Flytta Azure Firewall till en annan region

1. Logga in på Azure-portalen.
2. Välj Alla resurser och välj sedan din Azure Firewall resurs.
3. På sidan Azure Firewall väljer du Exportmall under Automation på den vänstra menyn.
4. Välj Ladda ner på sidan Exportmall.
5. Leta upp den .zip fil som du laddade ned från portalen och packa upp filen till valfri mapp.

Denna zip-fil innehåller .json-filerna som inkluderar mallen och skripten för att distribuera mallen.

1. Logga in på din Azure-prenumeration med kommandot Connect-AzAccount och följ anvisningarna på skärmen:

   Connect-AzAccount
   

2. Om din identitet är associerad med mer än en prenumeration anger du din aktiva prenumeration till prenumeration på den Azure Firewall resurs som du vill flytta.

   $context = Get-AzSubscription -SubscriptionId <subscription-id>
   Set-AzContext $context
   

3. Exportera mallen för din källresurs Azure Firewall genom att köra följande kommandon:

   $resource = Get-AzResource `
     -ResourceGroupName <resource-group-name> `
     -ResourceName <resource-name> `
     -ResourceType <resource-type>
   
   Export-AzResourceGroup `
     -ResourceGroupName <resource-group-name> `
     -Resource $resource.ResourceId
   

4. Hitta template.json i din aktuella katalog.

1. Logga in på Azure-portalen.

2. Om du använder Premium SKU med TLS-inspektion aktiverat,

   1. Flytta nyckelvalvet som används för TLS-inspektion till den nya målregionen. Sedan följer du procedurerna för att flytta certifikat eller generera nya certifikat för TLS-granskning till det nya nyckelvalvet i målregionen.
   2. Flytta hanterad identitet till den nya målregionen. Tilldela om motsvarande roller för nyckelvalvet i målregionen och prenumerationen.

3. I Azure-portalen väljer du Skapa en resurs.

4. I Sök på Marketplace skriver du template deploymentoch trycker sedan på Retur.

5. Välj Mallimplementering och välj Skapa.

6. Välj alternativet för att skapa din egen mall i redigeringsprogrammet.

7. Välj Läs in fil och följ sedan anvisningarna för att läsa in template.json filen som du laddade ned i föregående avsnitt

8. template.json I filen ersätter du:

   • firewallName med standardvärdet för ditt Azure Firewall namn.
   • azureFirewallPublicIpId med ID:t för din offentliga IP-adress i målregionen.
   • virtualNetworkName med namnet på det virtuella nätverket i målregionen.
   • firewallPolicy.id med ditt policy-ID.

9. Skapa en ny brandväggsprincip med hjälp av konfigurationen av källregionen och återspegla ändringar som introduceras av den nya målregionen (IP-adressintervall, offentlig IP- och regelsamlingar).

10. Om du använder Premium SKU och vill aktivera TLS-inspektion uppdaterar du den nyligen skapade brandväggsprincipen och aktiverar TLS-inspektion genom att följa anvisningarna här.

11. Granska och uppdatera följande inställningar för att återspegla de ändringar som krävs för målregionen.

    • IP-grupper. Om du vill inkludera IP-adresser från målregionen, om det skiljer sig från källan, bör IP-grupper granskas. IP-adresserna som ingår i grupperna måste ändras.
    • Zoner. Konfigurera tillgänglighetszonerna (AZ) i målregionen.
    • Tvångstunnel.Säkerställ att du har flyttat det virtuella nätverket och att brandväggens Management Subnet är närvarande innan Azure-brandväggen flyttas. Uppdatera IP-adressen i målregionen för den virtuella nätverksinstallationen (NVA) som Azure Firewall ska omdirigera trafiken till i UDR (User Defined Route).
    • DNS. Granska IP-adresser för dina anpassade DNS-servrar för att återspegla målregionen. Om funktionen DNS Proxy är aktiverad måste du konfigurera DNS-serverinställningarna för det virtuella nätverket och ange Azure Firewall privata IP-adress som en Anpassad DNS-server.
    • Privata IP-intervall (SNAT). – Om anpassade intervall har definierats för SNAT rekommenderar vi att du granskar och så småningom justerar för att inkludera målregionens adressutrymme.
    • Taggar. – Verifiera och uppdatera eventuella taggar som återspeglar eller refererar till den nya brandväggsplatsen.
    • Diagnostikinställningar. När du återskapar Azure Firewall i målregionen bör du granska inställningen Diagnostic och konfigurera den så att den återspeglar målregionen (Log Analytics arbetsyta, lagringskonto, händelsehubbar eller partnerlösning från tredje part).

