパケットは破棄されます。

ルーティングの問題を修正する

Azure Firewall をサブネットにデプロイするときの 1 つの手順は、AzureFirewallSubnet 上のファイアウォールのプライベート IP アドレスを通過するようにパケットを方向づけるサブネット用の既定のルートを作成することです。詳細については、「チュートリアル:Deploy and configure Azure Firewall using the Azure portal (チュートリアル: Azure portal を使用して Azure Firewall のデプロイと構成を行う)」を参照してください。

ロードバランサーのシナリオにファイアウォールを導入するときに、インターネットトラフィックがファイアウォールのパブリック IP アドレス経由で到着するように設定できます。そこから、ファイアウォールによってファイアウォール規則が適用され、パケットがロードバランサーのパブリック IP アドレスに NAT されます。ここで問題が発生します。パケットはファイアウォールのパブリック IP アドレスに到着しますが、プライベート IP アドレス経由でファイアウォールに戻ります (既定のルートが使用されます)。この問題を回避するには、ファイアウォールのパブリック IP アドレス用の追加のホストルートを作成します。ファイアウォールのパブリック IP アドレスに到着するパケットは、インターネット経由でルーティングされます。これにより、ファイアウォールのプライベート IP アドレスへの既定のルートの使用が回避されます。

ルートテーブルの例

たとえば、パブリック IP アドレスが 20.185.97.136 で、プライベート IP アドレスが 10.0.1.4 のファイアウォールのルートは次のようになります。

NAT 規則の例

次の例の NAT 規則は、RDP トラフィックを 20.42.98.220 のロードバランサー経由で 20.185.97.136 のファイアウォールに変換します。

正常性プローブ

TCP 正常性プローブをポート 80 に使用する場合、または HTTP/HTTPS プローブを使用する場合は、ロードバランサープール内のホストでWeb サービスが実行されている必要があることに注意してください。

内部ロードバランサー

内部ロードバランサーを使用する場合、ロードバランサーはプライベートフロントエンド IP アドレスでデプロイされます。

このシナリオでは、非対称ルーティングの問題はありません。受信パケットはファイアウォールのパブリック IP アドレスに到着し、ロードバランサーのプライベート IP アドレスに変換された後、同じ復路のパスを使用してファイアウォールのプライベート IP アドレスに戻ります。

そのため、このシナリオはパブリックロードバランサーのシナリオと同じようにデプロイできますが、ファイアウォールのパブリック IP アドレスのホストルートは必要ありません。

バックエンドプール内の仮想マシンは、Azure Firewall 経由で送信インターネット接続が可能です。ファイアウォールをネクストホップとして使用して、仮想マシンのサブネット上にユーザー定義ルートを構成します。

追加のセキュリティ

負荷分散シナリオのセキュリティを強化するために、ネットワークセキュリティグループ (NSG) を使用できます。

たとえば、負荷分散される仮想マシンが配置されているバックエンドのサブネット上に NSG を作成できます。ファイアウォールの IP アドレスまたはポートからの受信トラフィックが許可されます。

NSG について詳しくは、「セキュリティグループ」をご覧ください。

次のステップ

Azure Firewall のデプロイおよび構成方法について説明します。