Tutoriel : déployer un pare-feu avec Azure DDoS Protection

Cet article vous permet de créer un Pare-feu Azure avec un réseau virtuel protégé contre les attaques DDoS. Azure DDoS Protection fournit des fonctionnalités d’atténuation DDoS améliorées telles que le réglage adaptatif, les notifications d’alerte d’attaque et la surveillance pour protéger votre pare-feu contre les attaques DDoS à grande échelle.

Pour ce tutoriel, vous devez créer un seul réseau virtuel simplifié avec deux sous-réseaux pour un déploiement facile. La Protection réseau Azure DDoS Protection est activée pour le réseau virtuel.

• AzureFirewallSubnet : le pare-feu est dans ce sous-réseau.
• Workload-SN : le serveur de la charge de travail est dans ce sous-réseau. Le trafic réseau de ce sous-réseau traverse le pare-feu.

Pour les déploiements de production, un modèle Hub and Spoke, dans lequel le pare-feu est dans son propre réseau virtuel, est recommandé. Les serveurs de la charge de travail se trouvent dans des réseaux virtuels appairés dans la même région avec un ou plusieurs sous-réseaux.

Dans ce tutoriel, vous allez apprendre à :

Si vous préférez, vous pouvez suivre cette procédure en utilisant Azure PowerShell.

Prérequis

Si vous n’avez pas d’abonnement Azure, créez un compte gratuit avant de commencer.

Configurer le réseau

Tout d’abord, créez un groupe de ressources qui contiendra les ressources nécessaires pour déployer le pare-feu. Ensuite, créez un réseau virtuel, des sous-réseaux et un serveur de test.

Créer un groupe de ressources

Le groupe de ressources contient toutes les ressources utilisées dans ce didacticiel.

1. Connectez-vous au portail Azure.

2. Dans le menu du Portail Azure, sélectionnez Groupes de ressources, ou recherchez et sélectionnez Groupes de ressources dans n’importe quelle page, puis sélectionnez Ajouter. Entrez ou sélectionnez les valeurs suivantes :

   Paramètre	Valeur
   Abonnement	Sélectionnez votre abonnement Azure.
   Resource group	Entrez Test-FW-RG.
   Région	Sélectionnez une région. Toutes les autres ressources que vous créez doivent se trouver dans la même région.

3. Sélectionnez Revoir + créer.

4. Sélectionnez Create (Créer).

Créer un plan de protection DDoS

1. Dans la zone de recherche en haut du portail, entrez Protection DDoS. Sélectionnez Plan de protection DDoS dans les résultats de la recherche, puis + Créer.

2. Sous l’onglet Informations de base de la page Créer un plan de protection DDoS, entrez ou sélectionnez les informations suivantes :

   Paramètre	Valeur
   Détails du projet
   Abonnement	Sélectionnez votre abonnement Azure.
   Resource group	Sélectionnez Test-FW-RG.
   Détails de l’instance
   Nom	Entrez myDDoSProtectionPlan.
   Région	Sélectionnez la région.

3. Sélectionnez Vérifier + créer, puis créer pour déployer le plan de protection DDoS.

Créer un réseau virtuel

Ce réseau virtuel aura deux sous-réseaux.

1. Dans le menu du Portail Azure ou dans la page Accueil, sélectionnez Créer une ressource.

2. Sélectionnez Mise en réseau.

3. Recherchez Réseau virtuel, puis sélectionnez-le.

4. Sélectionnez Créer,puis entrez ou sélectionnez les valeurs suivantes :

   Paramètre	Valeur
   Abonnement	Sélectionnez votre abonnement Azure.
   Resource group	Sélectionnez Test-FW-RG.
   Nom	Entrez Test-FW-VN.
   Région	Sélectionnez le même emplacement que celui utilisé précédemment.

