Azure Güvenlik Duvarı hakkında SSS

Azure Güvenlik Duvarı, Azure Sanal Ağ kaynaklarınızı koruyan yönetilen, bulut tabanlı bir güvenlik hizmetidir. Yerleşik yüksek kullanılabilirliğe sahip ve Kısıtlanmamış bulut ölçeklenebilirliğine sahip, hizmet olarak tam durum bilgisi olan bir güvenlik duvarıdır. Aboneliklerle sanal ağlarda uygulama ve ağ bağlantısı ilkelerini merkezi olarak oluşturabilir, zorlayabilir ve günlüğe alabilirsiniz.

Azure Güvenlik duvarı özellikleri hakkında bilgi edinmek için bkz. Azure Güvenlik Duvarı Özellikleri.

Azure Güvenlik Duvarı'nı herhangi bir sanal ağa dağıtmak mümkündür ancak müşteriler genellikle bunu merkezde bulunan bir sanal ağa dağıtıp hub ve bağlı bileşen modeli kullanarak diğer sanal ağlarla eşler. Daha sonra, eşlenen sanal ağlardan varsayılan yolu bu merkezi güvenlik duvarı sanal ağını işaret etmek üzere ayarlayabilirsiniz. Küresel VNet eşlemesi desteklenir, ancak bölgeler arasında olası performans ve gecikme sorunları nedeniyle önerilmez. En iyi performans için her bölgede ayrı bir güvenlik duvarı dağıtın.

Bu modelin avantajı, farklı aboneliklerdeki birden fazla bağlı bileşen sanal ağını tek bir merkezden yönetmektir. Ayrıca, her VNet 'te ayrı bir güvenlik duvarı dağıtmanız gerekmiyorsa de maliyet tasarrufları vardır. Maliyet tasarrufları, müşterinin trafik desenlerine bağlı olarak eş düğüm maliyetleriyle karşılaştırmalı olarak hesaplanmalıdır.

Azure portal, PowerShell, REST API veya şablonları kullanarak Azure Güvenlik Duvarı 'nı ayarlayabilirsiniz. Adım adım yönergeler için bkz. öğretici: Azure Güvenlik Duvarı 'Nı dağıtma ve yapılandırma Azure Portal .

Azure Güvenlik Duvarı, kuralları ve kural koleksiyonlarını destekler. Kural koleksiyonu, aynı sırayı ve önceliği paylaşan bir kurallar kümesidir. Kural koleksiyonları öncelikleri sırasıyla yürütülür. Ağ kuralı koleksiyonları, uygulama kuralı koleksiyonlarından daha yüksek önceliktir ve tüm kurallar sonlandırılıyor.

Üç tür kural koleksiyonu vardır:

• Uygulama kuralları: bir alt ağdan erişilebilen tam etki alanı adlarını (FQDN) yapılandırın.
• Ağ kuralları: kaynak adreslerini, protokolleri, hedef bağlantı noktalarını ve hedef adreslerini içeren kuralları yapılandırın.
• NAT kuralları: gelen Internet bağlantılarına izin vermek için DNAT kurallarını yapılandırın.

Azure Güvenlik Duvarı gelen ve giden filtrelemeyi destekler. Gelen koruma genellikle HTTP olmayan/S protokolleri için kullanılır. Örneğin, RDP, SSH ve FTP protokolleri. En iyi gelen HTTP/S koruması için Azure Web uygulaması güvenlik duvarı (WAF)gibi bir Web uygulaması güvenlik duvarı kullanın.

Azure Güvenlik Duvarı, güvenlik duvarı günlüklerini görüntülemek ve analiz etmek için Azure Izleyici ile tümleşiktir. günlükler Log Analytics, Azure Depolama veya Event Hubs gönderilebilir. Log Analytics veya Excel ve Power BI gibi farklı araçlarla analiz edilebilir. Daha fazla bilgi için bkz. öğretici: Azure Güvenlik Duvarı günlüklerini izleme.

