Como Implantar e Configurar o Azure Firewall

O Azure Firewall é um serviço gerenciado de segurança de rede baseado em nuvem que protege seus recursos da Rede Virtual do Azure. É um firewall como um serviço totalmente dinâmico com alta disponibilidade integrada e escalabilidade de nuvem irrestrita. Você pode criar, aplicar e registrar de forma centralizada as políticas de conectividade de rede e aplicativo em assinaturas e redes virtuais. O Firewall do Azure usa um endereço IP público estático para seus recursos de rede virtual, permitindo que firewalls externos identifiquem o tráfego originado de sua rede virtual. O serviço é totalmente integrado ao Azure Monitor para registro e análise.

O controle do acesso à saída de rede é uma parte importante de um plano geral de segurança de rede. Por exemplo, você talvez queira limitar o acesso a sites. Ou você talvez queira limitar os endereços IP e portas de saída que podem ser acessados.

Uma maneira de controlar o acesso à saída de rede em uma sub-rede do Azure é com o Firewall do Azure. Com o Firewall do Azure, você pode configurar:

  • Regras de aplicativo que definem FQDNs (nomes de domínio totalmente qualificados) que podem ser acessados em uma sub-rede.
  • Regras de rede que definem endereço de origem, protocolo, porta de destino e endereço de destino.

O tráfego de rede está sujeito às regras de firewall configuradas quando o tráfego de rede para o firewall foi roteado como a sub-rede de gateway padrão.

Cenário:

  • AzureFirewallSubnet: o firewall está nesta sub-rede.
  • VM-01: o servidor de carga de trabalho está nessa sub-rede. O tráfego de rede dessa sub-rede passa pelo firewall.

Neste tutorial, você aprenderá como:

  • Configurar um ambiente de rede 
  • Implantar um firewall
  • Criar uma rota padrão
  • Configure uma regra de aplicativo para permitir acesso a www.google.com e jadsonalves.com.br
  • Configurar uma regra de rede para permitir o acesso a servidores DNS externos
  • Configurar uma regra NAT para permitir uma Área de Trabalho Remota para os servidores 
  • Testar o firewall

Configurar a Rede

01 – Execute o script abaixo para uma virtual network e duas subnets.

O script utilizado abaixo também está disponível para download no GitHub.

About · GitHub

## Criar virtual network e duas subnets ##

# Variáveis
$Resourcegroup = “RG-FW”
$Location = “EastUS”
$Vnet = “Vnet-Servidores”
$Sub1 = “subnet-Servidores”
$Sub2 = “AzureFirewallSubnet”

# Criar o Resource Group
New-AzResourceGroup -name $Resourcegroup -Location $Location

# Criar virtual network
$virtualNetwork = New-AzVirtualNetwork -ResourceGroupName $Resourcegroup -Location $Location -Name $Vnet -AddressPrefix 10.0.0.0/16

# Adicionar uma subnet
$subnetConfig = Add-AzVirtualNetworkSubnetConfig -Name $Sub1 -AddressPrefix 10.0.1.0/24 -VirtualNetwork $virtualNetwork

#Adicionar uma segunda subnet
$subnetConfig2 = Add-AzVirtualNetworkSubnetConfig -Name $Sub2 -AddressPrefix 10.0.100.0/26 -VirtualNetwork $virtualNetwork

# Associar a subnet à virtual network
$virtualNetwork | Set-AzVirtualNetwork

Observação: A sub-rede AzureFirewallSubnet é /26.

O Firewall do Azure deve provisionar mais instâncias de máquina virtual conforme ele se expande. Um espaço de endereço / 26 garante que o firewall tenha endereços IP suficientes disponíveis para acomodar o dimensionamento.

Como podemos observar na imagem abaixo a virtual network e subnets forma criados com sucesso.

 

Criar uma máquina virtual

02 – Execute o script abaixo cria uma máquina virtual Windows na virtual network Vnet-Servidores

O script utilizado abaixo também está disponível para download no github.

About · GitHub

# Definindo as variáveis de rede
$ResourceGroup = “RG-VM-01”                         # Variável com o nome do grupo de recursos
$ResourceGroupvnet = “RG-FW”                       # Variável com o nome do grupo de recursos onde a rede virtual está
$Location = “EastUS”                                         # Variável com o nome do grupo de recursos
$vNetName = “Vnet-Servidores”                        # Variável com o nome da rede virtual
$SubnetName = “subnet-Servidores”                 # Variável com o nome da sub-rede
$nsgName = “nsg-Vnet-Servidores”                  # Variável com o nome do grupo de segurança de rede
$adminUsername = ‘jadson.alves’                     # Variável com o nome do administrador da máquina
$adminPassword = ‘Pa$$w0rd.qwe1234’          # Variável com a senha do usuário administrador da máquina
$vmName = “VM-01”                                         # Variável com o nome da máquina virtual

