【Azure Firewall】使用 Azure 防火牆限制出入站流量（上）

原先在工作上大多只接觸到應用層的服務，所以前期文章大概也都是這個領域，不過越來越深入（越花越多錢）後，發現踩的坑越來越多都跟網路有關，尤其在公司內還涉及到更多雲地網路有沒有通的麻煩事，所以近期也開始看一些網路的東西，同時順便紀錄一下學習的過程。

從一個常見的場景開始，在限制外網訪問的環境中開通幾個白名單網站，一般可能是自己架設的外部網頁，對於開發機可能需要開通 Azure Portal 或特定語言的套件庫，而對於生產環境可能需要訪問第三方服務，

至於由外部訪問內部服務，也有限制訪問來源、方式或阻擋惡意外部流量的需求。不論是出站還是入站，都可以透過 Azure Firewall 設定規則來滿足限制存取的需求，以下一個簡單的 Demo 情境。

架構說明

本次 Demo 架構如下圖，順帶一提，這張圖是由前篇介紹的 Draw.io 繪製，有興趣可以看看下方連結。

• 簡化架構的單一 VNet，其中包含兩個 Subnet，分別佈署 Azure Firewall 與 Azure VM，用於模擬受到保護的內部環境。

• 外部訪問方式僅接受透過 RDP 連線 Azure VM，同時訪問的流量不會直達 Azure VM，而是一律先經過 Azure Firewall 才能轉到後方。

• Azure VM 所在的內部環境，只允許對外存取 www.google.com。

以上，開工！

相關連結：【Azure】Draw.io 線上架構圖繪製工具！完全免費！

本次 Demo 架構圖

建立 VNet 與 Subnet

所有服務建立的方式都一樣，在 Portal 上搜尋中文服務名稱：虛擬網路，點擊建立。

建立虛擬網路

第一個「基本」頁籤中可以建一個單獨的資源群組出來，這次練習建出來的服務都丟到同個資源群組就好，再來給 VNet 一個喜歡的名稱。

設定 VNet 的資源群組與名稱

接著到第三個「IP 位址」頁籤設定 IP，VNet 可以保持域設的 10.0.0.0/16 就好，而子網設定如下：

• WorkloadSubnet：10.0.1.0/24，佈署 Azure VM 使用。

• AzureFirewallSubnet：10.0.2.0/26，佈署 Azure Firewall 使用。

設定 VNet 的 IP 範圍

最後到「檢閱+建立」，再點擊「建立」，就完成 VNet 的設定。

建立 Azure Firewall

一樣搜尋到中文名稱「Azure 防火牆」後按下建立。

建立 Azure Firewall

上半部分一樣是服務名稱與資源群組，資源群組都放到同一個就好。

設定 Firewall 的資源群組與名稱

下半部分如下設定：

• 防火牆 SKU：標準，差在一些進階的功能。

• 防火牆管理：使用防火牆原則管理此防火牆。

• Firewall Policy：建立新的，SKU 一樣選標準。

• 選擇虛擬網路：使用現有項目，選我們剛剛建立好的 VNet。

• 公用 IP 位址：建立新的，這會用在防火牆的對外 IP。

其他 Firewall 設定

以上都完成直接點擊「建立」就好，Firewall 的建立會稍微久一點，建立完成後先進入 Firewall 的頁面。

查看 Firewall 私人 IP

接著我們需要先記下 Firewall 的私人 IP 與公用 IP，私人 IP直接在頁面上可以看到，以我的來說是 10.0.2.4。

而公用 IP 需要再點入一層才能看到，以我的來說是 4.194.107.53，兩個 IP 都先記下備用。

查看 Firewall 公用 IP

基本設定差不多到此，下一篇會繼續入站與出站的流量設定，請繼續收看！

系列文章

• 【Azure Firewall】使用 Azure 防火牆限制出入站流量（上）
• 【Azure Firewall】使用 Azure 防火牆限制出入站流量（下）