Azure Güvenlik Duvarı, sanal ağ kaynaklarınızı koruyan, yönetilen, bulut tabanlı bir ağ güvenlik hizmetidir. Yerleşik yüksek kullanılabilirliğe ve sınırsız bulut ölçeklenebilirliğine sahip, tam durum bilgisi olan bir hizmet olarak güvenlik duvarıdır. Sanal ağınız ve şube Internet bağlantılarınız için gelişmiş güvenlik sağlamak üzere üçüncü taraf bir hizmet olarak güvenlik (SECaaS) sağlayıcılarıyla önceden tümleştirilir.

Web uygulaması güvenlik duvarı (WAF), yaygın güvenlik açıklarından ve güvenlik açıklarından Web uygulamalarınızın merkezi bir gelen korumasını sağlayan bir Application Gateway özelliğidir. Azure Güvenlik Duvarı, HTTP/sn olmayan protokoller için gelen koruma sağlar (örneğin, RDP, SSH, FTP), tüm bağlantı noktaları ve protokoller için giden ağ düzeyinde koruma ve giden HTTP/S için uygulama düzeyinde koruma.

Azure Güvenlik Duvarı hizmeti, ağ güvenlik grubu işlevini tamamlar. Birlikte, daha iyi "derinlemesine savunma" ağ güvenliği sağlar. Ağ güvenlik grupları, trafiği her bir abonelikteki sanal ağlarla sınırlamak için dağıtılmış ağ katmanı trafik filtrelemesi sağlar. Azure Güvenlik Duvarı, farklı abonelikler ve sanal ağlar arasında ağ ve uygulama düzeyinde koruma sağlayan, hizmet olarak tam durum bilgisi olan merkezi ağ güvenlik duvarıdır.

Azure Güvenlik Duvarı, NIC düzeyindeki NSG 'ler ile platform koruması (görüntülenemez) dahil olmak üzere birden çok koruma katmanı içeren bir yönetilen hizmettir. Alt ağ düzeyi NSG 'ler AzureFirewallSubnet üzerinde gerekli değildir ve hizmet kesintisi olmadığından emin olmak için devre dışıdır.

PaaS hizmetlerine güvenli erişim için hizmet uç noktaları önerilir. Azure Güvenlik Duvarı alt ağında hizmet uç noktalarını etkinleştirmeyi ve bağlı bağlı bileşen sanal ağlarında devre dışı bırakmayı tercih edebilirsiniz. Bu şekilde, her iki özellikten de yararlanabilirsiniz: hizmet uç noktası güvenliği ve tüm trafik için merkezi günlük.

Bkz. Azure Güvenlik Duvarı fiyatlandırması.

Azure PowerShell serbest bırakma ve ayırma yöntemleri kullanabilirsiniz. Zorlamalı tünel için yapılandırılmış bir güvenlik duvarı için, yordam biraz farklıdır.

Örneğin, Zorlamalı tünel için yapılandırılmayan bir güvenlik duvarı için:

# Stop an existing firewall

$azfw = Get-AzFirewall -Name "FW Name" -ResourceGroupName "RG Name"
$azfw.Deallocate()
Set-AzFirewall -AzureFirewall $azfw

# Start the firewall

$azfw = Get-AzFirewall -Name "FW Name" -ResourceGroupName "RG Name"
$vnet = Get-AzVirtualNetwork -ResourceGroupName "RG Name" -Name "VNet Name"
$publicip1 = Get-AzPublicIpAddress -Name "Public IP1 Name" -ResourceGroupName "RG Name"
$publicip2 = Get-AzPublicIpAddress -Name "Public IP2 Name" -ResourceGroupName "RG Name"
$azfw.Allocate($vnet,@($publicip1,$publicip2))

Set-AzFirewall -AzureFirewall $azfw

Zorlamalı tünel için yapılandırılmış bir güvenlik duvarı için, durdurma aynıdır. Ancak başlatma, Yönetim genel IP 'nin güvenlik duvarıyla yeniden ilişkilendirilmesini gerektirir:

# Stop an existing firewall

$azfw = Get-AzFirewall -Name "FW Name" -ResourceGroupName "RG Name"
$azfw.Deallocate()
Set-AzFirewall -AzureFirewall $azfw

# Start the firewall

$azfw = Get-AzFirewall -Name "FW Name" -ResourceGroupName "RG Name"
$vnet = Get-AzVirtualNetwork -ResourceGroupName "RG Name" -Name "VNet Name"
$pip= Get-AzPublicIpAddress -ResourceGroupName "RG Name" -Name "azfwpublicip"
$mgmtPip2 = Get-AzPublicIpAddress -ResourceGroupName "RG Name" -Name "mgmtpip"
$azfw.Allocate($vnet, $pip, $mgmtPip2)
$azfw | Set-AzFirewall

Tahsis ve serbest bırakma yaptığınızda güvenlik duvarı faturalandırması duraklar ve buna uygun şekilde başlar.

