Azure Firewall のデプロイを計画する

Azure Firewall をデプロイする前に、ネットワーク トポロジを計画し、必要なファイアウォール規則を特定し、デプロイ手順を理解する必要があります。

推奨されるネットワーク トポロジ

Azure Firewall は、次の特性を持つハブアンドスポーク ネットワーク トポロジを使用して最適にデプロイされることを思い出してください。

• 中央の接続ポイントとして機能する仮想ネットワーク。 このネットワークはハブ仮想ネットワークです。
• ハブとピアリングされた 1 つ以上の仮想ネットワーク。 これらのピアはスポーク仮想ネットワークであり、ワークロード サーバーのプロビジョニングに使用されます。

ハブ仮想ネットワークのサブネットにファイアウォール インスタンスをデプロイし、ファイアウォールを通過するようにすべての受信トラフィックと送信トラフィックを構成できます。 この構成は、Azure Firewall をデプロイして Azure Virtual Desktop のホスト プールを保護するときに使用します。

Azure Firewall の規則

既定では、ファイアウォールによってすべてのアクセスが拒否されることを思い出してください。 あなたの仕事は、トラフィックがファイアウォールの通過を許可される条件を指定してファイアウォールを構成することです。 各条件はルールと呼ばれます。 各ルールは、データに対して 1 つ以上のチェックを適用します。 すべてのファイアウォールの規則のすべてのチェックインを通過するトラフィックのみが通過を許可されます。

次の表で、Azure のファイアウォール用に作成できる 3 種類の規則について説明します。 Azure Virtual Desktop の適切なネットワーク トラフィックを許可するには、アプリケーションとネットワークの規則を使用します。

Azure Firewall では、優先順位に従って規則が適用されます。 脅威インテリジェンスに基づく規則は、常に最も高い優先順位が与えられ、最初に処理されます。 その後、種類別に規則が適用されます。NAT 規則、ネットワーク規則、アプリケーション規則の順です。 各種類の中では、規則の作成時に割り当てられた優先順位の値に従って、最小値から最大値へと規則が処理されます。

配置オプション

Azure Firewall には、ルールの作成と管理を容易にするために設計された多くの機能が用意されていることを思い出してください。 次の表は、これらの機能をまとめたものです。 Azure Virtual Desktop のネットワーク トラフィックを許可するには、FQDN タグを使用しますが、環境内でこれらの他のオプションを使用することもできます。

Azure Firewall のデプロイ手順

前の演習では、サブネットを含むホスト プールと仮想ネットワークを作成しました。 セッション ホスト VM をそのサブネットにデプロイし、ホスト プールに登録しました。 次の演習では、次の手順を実行して、ホスト プールを保護するために Azure Firewall をデプロイします。

1. ネットワークを設定します。

   • ファイアウォールのデプロイ用サブネットを含むハブ仮想ネットワークを作成します。
   • ハブとスポーク ネットワークをピアリングします。 次の演習では、ハブ仮想ネットワークと、Azure Virtual Desktop のホスト プールで使用される仮想ネットワークをピアリングします。

2. Azure Firewall をデプロイする:

   • ハブ仮想ネットワーク内のサブネットに Azure Firewall をデプロイします。
   • 送信トラフィック用に、すべてのサブネットからトラフィックをファイアウォールのプライベート IP アドレスに送信する、既定のルートを作成します。

3. Azure Firewall ルールを作成します。

   • 受信と送信のトラフィックをフィルター処理する規則を使用してファイアウォールを構成します。