使用 Azure 防火墙控制出站流量

本文介绍如何使用 Azure 防火墙锁定从 Azure 应用服务应用到后端 Azure 资源或其他网络资源的出站流量。此配置有助于防止数据外泄并保护应用免受恶意程序植入的影响。

默认情况下，应用服务应用可以向公共 Internet 发出出站请求，例如，从 NPM.org 安装所需的 Node.js 包时。如果应用与 Azure 虚拟网络集成，则可以使用网络安全组来控制出站流量的目标 IP 地址、端口和协议。

Azure 防火墙可以更精细地控制出站流量，并允许基于来自Microsoft网络安全的实时威胁情报筛选流量。可以跨订阅和虚拟网络集中创建、强制实施和记录应用程序和网络连接策略。有关详细信息，请参阅 Azure 防火墙功能。

请完成以下过程来设置、部署和使用 Azure 防火墙来控制应用服务应用的出站流量。有关应用服务网络概念和安全增强功能的详细信息，请参阅 “网络功能和 0 到 Hero 与应用服务”，第 6 部分：保护 Web 应用。

先决条件

具有使用区域虚拟网络集成的应用服务应用。有关详细信息，请参阅在 Azure 应用服务中启用虚拟网络集成。

要将防火墙部署到集成的虚拟网络中，虚拟网络必须具有名为 AzureFirewallSubnet 的子网。此外，默认情况下需要强制隧道，因此网络还必须有一个名为 AzureFirewallManagementSubnet 的子网。有关详细信息，请参阅 Azure 防火墙强制隧道。

在 Azure 门户中，导航到与应用集成的虚拟网络。
在应用的集成虚拟网络的页面上，从左侧导航菜单中选择 “子网 ”。
在“子网”页中，选择“+ 子网”。
在“ 添加子网 ”页上，出于 子网目的，选择 “Azure 防火墙”。

会自动分配名称 AzureFirewallSubnet 和其他设置。在 IPv4 下，确保指定的范围大小至少为 /26。
选择添加。
重复相同的过程以添加 AzureFirewallManagementSubnet，这次选择 防火墙管理（强制隧道） 作为 子网用途。

创建虚拟网络时，Azure 会自动为其每个子网创建默认路由表，并将系统默认路由添加到该表。在此步骤中，将创建一个用户定义的路由表，用于将所有流量路由到防火墙。将用户定义的路由表与集成虚拟网络中的应用服务子网相关联。

来自应用的出站流量现通过集成虚拟网络路由到防火墙。

若要控制应用服务出站流量，请将应用程序规则添加到防火墙策略。

在防火墙的 “概述 ”页上，选择防火墙策略下的防火墙策略。
在防火墙策略页上，从左侧导航菜单中选择 应用程序规则 。
在 “应用程序规则 ”页上，选择 “添加规则集合”。
在 “添加规则集合 ”屏幕上，输入 “名称 ”和“ 优先级 ”介于 100 和 65000 之间。
在 “规则”下，添加包含应用服务子网的网络规则作为源地址，并指定完全限定的域名（FQDN）目标。以下示例演示 api 的目标 FQDN 。my-ip.io。
选择添加。

注意

可以直接使用应用的专用 IP 地址，而不是将应用服务子网指定为源地址。你可以使用WEBSITE_PRIVATE_IP环境变量在子网中查找你的应用的专用 IP 地址。

验证配置的出站连接的一种简单方法是使用 curl 来自应用的源代码管理管理器（SCM）（也称为 Kudu）调试控制台的命令。

在浏览器中导航到 https://<app-name>.scm.chinacloudsites.cn/DebugConsole。
在控制台中，使用与配置的应用程序规则匹配的 URL 运行 curl -s <protocol>://<fqdn-address> 。例如，以下屏幕截图显示了对它的成功响应 https://api.my-ip.io。

如果使用与配置的应用程序规则不匹配的 URL 运行 curl -s <protocol>://<fqdn-address> ，则不会收到任何响应，这表示防火墙阻止了来自应用的出站请求。

由于出站请求通过防火墙，因此可以通过使用 Azure 防火墙应用程序规则启用防火墙日志记录，在防火墙日志中捕获这些请求。有关详细信息，请参阅结构化 Azure 防火墙日志。

如果在启用诊断日志的情况下运行 curl 命令，则可在防火墙日志中查找到这些命令。

可以在查询结果中看到这两个访问日志。