Azure Güvenlik Duvarı hizmeti sınırları için bkz. Azure aboneliği ve hizmet limitleri, Kotalar ve kısıtlamalar.

Evet, iki bağlı bileşen sanal ağı arasındaki trafiği yönlendirmek ve filtrelemek için bir hub sanal ağında Azure Güvenlik Duvarı 'nı kullanabilirsiniz. Bu senaryonun düzgün çalışması için, bağlı olan sanal ağların her birinde alt ağın Azure Güvenlik duvarını varsayılan bir ağ geçidi olarak işaret eden bir UDR olması gerekir.

Evet. Ancak, aynı VNET 'teki alt ağlar arasında trafiği yeniden yönlendirmek üzere UDRs 'yi yapılandırmak için ek dikkat gerekir. VNET adres aralığının UDR için hedef ön ek olarak kullanılması yeterli olduğundan, bu, tüm trafiği Azure Güvenlik Duvarı örneği aracılığıyla aynı alt ağdaki başka bir makineye de yönlendirir. Bunu önlemek için, sanal VNET'in bir sonraki atlama türü ile UDR 'de alt ağ için bir yol ekleyin. Bu yolların yönetilmesi, bir miktar ve hataya açık olabilir. İç ağ kesimlenmesi için önerilen yöntem, UDRs gerektirmeyen ağ güvenlik gruplarını kullanmaktır.

Hedef IP adresi, ıANA RFC 1918başına özel bir IP aralığı olduğunda Azure GÜVENLIK duvarı SNAT değildir. Kuruluşunuz özel ağlar için genel bir IP adresi aralığı kullanıyorsa, Azure Güvenlik Duvarı AzureFirewallSubnet 'deki güvenlik duvarı özel IP adreslerinden birine giden trafiği yeniden çıkarır. Azure Güvenlik duvarını, genel IP adresi aralığınızı SNAT olarak yapılandırmak için yapılandırabilirsiniz. Daha fazla bilgi için bkz. Azure Güvenlik Duvarı SNAT özel IP adres aralıkları.

Ayrıca, uygulama kuralları tarafından işlenen trafik her zaman SNAT ile yapılır. FQDN trafiği için günlüklerinizin özgün kaynak IP adresini görmek isterseniz, hedef FQDN ile ağ kurallarını kullanabilirsiniz.

Yeni bir güvenlik duvarı oluşturduğunuzda Zorlamalı tünel oluşturma desteklenir. Zorlamalı tünel için mevcut bir güvenlik duvarını yapılandıramazsınız. Daha fazla bilgi için bkz. Azure Güvenlik Duvarı Zorlamalı tünel.

Azure Güvenlik Duvarı internete bağlı olmalıdır. AzureFirewallSubnet, BGP aracılığıyla şirket içi ağınıza varsayılan bir yol öğrenirse, doğrudan Internet bağlantısını sürdürmek için Nexthoptype değeri Internet olarak ayarlanmış bir 0.0.0.0/0 UDR ile geçersiz kılmanız gerekir.

Yapılandırmanız şirket içi ağa Zorlamalı tünel gerektiriyorsa ve Internet hedeflerine yönelik hedef IP öneklerini belirleyebiliyorsanız, AzureFirewallSubnet üzerinde Kullanıcı tanımlı bir yol aracılığıyla bu aralıkları, şirket içi ağ ile bir sonraki atlama olarak yapılandırabilirsiniz. Ya da bu yolları tanımlamak için BGP kullanabilirsiniz.

Evet. Güvenlik Duvarı, VNet ve genel IP adresi aynı kaynak grubunda olmalıdır.