5. Sélectionnez Suivant : adresses IP.

6. Pour l’Espace d’adressage IPv4, acceptez la valeur par défaut 10.1.0.0/16.

7. Sous Sous-réseau, sélectionnez Par défaut.

8. Changez le nom du sous-réseau en le remplaçant par AzureFirewallSubnet. Le pare-feu se trouvera dans ce sous-réseau et le nom du sous-réseau doit être AzureFirewallSubnet.

9. Pour la Plage d’adresses, tapez 10.1.1.0/26.

10. Sélectionnez Enregistrer.

    Créez ensuite un sous-réseau pour le serveur de la charge de travail.

11. Sélectionnez Ajouter un sous-réseau.

12. Pour Nom du sous-réseau, entrez Workload-SN.

13. Pour la Plage d’adresses de sous-réseau, tapez 10.1.2.0/24.

14. Sélectionnez Ajouter.

15. Sélectionnez Suivant : Sécurité.

16. Dans DDoS Network Protection, sélectionnez Activer.

17. Sélectionnez myDDoSProtectionPlan dans le Plan de protection DDoS.

18. Sélectionnez Revoir + créer.

19. Sélectionnez Create (Créer).

Création d'une machine virtuelle

À présent, créez la machine virtuelle de charge de travail et placez-la dans le sous-réseau Workload-SN.

1. Dans le menu du Portail Azure ou dans la page Accueil, sélectionnez Créer une ressource.

2. Sélectionnez Windows Server 2019 Datacenter.

3. Entrez ou sélectionnez ces valeurs pour la machine virtuelle :

   Paramètre	Valeur
   Abonnement	Sélectionnez votre abonnement Azure.
   Resource group	Sélectionnez Test-FW-RG.
   Nom de la machine virtuelle	Entrez Srv-Work.
   Région	Sélectionnez le même emplacement que celui utilisé précédemment.
   Nom d’utilisateur	Entrez un nom d’utilisateur.
   Mot de passe	Entrez un mot de passe.

4. Sous Règles des ports d’entrée, pour Ports d’entrée publics, sélectionnez Aucune.

5. Acceptez les autres valeurs par défaut, puis sélectionnez Suivant : Disques.

6. Acceptez les disques par défaut, puis sélectionnez Suivant : Mise en réseau.

7. Assurez-vous que Test-FW-VN est sélectionné pour le réseau virtuel et que le sous-réseau est Workload-SN.

8. Pour Adresse IP publique, sélectionnez Aucune.

9. Acceptez les autres valeurs par défaut, puis sélectionnez Suivant : Gestion.

10. Sélectionnez Désactiver pour désactiver les diagnostics de démarrage. Acceptez les autres valeurs par défaut, puis sélectionnez Vérifier + créer.

11. Vérifiez les paramètres sur la page de récapitulatif, puis sélectionnez Créer.

12. Une fois le déploiement terminé, sélectionnez la ressource Srv-Work et notez l’adresse IP privée pour l’utiliser ultérieurement.

Déployer le pare-feu et la stratégie

Déployez le pare-feu dans le réseau virtuel.

1. Dans le menu du Portail Azure ou dans la page Accueil, sélectionnez Créer une ressource.

2. Tapez pare-feu dans la zone de recherche, puis appuyez sur Entrée.

3. Sélectionnez Pare-feu, puis Créer.

4. Sur la page Créer un pare-feu, utilisez le tableau suivant pour configurer le pare-feu :

   Paramètre	Valeur
   Abonnement	Sélectionnez votre abonnement Azure.
   Resource group	Sélectionnez Test-FW-RG.
   Nom	Entrez Test-FW01.
   Région	Sélectionnez le même emplacement que celui utilisé précédemment.
   Gestion de pare-feu	Sélectionnez Utiliser une stratégie de pare-feu pour gérer ce pare-feu.
   Stratégie de pare-feu	Sélectionnez Ajouter un nouveau, puis entrez fw-test-pol. Sélectionnez la même région que celle utilisée précédemment.
   Choisir un réseau virtuel	Sélectionnez Utiliser l’existant, puis Test-FW-VN.
   Adresse IP publique	Sélectionnez Ajouter nouveau, puis entrez fw-pip pour le nom.