12. location Redigera egenskapen i template.json filen till målregionen (I följande exempel anges målregionen till centralus.):

    "resources": [
    {
      "type": "Microsoft.Network/azureFirewalls",
      "apiVersion": "2023-09-01",
      "name": "[parameters('azureFirewalls_fw_name')]",
      "location": "centralus",}]
    

    Information om hur du hittar platskoden för målregionen finns i Datahem i Azure.

13. Spara filen template.json.

1. Logga in på Azure-portalen.

2. Om du använder Premium SKU med TLS-inspektion aktiverat,

   1. Flytta nyckelvalvet som används för TLS-inspektion till den nya målregionen och följ procedurerna för att flytta certifikat eller generera nya certifikat för TLS-inspektion i det nya nyckelvalvet i målregionen.
   2. Flytta den hanterade identiteten till den nya målregionen och tilldela om motsvarande roller för nyckelvalvet i målregionen och prenumerationen.

3. template.json I filen ersätter du:

   • firewallName med standardvärdet för ditt Azure Firewall namn.
   • azureFirewallPublicIpId med ID:t för din offentliga IP-adress i målregionen.
   • virtualNetworkName med namnet på det virtuella nätverket i målregionen.
   • firewallPolicy.id med ditt policy-ID.

4. Skapa en ny brandväggsprincip med hjälp av konfigurationen av källregionen och återspegla ändringar som introduceras av den nya målregionen (IP-adressintervall, offentlig IP- och regelsamlingar).

5. Granska och uppdatera följande egenskaper för att återspegla de ändringar som krävs för målregionen.

   • IP-grupper. Om du vill inkludera IP-adresser från målregionen, om det skiljer sig från källan, bör IP-grupper granskas. IP-adresserna som ingår i grupperna måste ändras.
   • Zoner. Konfigurera tillgänglighetszonerna (AZ) i målregionen.
   • Tvångstunnel.Säkerställ att du har flyttat det virtuella nätverket och att brandväggens Management Subnet är närvarande innan Azure-brandväggen flyttas. Uppdatera IP-adressen i målregionen för den virtuella nätverksinstallationen (NVA) som Azure Firewall ska omdirigera trafiken till i UDR (User Defined Route).
   • DNS. Granska IP-adresser för dina anpassade DNS-servrar för att återspegla målregionen. Om funktionen DNS Proxy är aktiverad måste du konfigurera DNS-serverinställningarna för det virtuella nätverket och ange Azure Firewall privata IP-adress som en Anpassad DNS-server.
   • Privata IP-intervall (SNAT). – Om anpassade intervall har definierats för SNAT rekommenderar vi att du granskar och så småningom justerar för att inkludera målregionens adressutrymme.
   • Taggar. – Verifiera och uppdatera eventuella taggar som återspeglar eller refererar till den nya brandväggsplatsen.
   • Diagnostikinställningar. När du återskapar Azure Firewall i målregionen bör du granska inställningen Diagnostic och konfigurera den så att den återspeglar målregionen (Log Analytics arbetsyta, lagringskonto, händelsehubb eller partnerlösning från tredje part).

6. location Redigera egenskapen i template.json filen till målregionen (I följande exempel anges målregionen till centralus.):

   "resources": [
     {
       "type": "Microsoft.Network/azureFirewalls",
       "apiVersion": "2023-09-01",
       "name": "[parameters('azureFirewalls_fw_name')]",
       "location": "centralus",
     }
   ]
   

Information om hur du hittar platskoden för målregionen finns i Datahem i Azure.

1. Ange eller välj egenskapsvärden:

   • Prenumeration: Välj en Azure prenumeration.
   • Resursgrupp: Välj Skapa ny och ge resursgruppen ett namn.
   • Plats: Välj en Azure plats.

2. Azure Firewall distribueras nu med den antagna konfigurationen för att återspegla nödvändiga ändringar i målregionen.

3. Verifiera konfiguration och funktioner.

1. Hämta prenumerations-ID:t där du vill distribuera den offentliga mål-IP-adressen genom att köra följande kommando:

   Get-AzSubscription
   

2. Kör följande kommandon för att distribuera mallen:

   $resourceGroupName = Read-Host -Prompt "Enter the Resource Group name"
   $location = Read-Host -Prompt "Enter the location (i.e. eastus)"
   
   New-AzResourceGroup -Name $resourceGroupName -Location "$location"
   New-AzResourceGroupDeployment -ResourceGroupName $resourceGroupName -TemplateUri "<name of your local template file>"
   

3. Azure Firewall distribueras nu med den antagna konfigurationen för att återspegla nödvändiga ändringar i målregionen.

4. Verifiera konfiguration och funktioner.