Hayır. NAT kuralları, çevrilen trafiğe izin vermek için ilgili ağ kuralını örtülü olarak ekler. Bu davranışı, çevrilen trafikle eşleşen reddetme kuralları olan bir ağ kural koleksiyonunu açıkça ekleyerek geçersiz kılabilirsiniz. Azure Güvenlik Duvarı kural işleme mantığı hakkında daha fazla bilgi için bkz: Azure Güvenlik Duvarı kural işleme mantığı.

• URL - Yıldız işaretleri en sağ veya en sol tarafa yerleştirilsin. Sol tarafta ise FQDN'nin bir parçası olması mümkün olmayacak.
• FQDN - Yıldız işaretleri en sol tarafa yerleştiril sıralarda çalışır.

Örnekler:

Yeni bir yapılandırma değişikliği uygulandığında Azure Güvenlik Duvarı temel aldığı tüm arka uç örneklerini güncelleştirme girişiminde bulunur. Nadir durumlarda, bu arka uç örneklerinden biri yeni yapılandırmayla güncelleştirilemiyor olabilir ve güncelleştirme işlemi başarısız sağlama durumuyla durur. Azure Güvenlik Duvarınız çalışmaya devam eder ancak uygulanan yapılandırma tutarsız bir durumda kalabilir. Örneklerden bazıları önceki yapılandırmaya, diğerleri ise güncelleştirilen kural kümesine sahip olabilir. Bu durumda, işlem başarılı olana ve Güvenlik Duvarınız Başarılı sağlama durumuna gelene kadar yapılandırmanızı bir kez daha güncelleştirmeyi deneyin.

Azure Güvenlik Duvarı etkin-etkin yapılandırmada birkaç arka uç düğümü içerir. Planlı bakımlar için düğümleri doğru şekilde güncelleştirmek için bağlantı boşaltma mantığımız vardır. Güncelleştirmeler, kesinti riskini daha da sınırlamak için her Bir Azure bölgesi için iş dışı saatler içinde planlanmaktadır. Planlanmamış sorunlar için başarısız düğümün yerini alacak yeni bir düğüm örneğimiz vardır. Yeni düğüme bağlantı genellikle hatanın ardından 10 saniye içinde yeniden kurulabilir.

Planlı bakımlar için, bağlantı boşaltma mantığı arka uç düğümlerini uygun şekilde ler. Azure Güvenlik Duvarı bağlantıların kapanması için 90 saniye bekler. Gerekirse istemciler, başka bir arka uç düğümüne otomatik olarak yeniden bağlantı kurabilir.

Evet. Güvenlik duvarı adı için 50 karakter sınırı vardır.

Azure Güvenlik Duvarı daha fazla sanal makine örneği sağlamaları gerekir. /26 adres alanı, güvenlik duvarının ölçeklendirmeye uygun yeterli IP adresine sahip olduğunu sağlar.

Hayır. Azure Güvenlik Duvarı /26'dan büyük bir alt ağ olması gerekir.

Azure Güvenlik Duvarı aktarım hızı kapasitesi 2,5 - 3 Gbps'dir ve ölçeği 30 Gbps'ye çıkar. CPU kullanımına ve aktarım hızına göre otomatik olarak ölçeğini artırır.

Azure Güvenlik Duvarı aktarım hızı veya CPU tüketimi %60 olduğunda kademeli olarak ölçeklendirebilirsiniz. Varsayılan dağıtım maksimum aktarım hızı yaklaşık 2,5 - 3 Gbps'dir ve bu sayanın %60'lık değerine ulaştığında ölçeğin ölçeğini dağıtmaya başlar. Ölçeğin ölçeğini 5-7 dakika sürer.

Performans testi sırasında en az 10-15 dakika test edin ve yeni oluşturulan Güvenlik Duvarı düğümlerinden yararlanmak için yeni bağlantılar başlatın.

Bir bağlantı boşta kalma zaman aşımına (etkinliksiz dört dakika) sahip Azure Güvenlik Duvarı TCP RST paketi göndererek bağlantıyı başarıyla sonlandırılır.