# Criar o Resource Group
New-AzResourceGroup -name $ResourceGroup -Location $Location

# Criando o Network Security Group
$nsgRuleVMAccess = New-AzNetworkSecurityRuleConfig -Name ‘allow-vm-access’ -Protocol Tcp -Direction Inbound -Priority 100 -SourceAddressPrefix * -SourcePortRange * -DestinationAddressPrefix * -DestinationPortRange 3389,443,80 -Access Allow
New-AzNetworkSecurityGroup -ResourceGroupName $ResourceGroup -Location $location -Name $nsgName -SecurityRules $nsgRuleVMAccess

# Definindo as variáveis da máquina virtual
$vNet = Get-AzVirtualNetwork -ResourceGroupName $ResourceGroupvnet -Name $vNetName
$Subnet = Get-AzVirtualNetworkSubnetConfig -Name $SubnetName -VirtualNetwork $vNet
$nsg = Get-AzNetworkSecurityGroup -ResourceGroupName $ResourceGroup -Name $NsgName
$pubName = “MicrosoftWindowsServer”
$offerName = “WindowsServer”
$skuName = “2016-Datacenter”
$vmSize = “Standard_DS2_v2”
$pipName = “$vmName-pip”
$nicName = “$vmName-nic”
$osDiskName = “$vmName-OsDisk”
$osDiskType = “Standard_LRS”

# Definindo as credenciais de administrador
$pw = ConvertTo-SecureString $adminPassword -AsPlainText -Force
$adminCreds = New-Object System.Management.Automation.PSCredential (“$adminUsername”, $pw)

# Criando IP público e interface de rede NIC
$pip = New-AzPublicIpAddress -Name $pipName -ResourceGroupName $ResourceGroup -Location $location -AllocationMethod Static
$nic = New-AzNetworkInterface -Name $nicName -ResourceGroupName $ResourceGroup -Location $location -SubnetId $Subnet.Id -PublicIpAddressId $pip.Id -NetworkSecurityGroupId $nsg.Id

# Adicionando as configurações da máquina virtual
$vmConfig = New-AzVMConfig -VMName $vmName -VMSize $vmSize
Add-AzVMNetworkInterface -VM $vmConfig -Id $nic.Id

# Setando os parâmetros do sistema operacional
Set-AzVMOperatingSystem -VM $vmConfig -Windows -ComputerName $vmName -Credential $adminCreds

# Setando a imagem utilizada na máquina virtual
Set-AzVMSourceImage -VM $vmConfig -PublisherName $pubName -Offer $offerName -Skus $skuName -Version ‘latest’

# Setando as configurações de disco
Set-AzVMOSDisk -VM $vmConfig -Name $osDiskName -StorageAccountType $osDiskType -CreateOption fromImage

# Desabilitando o diagnóstico de boot
Set-AzVMBootDiagnostic -VM $vmConfig -Disable

# Criando a máquina virtual
New-AzVM -ResourceGroupName $ResourceGroup -Location $location -VM $vmConfig

Como podemos observar na imagem abaixo a máquina virtual e todos os recursos associados foram criados.

 

Implantar o firewall

03 – No portal do Azure pesquise por Firewalls.

04 – Na tela Firewalls, clique em + Add.

05 – Na tela Create firewall, para a opção Project details selecione a subscription e resource group. Para opção Instance details selecione um nome para o firewall, região e se deseja utilizar Availability zone em nosso exemplo não vamos utilizar. Para a opção Firewall Tier vamos utilizar Standard para maiores informações de como realizar a configuração Premium preview) clique nesse link, para a opção Firewall management selecione Use Firewall rules (classic) to manage this firewall, para a opção Choose a virtual network selecione Use existing e selecione a virtual network Vnet-Servidores, para a opção Public IP address clique em Add new  selecione um nome para o IP publico e clique em Ok, em seguida clique em Review + create.

06 –  Na tela Review + create, verifique se todas as informações estão corretas e clique em Create.

07 – Como podemos observar na imagem abaixo o firewall foi provisionado com sucesso.

 

Configurar a Rota

O Azure roteia o tráfego automaticamente entre redes virtuais, redes locais e sub-redes do Azure. Se você desejar alterar qualquer roteamento padrão do Azure, poderá criar uma tabela de rotas para fazer isso.

Todo o trafego vindo da internet será roteado para nosso firewall FW01-EastUS.

08 – No portal do Azure pesquise por Route table.

09 – Na tela Route tables, clique em + Add.

10 – Na tela Create Route table, selecione a subscription, resource group em seguida selecione a região, nome e clique em Review + create. 

11 – Na tela Review + create, verifique se todas as informações estão corretas e clique em Create.

12 – Como podemos observar o recurso foi criado com sucesso, clique em Go to resource.

13 – Na tela Route-FW01-EastUS, navegue até settings, clique em Routes e clique em + Add.