5. Acceptez les autres valeurs par défaut, puis sélectionnez Vérifier + créer.

6. Passez en revue le récapitulatif, puis sélectionnez Créer pour créer le pare-feu.

   Le déploiement nécessite quelques minutes.

7. Une fois le déploiement terminé, accédez au groupe de ressources Test-FW-RG, puis sélectionnez le pare-feu Test-FW01.

8. Notez les adresses IP privée et publique du pare-feu. Vous les utiliserez plus tard.

Créer un itinéraire par défaut

Pour le sous-réseau Workload-SN, configurez l’itinéraire sortant par défaut pour qu’il traverse le pare-feu.

1. Dans le menu du Portail Azure, sélectionnez Tous les services ou recherchez et sélectionnez Tous les services dans n’importe quelle page.

2. Sous Mise en réseau, sélectionnez Tables d’itinéraires.

3. Sélectionnez Créer,puis entrez ou sélectionnez les valeurs suivantes :

   Paramètre	Valeur
   Abonnement	Sélectionnez votre abonnement Azure.
   Resource group	Sélectionnez Test-FW-RG.
   Région	Sélectionnez le même emplacement que celui utilisé précédemment.
   Name	Entrez l’itinéraire du pare-feu.

4. Sélectionnez Revoir + créer.

5. Sélectionnez Create (Créer).

Une fois le déploiement terminé, sélectionnez Accéder à la ressource.

1. Sur la page de Firewall-route, sélectionnez Sous-réseaux, puis sélectionnez Associer.
2. Sélectionnez Réseau virtuel>Test-FW-VN.
3. Pour Sous-réseau, sélectionnez Workload-SN. Veillez à ne sélectionner que le sous-réseau Workload-SN pour cette route, sinon votre pare-feu ne fonctionnera pas correctement.
4. Sélectionnez OK.
5. Sélectionnez Itinéraires, puis Ajouter.
6. Pour Nom de l’itinéraire, entrez fw-dg.
7. Pour Préfixe d’adresse, entrez 0.0.0.0/0.
8. Pour Type de tronçon suivant, sélectionnez Appliance virtuelle. Le Pare-feu Azure est en réalité un service managé, mais l’appliance virtuelle fonctionne dans ce cas.
9. Pour Adresse du tronçon suivant, entrez l’adresse IP privée du pare-feu que vous avez notée précédemment.
10. Sélectionnez OK.

Configurer une règle d’application

Il s’agit de la règle d’application qui autorise un accès sortant à www.google.com.

1. Ouvrez le groupe de ressources Test-FW-RG, puis sélectionnez la stratégie de pare-feu fw-test-pol.
2. Sélectionnez Règles d’application.
3. Sélectionnez Ajouter une collection de règles.
4. Pour nom, entrez App-Coll01.
5. Pour Priorité, entrez 200.
6. Pour Action de collection de règles, sélectionnez Autoriser.
7. Sous Règles, dans Nom, entrez Allow-Google.
8. Pour Type de source, sélectionnez Adresse IP.
9. Pour Source, entrez 10.0.2.0/24.
10. Pour Protocol:port, entrez http, https.
11. Pour Type de destination, sélectionnez FQDN.
12. Pour Destination, entrez www.google.com
13. Sélectionnez Ajouter.

Le Pare-feu Azure comprend un regroupement de règles intégré pour les noms de domaine complets d’infrastructure qui sont autorisés par défaut. Ces noms de domaine complets sont spécifiques à la plateforme et ne peuvent pas être utilisés à d’autres fins. Pour plus d’informations, consultez Noms de domaine complets d’infrastructure.

Configurer une règle de réseau

Il s’agit de la règle de réseau qui autorise un accès sortant à deux adresses IP sur le port 53 (DNS).