Sanal Azure Güvenlik Duvarı sanal makine örneği kapatma işlemi, sanal makine ölçek kümesi ölçeğini in (ölçeği aşağı) veya filo yazılım yükseltmesi sırasında oluşabilir. Bu durumlarda, yeni gelen bağlantılar kalan güvenlik duvarı örneklerine yük dengelemesi yapılan ve aşağı güvenlik duvarı örneğine iletilen değildir. 45 saniye sonra güvenlik duvarı TCP RST paketleri göndererek mevcut bağlantıları reddetmeye başlar. Ek bir 45 saniye sonra güvenlik duvarı VM'leri kapanıyor. Daha fazla bilgi için bkz. LOAD BALANCER TCP Sıfırlama ve Boşta Kalma Zaman Aşımı.

Hayır. Azure Güvenlik Duvarı Active Directory erişimini engeller. Erişime izin vermek için AzureActiveDirectory hizmet etiketini yapılandırma. Daha fazla bilgi için bkz. Azure Güvenlik Duvarı etiketleri.

Evet, bunu Azure PowerShell kullanabilirsiniz:

# Add a Threat Intelligence allowlist to an Existing Azure Firewall

# Create the allowlist with both FQDN and IPAddresses
$fw = Get-AzFirewall -Name "Name_of_Firewall" -ResourceGroupName "Name_of_ResourceGroup"
$fw.ThreatIntelWhitelist = New-AzFirewallThreatIntelWhitelist `
   -FQDN @("fqdn1", "fqdn2", …) -IpAddress @("ip1", "ip2", …)

# Or Update FQDNs and IpAddresses separately
$fw = Get-AzFirewall -Name $firewallname -ResourceGroupName $RG
$fw.ThreatIntelWhitelist.IpAddresses = @($fw.ThreatIntelWhitelist.IpAddresses + $ipaddresses)
$fw.ThreatIntelWhitelist.fqdns = @($fw.ThreatIntelWhitelist.fqdns + $fqdns)


Set-AzFirewall -AzureFirewall $fw

TCP ping'i aslında hedef FQDN'ye bağlanıyor. Bunun nedeni Azure Güvenlik Duvarı ara sunucusunun 80/443 bağlantı noktası üzerinden giden trafiği dinlemesidir. TCP pingi güvenlik duvarıyla bir bağlantı oluşturur ve ardından paketi gönderir. Bu davranışın herhangi bir güvenlik etkisi yoktur. Bununla birlikte, karışıklığı önlemek için bu davranıştaki olası değişiklikleri araştırıyoruz.

Benzer şekilde, gelen DNAT trafiği için bağlantı noktası 80/443 ' deki Azure Güvenlik Duvarı dinleyicisi TCP bağlantılarının oluşturulmasına izin verir. Ancak, güvenlik duvarı, kurallarda açıkça izin verilmediği takdirde, paketi tasarım yoluyla bırakır ve reddeder.

Evet. Daha fazla bilgi için bkz. Azure aboneliği ve hizmet limitleri, Kotalar ve kısıtlamalar

Hayır, bir IP grubunu başka bir kaynak grubuna taşımak Şu anda desteklenmiyor.

Ağ güvenlik duvarının standart bir davranışı, TCP bağlantılarının etkin tutulmasını ve etkinlik olmaması durumunda bunları hemen kapatmalarını sağlamaktır. Azure Güvenlik Duvarı TCP boşta kalma zaman aşımı dört dakikadır. Bu ayar Kullanıcı tarafından yapılandırılabilir değildir, ancak boşta kalma zaman aşımını 30 dakikaya yükseltmek için Azure desteğine başvurabilirsiniz.

İşlem yapılmayan bir süre, zaman aşımı değerinden uzunsa, TCP veya HTTP oturumunun korunduğundan emin olmaz. Ortak bir uygulama, TCP etkin tutma özelliğini kullanmaktır. Bu uygulama, bağlantının daha uzun bir süre için etkin kalmasını önler. Daha fazla bilgi için bkz. .NET örnekleri.

Hayır, şu anda Azure Güvenlik duvarını genel bir IP adresiyle dağıtmanız gerekir.

Azure Güvenlik Duvarı, müşteri verilerini ' de dağıtıldığı bölgeden taşımaz veya depolamaz.