AZ-700 기본 #13, Azure Firewall & NAT Gateway

Azure Firewall 개요

• Azure가 자체적으로 제공하는 Cloud 기반의 네트워크 보안 서비스
• 인터넷 트래픽, On-premise 트래픽 등 Azure 내부를 통과하는 트래픽을 통제할 수 있음
• Public IP를 설정하여 NAT Gateway와 같이 Outbound(인터넷) 통신을 지원할 수 있음
• 방화벽은 GatewaySubnet처럼 자체 Subnet을 사용해야 함
• Standard와 Premium으로 나뉘며 Premium은 더 큰 용량의 Throughput을 지원함
• TLS Inspection 및 IDPS 기능 지원

 

Azure Firewall Policy 설정

• 방화벽을 생성하고 Firewall Subnet 이외의 Subnet 혹은 VNet에서 방화벽을 접근하려면 Route table을 설정해야 함
  
  • 특정 목적지에 대해 Next hop을 Virtual appliance(방화벽의 Private IP)로 지정
• Rule Collection : 방화벽 정책 세트로, DNAT Rule / Network Rule / Application Rule로 나뉨
  
  • DNAT Rule : 외부 인터넷에서 Azure 내부로 진입할 수 있도록 허용하는 정책(Inbound)
  • Network Rule : 출발지, 목적지를 IP 주소로 지정하여 허용하는 정책으로 목적지를 FQDN으로 지정할 수 있음
  • Applicatoin Rule : FQDN을 비롯한 DNS 관련 세부 규칙을 설정할 수 있는 정책(Outbound)

 

Azure Firewall Manager

• 다수의 Azure Firewall을 중앙에서 관리할 수 있는 서비스
• 계정 내 설정된 VNet / VHub과 함께 존재하는 Firewall의 Policy를 모두 확인할 수 있음

 

NAT Gateway 생성

• NAT : Network Address Translation
• VNet에 속한 리소스의 Outbound(인터넷) 통신에 사용되는 서비스
• VNet에 속한 리소스가 Private IP만 보유할 경우, 공용 인터넷에 접근할 수 없으므로 출발지 IP로 사용할 Public IP를 지원
• 미리 생성해둔 Public IP 주소 1개 혹은 Public IP Prefix로 VNet 리소스에 Public IP를 부여하고 외부인터넷 통신을 가능케 함
• Idle timeout은 기본 4분으로 최대 120분까지 설정 가능