1. Sélectionnez Règles de réseau.
2. Sélectionnez Ajouter une collection de règles.
3. Pour nom, entrez Net-Coll01.
4. Pour Priorité, entrez 200.
5. Pour Action de collection de règles, sélectionnez Autoriser.
6. Pour Groupe de collection de règles, sélectionnez DefaultNetworkRuleCollectionGroup.
7. Sous Règles, dans Nom, entrez Allow-DNS.
8. Pour Type de source, sélectionnez Adresse IP.
9. Pour Source, entrez 10.0.2.0/24.
10. Pour Protocole, sélectionnez UDP.
11. Pour Ports de destination, entrez 53.
12. Pour Type de destination, sélectionnez Adresse IP.
13. Pour Destination, entrez 209.244.0.3,209.244.0.4.
    Il s’agit de serveurs DNS publics gérés par CenturyLink.
14. Sélectionnez Ajouter.

Configurer une règle DNAT

Cette règle vous permet de connecter un bureau à distance à la machine virtuelle Srv-Work par le biais du pare-feu.

1. Sélectionnez les règles DNAT.
2. Sélectionnez Ajouter une collection de règles.
3. Pour Nom, entrez rdp.
4. Pour Priorité, entrez 200.
5. Pour Groupe de collection de règles, sélectionnez DefaultDnatRuleCollectionGroup.
6. Sous Règles, dans Nom, entrez rdp-nat.
7. Pour Type de source, sélectionnez Adresse IP.
8. Pour Source, entrez *.
9. Pour Protocole, sélectionnez TCP.
10. Pour Ports de destination, entrez 3389.
11. Pour Type de destination, sélectionnez Adresse IP.
12. Pour Destination, entrez l’adresse IP publique du pare-feu.
13. Pou Adresse traduite, entrez l’adresse IP privée de Srv-work.
14. Pour Port traduit, entrez 3389.
15. Sélectionnez Ajouter.

Modifier les adresses DNS principales et secondaires de l’interface réseau Srv-Work

À des fins de test dans ce tutoriel, configurez les adresses DNS principales et secondaires du serveur. Ceci n’est pas obligatoire pour le pare-feu Azure.

1. Dans le menu du Portail Azure, sélectionnez Groupes de ressources ou recherchez et sélectionnez Groupes de ressources dans n’importe quelle page. Sélectionnez le groupe de ressources Test-FW-RG.
2. Sélectionnez l’interface réseau de la machine virtuelle Srv-Work.
3. SousParamètres, sélectionnez Serveurs DNS.
4. Sous Serveurs DNS, sélectionnez Personnalisé.
5. Saisissez 209.244.0.3 dans la zone de texte Ajouter un serveur DNS, et 209.244.0.4 dans la zone de texte suivante.
6. Sélectionnez Enregistrer.
7. Redémarrez la machine virtuelle Srv-Work.

Tester le pare-feu

Testez maintenant le pare-feu pour vérifier qu’il fonctionne comme prévu.

1. Connectez un Bureau à distance à l’adresse IP publique du pare-feu et connectez-vous à la machine virtuelle Srv-Work.

2. Ouvrez Internet Explorer et accédez à https://www.google.com.

3. Sélectionnez OK>Fermer sur les alertes de sécurité d’Internet Explorer.

   La page d’accueil Google doit s’afficher.

4. Accédez à https://www.microsoft.com.

   Vous devriez être bloqué par le pare-feu.

Maintenant que vous avez vérifié que les règles de pare-feu fonctionnent :

• Vous pouvez accéder au nom de domaine complet autorisé, mais pas à d’autres.
• Vous pouvez résoudre les noms DNS à l’aide du serveur DNS externe configuré.

Nettoyer les ressources

Vous pouvez garder vos ressources de pare-feu pour le prochain didacticiel, ou, si vous n’en avez plus besoin, vous pouvez supprimer le groupe de ressources Test-FW-RG pour supprimer toutes les ressources associées au pare-feu.

Étapes suivantes