14 – Na tela Add route, selecione um nome para a rota, para a opção Address prefix digite o seguinte endereço IP que corresponde a qualquer endereço da internet 0.0.0.0/0, para a opção Next hop type selecione virtual appliance em Next hop address digite o endereço IP privado do firewall FW01-EastUS.

Na imabem abaixo podemos observar  o endereço IP privado do Firewall.

 

15 – Como podemos observar na imagem abaixo a rota ficou configurada da seguinte forma:

16 – Nosso próximo passo será associar a rota a uma subnet, clique em Subnets  e em + Associate.

16 – Na tela Associate subnet, selecione a virtual network Vnet-Servidores para a opção Subnet selecione a subnet-Servidores e clique em OK.

17 – Como podemos observar na imagem abaixo a rota foi associada a subnet-Servidores.

Configurar uma regra de aplicativo

Vamos criar duas regras de aplicativo que permite o acesso de saída para os sites www.google.com e jadsonalves.com.br

18 – Na tela do firewall, em Settings clique em Rules (classic). 

19 – Selecione Application rule collection e clique em + Add application rule collection.

20 – A tela Add application rule colelction será aberta, selecione um nome para a regra, a prioridade da regra e a ação. Em Target FQDNs  selecione um nome, em Source type selecione IP address  em Source digite o range de endereços IP da subnet subnet-Servidores 10.0.1.0/24 em Protocol:Port digite http,https, em Target FWDNs digite o endereço do site que deseja liberar em nosso exemplo será www.google.com, em seguida clique em Add.

21 – Agora vamos criar a regra de aplicativo que libera o acesso ao site jadsonalves.com.br, + Add aplication rule collection, a tela Add application rule colelction será aberta, selecione um nome para a regra, a prioridade da regra e a ação. Em Target FQDNs selecione um nome em Source type selecione IP address  em Source digite o range de endereços IP da subnet subnet-Servidores 10.0.1.0/24 em Protocol:Port digite http,https, em Target FQDNs digite o endereço do site que deseja liberar em nosso exemplo será jadsonalves.com.br, em seguida clique em Add.

22 – Como podemos observar na imagem abaixo nossas regras de aplicativos foram criadas com sucesso.

Configurar uma regra de rede

Essa é a regra de rede que permite o acesso de saída para dois endereços IP na porta 53 (DNS). Nessa regra estamos liberando o endereço IP do DNS do google para nossa rede.

23 – Na tela do firewall, em Rules (classic) selecione Network rule collection e clique em + Add network rule collection.

24 – A tela Add network rule collection será aberta, digite um nome para a regra, prioridade e ação, em Rules IP addresses digite um nome para a regra, selecione o protocolo UDP em Source type selecione IP address, em source digite o endereço IP da subnet-Servidores 10.0.1.0/24, em Destination type selecione IP address em Destination Addresses digite o endereço IP dos servidores DNS do google (8.8.8.8 e 8.8.4.4), para a opção Destination Ports digite 53, em seguida clique em Add.

25 – Como podemos observar na imagem abaixo a regra de rede foi criada com sucesso.

 

Configurar a regra de NAT

Esta regra permite conectar na máquina virtual VM-01 utilizando o protocolo RD com o endereço IP publico do firewall.

26 – Na tela do firewall, em Rules (classic) selecione Nat rule collection e clique em + Add Nat rule collection.

27 – A tela Add Nat rule collection será aberta, selecione um nome para regra, prioridade. em Rules digite um nome, em protocolo selecione TCP, em Source type selecione IP address, em Source selecione qualquer origem, Em Destination Addresses, digite o endereço IP público do firewall 52.188.30.12, em Destination Ports digite 3389, para a opção Translated address digite o endereço IP privado da máquina virtual VM-01 (10.0.1.4), para Translated port digite 3389.

26 – Como podemos observar na imagem abaixo a regra de NAT foi criada com sucesso.

Alterando o DNS da rede

29 – No portal do Azure, pesquise por Virtual networks.
30 – Selecione a virtual network Vnet-Servidores.
31 – Na tela Vnet-Servidores, em Settings clique em DNS servers.
32 – Na tela DNS Serves, clique em custom e digite os endereços ips dos servidores DNS do google 8.8.8.8 e 8.8.4.4 e clique em Save.

Testando o firewall

Testando a regra de NAT

33 – Aqui vamos testar o acesso a VM-01 utilizando o protocolo RDP com o IP publico do firewall

Testando a regra de aplicativo

34 – Vamos testar o acesso ao site wwww.google.com e jadsonalves.com.br
Como podemos observar no vídeo abaixo o acesso aos sites wwww.google.com e jadsonalves.com.br estão liberados, porem testamos o acesso ao site outrlook.com  e o mesmo está bloqueado como era de se esperar.

Comente suas sugestões e observações! Forte abraço, obrigado e até o próximo post. 🙂

2 Replies to “Como Implantar e Configurar o Azure Firewall”

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *