Qual nome é dado a um dispositivo que controla ou filtra o tráfego que entra ou sai da rede?

Avançar para o conteúdo principal

Não há mais suporte para esse navegador.

Atualize o Microsoft Edge para aproveitar os recursos, o suporte técnico e as atualizações de segurança mais recentes.

Controlar o tráfego de saída com o Firewall do Azure

• Artigo
• 09/27/2022
• 6 minutos para o fim da leitura

Neste artigo

Este artigo mostra como bloquear o tráfego de saída do aplicativo do Serviço de Aplicativo para recursos de back-end do Azure ou outros recursos de rede com o Firewall do Azure. Essa configuração ajuda a evitar exfiltração dos dados ou o risco de implantação de programas mal-intencionados.

Por padrão, um aplicativo do Serviço de Aplicativo pode fazer solicitações de saída para a Internet pública (por exemplo, ao instalar os pacotes do Node.js necessários do NPM.org). Se seu aplicativo estiver integrado a uma rede virtual do Azure, você poderá controlar o tráfego de saída com grupos de segurança de rede para uma extensão limitada, como o endereço IP de destino, a porta e o protocolo. O Firewall do Azure permite controlar o tráfego de saída em um nível muito mais refinado e filtrar o tráfego com base na inteligência contra ameaças em tempo real do Microsoft Cyber Security. É possível criar, impor e registrar centralmente políticas de conectividade de rede e de aplicativo em assinaturas e redes virtuais (confira recursos do Firewall do Azure).

Para obter conceitos de rede e aprimoramentos de segurança detalhados no Serviço de Aplicativo, confira Recursos de rede e Zero to Hero with App Service, Part 6: Securing your web app.

Pré-requisitos

• Habilite a integração da rede virtual regional para o seu aplicativo.
• Verifique se a opção Rotear Todos está habilitada. Essa configuração é habilitada por padrão, o que informa ao Serviço de Aplicativo para rotear todo o tráfego de saída por meio da rede virtual integrada. Se você desabilitá-la, somente o tráfego para endereços IP privados será roteado por meio da rede virtual.
• Se você quiser rotear o acesso a serviços de back-end do Azure por meio do Firewall do Azure também, desabilite todos os pontos de extremidade de serviço na sub-rede do Serviço de Aplicativo na rede virtual integrada. Depois que o Firewall do Azure estiver configurado, o tráfego de saída para os Serviços do Azure será roteado através do firewall em vez dos pontos de extremidade de serviço.

1. Criar a sub-rede de firewall necessária

Para implantar um firewall na rede virtual integrada, você precisa de uma sub-rede chamada AzureFirewallSubnet.

1. No portal do Azure, navegue até a rede virtual que está integrada ao seu aplicativo.
2. No painel de navegação à esquerda, selecione Sub-redes>+ Sub-rede.
3. Em Nome, digite AzureFirewallSubnet.
4. Intervalo de endereços de sub-rede, aceite o padrão ou especifique um intervalo que tenha pelo menos /26 de tamanho.
5. Clique em Salvar.

2. Implantar o firewall e obter o IP dele

1. No menu do portal do Azure ou na Página Inicial, selecione Criar um recurso.

2. Digite firewall na caixa de pesquisa e pressione Enter.

3. Selecione Firewall e, em seguida, selecione Criar.

4. Na página Criar um Firewall, configure o firewall conforme mostrado na tabela abaixo:

   Configuração	Valor
   Grupo de recursos	Mesmo grupo de recursos que a rede virtual integrada.
   Nome	Nome de sua preferência
   Região	Mesma região que a rede virtual integrada.
   Política de firewall	Crie um selecionando Adicionar novo.
   Rede virtual	Selecione a rede virtual integrada.
   Endereço IP público	Selecione um endereço existente ou crie um, selecionando Adicionar novo.

   

5. Clique em Revisar + Criar.

6. Selecione Criar novamente.

   Isso levará alguns minutos para ser implantado.

7. Após a conclusão da implantação, acesse o grupo de recursos e selecione o firewall.

8. Na página Visão geral do firewall, copie o endereço IP privado. O endereço IP privado será usado como endereço do próximo salto na regra de roteamento para a rede virtual.

   

3. Rotear todo o tráfego para o firewall

Ao criar uma rede virtual, o Azure cria automaticamente uma tabela de rotas padrão para cada uma das sub-redes dela e adiciona as rotas de sistema padrão à tabela. Nesta etapa, você cria uma tabela de rotas definida pelo usuário que roteia todo o tráfego para o firewall e, em seguida, associa-o à sub-rede do Serviço de Aplicativo na rede virtual integrada.

1. No menu do portal do Azure, selecione Todos os recursos ou, em qualquer página, pesquise por Todos os serviços e selecione essa opção.

2. Em Rede, selecione Tabelas de rotas.

3. Selecione Adicionar.

4. Configure a tabela de rotas como o seguinte exemplo:

   

   Você deve selecionar a mesma região que o firewall que você criou.

5. Selecione Examinar + criar.

6. Selecione Criar.

7. Após a implantação ser concluída, selecione Ir para o recurso.

8. Na navegação à esquerda, selecione Rotas>Adicionar.

9. Configure a nova rota, conforme mostrado na seguinte tabela:

   Configuração	Valor
   Prefixo de endereço	0.0.0.0/0
   Tipo do próximo salto	Solução de virtualização
   Endereço do próximo salto	O endereço IP privado para o firewall que você copiou em 2. Implantar o firewall e obter o IP dele.

10. No painel de navegação à esquerda, selecione Sub-redes>Associar.

11. Em Rede virtual, selecione a sua rede virtual integrada.

12. Em Sub-rede, selecione a sub-rede do Serviço de Aplicativo.

    

13. Selecione OK.

4. Configurar políticas de firewall

O tráfego de saída de seu aplicativo agora é roteado por meio da rede virtual integrada para o firewall. Para controlar o tráfego de saída do Serviço de Aplicativo, adicione uma regra de aplicativo à política de firewall.

1. Navegue até a página de visão geral do firewall e selecione a respectiva política de firewall.

2. Na página da política de firewall, no painel de navegação à esquerda, selecione Regras de Aplicativo>Adicionar uma coleção de regras.

3. Em Regras, adicione uma regra de rede com a sub-rede do Serviço de Aplicativo como o endereço de origem e especifique um destino FQDN. Na captura de tela abaixo, o FQDN de destino é definido como api.my-ip.io.

   

   Observação

   Em vez de especificar a sub-rede do Serviço de Aplicativo como o endereço de origem, você também pode usar o endereço IP privado do aplicativo diretamente na sub-rede. Você pode encontrar o endereço IP privado do seu aplicativo na sub-rede usando a variável de ambiente WEBSITE_PRIVATE_IP.

4. Selecione Adicionar.

5. Verificar o tráfego de saída

Uma maneira fácil de verificar sua configuração é usar o comando curl do console de depuração do SCM do aplicativo para verificar a conexão de saída.

1. Em um navegador, navegue até https://<app-name>.scm.azurewebsites.net/DebugConsole.

2. No console, execute curl -s <protocol>://<fqdn-address> com uma URL que corresponda à regra de aplicativo que você configurou. Para continuar exemplo na captura de tela anterior, você pode usar curl -s https://api.my-ip.io/ip. A captura de tela a seguir mostra uma resposta bem-sucedida da API, mostrando o endereço IP público do seu aplicativo do Serviço de Aplicativo.

   

3. Execute curl -s <protocol>://<fqdn-address> novamente com uma URL que não corresponda à regra de aplicativo configurada. Na captura de tela a seguir, você não obtém resposta, o que indica que o firewall bloqueou a solicitação de saída do aplicativo.

   

Dica

Como essas solicitações de saída estão passando pelo firewall, você pode capturá-las nos logs de firewall habilitando o log de diagnóstico para o firewall (habilite o AzureFirewallApplicationRule).

Se você executar os comandos curl com logs de diagnóstico habilitados, poderá encontrá-los nos logs do firewall.

1. No portal do Azure, navegue até o seu firewall.

2. Na navegação à esquerda, selecione Logs.

3. Feche a mensagem de boas-vindas selecionando X.

4. Em todas as consultas, selecione Logs de firewall>Dados do log de regra de aplicativo.

5. Clique em Executar. Você pode ver esses dois logs de acesso no resultado da consulta.

   

Mais recursos

Monitorar os logs e as métricas do Firewall do Azure.

Que nome é dado a um dispositivo que controla ou filtra o tráfego que entra ou sai da rede?

São responsáveis por controlar e filtrar o tráfego de acesso ou saída de pacotes IP's?

Qual é a função de um firewall?

Qual firewall filtra o tráfego de acordo com o aplicativo programa ou serviço?