完全限定的域名（FQDN）是 Internet 上主机的完整域名，例如 www.baidu.com。 在 Azure 防火墙和防火墙策略中，FQDN 可用于筛选 DNAT、网络和应用程序规则中的流量，具体取决于要检查的流量的类型和方向。
工作原理
Azure 防火墙根据规则类型处理基于 FQDN 的筛选：
- 应用程序规则 使用 FQDN 筛选 HTTP/S 和 MSSQL 流量。 它们依赖于应用程序级别的透明代理和服务器名称指示 （SNI） 标头来区分解析为同一 IP 地址的 FQDN。 换句话说，FQDN 根据客户端请求的原始域进行匹配和筛选，而不是基于解析的 IP 地址。
- 网络和 DNAT 规则 使用 Azure DNS 或自定义 DNS 服务器根据 FQDN 的已解析 IP 地址筛选流量。 Azure 防火墙动态维护和更新 FQDN 的关联 IP 地址列表，确保即使基础 IP 地址发生更改，流量也会正确路由。
使用 DNS 解析时，Azure 防火墙：
- 将 FQDN 解析为其相应的 IP 地址。
- 使用解析的 IP 地址应用适当的规则类型（DNAT 或网络）
- 每隔 15 秒刷新 FQDN -to-IP 映射。
- 删除 15 分钟后不再解析或使用的 IP 地址。
注释
这种刷新行为适用于 Azure 防火墙 为规则处理所维护的 FQDN 到 IP 映射。 它和Azure 防火墙的DNS代理缓存是分开的，后者根据TTL存储DNS响应，不会在TTL到期前预取记录。 关于DNS代理缓存行为，请参见Azure 防火墙 DNS设置和Azure 防火墙 DNS代理详情。
DNAT 规则中的 FQDN 筛选与网络规则与应用程序规则之间的差异
DNAT 规则
DNAT（目标网络地址转换）规则用于将入站流量路由到后端服务器。 这些规则允许指定 IP 地址或 FQDN 作为翻译目标。 使用 DNAT 规则中的 FQDN 可以为后端服务器指定完全限定的域名，这在后端服务器的 IP 地址可能会频繁更改的动态环境中特别有用。
主要特征：
- 启用入站流量路由到后端服务器。
- 支持基于 FQDN 的动态环境目标。
- 适用于需要灵活后端服务器配置的方案。
网络规则
网络规则用于根据任何 TCP 或 UDP 协议（例如网络时间协议（NTP）、安全外壳（SSH）和远程桌面协议（RDP）筛选流量。 与应用程序规则不同，网络规则不依赖于应用程序级代理或 SNI 标头。
注释
使用 FQDN 筛选的网络规则不支持使用通配符。 此限制是设计有意的。
主要特征：
- 适用于所有 TCP 和 UDP 协议。
- 非常适合非 HTTP/S 或 MSSQL 流量。
- 在没有特定于协议的检查的情况下在网络层运行。
应用程序规则
应用程序规则旨在筛选 HTTP/S 和 MSSQL 流量。 它们依赖于应用程序级别的透明代理和服务器名称指示 （SNI） 标头来区分解析为同一 IP 地址的 FQDN。 这些规则非常适合需要控制对 Web 服务或数据库的访问的方案。
主要特征：
- 最适合 HTTP/S 和 MSSQL 协议。
- 将 FQDN 标记用于 Azure 备份和 HDInsight 等 Azure 服务。
- 为支持的协议提供更精细的细节粒度。
通过了解这些规则类型之间的差异，可以有效地配置 Azure 防火墙以满足组织的安全性和流量管理需求。
后续步骤
- 了解 Azure 防火墙策略规则集是如何构建 Azure 防火墙策略规则集的。