Tutoriel : Créer une passerelle d’application avec un pare-feu d’applications web à l’aide du portail Azure

Ce tutoriel explique comment utiliser le portail Azure pour créer une passerelle d’application avec un pare-feu d’applications web (WAF). Le WAF utilise des règles OWASP pour protéger votre application. Ces règles incluent la protection contre les attaques telles que l’injection de code SQL, les attaques de script entre sites et les détournements de session. Après avoir créé la passerelle d’application, vous la testez pour vous assurer qu’elle fonctionne correctement. Avec Azure Application Gateway, vous dirigez le trafic web de votre application vers des ressources spécifiques en affectant des écouteurs à des ports, en créant des règles et en ajoutant des ressources à un pool de back-ends. Par souci de simplicité, ce tutoriel utilise une configuration simple avec une adresse IP front-end publique, un écouteur de base pour héberger un site unique sur cette passerelle d’application, deux machines virtuelles Linux utilisées pour le pool back-end et une règle de routage de demande simple.

Dans ce tutoriel, vous allez apprendre à :

Prérequis

Si vous n’avez pas d’abonnement Azure, créez un compte gratuit avant de commencer.

Connexion à Azure

Connectez-vous au portail Azure.

Créer une passerelle Application Gateway

1. Sélectionnez Créer une ressource dans le menu de gauche du portail Azure. La fenêtre Créer une ressource apparaît.

2. Sélectionnez Mise en réseau, puis Application Gateway dans la liste Services Azure populaires.

Onglet Informations de base

1. Sous l’onglet Informations de base, entrez ces valeurs pour les paramètres de passerelle d’application suivants :

   • Groupe de ressources : sélectionnez myResourceGroupAG comme nom de groupe de ressources. Si ce groupe n’existe pas encore, sélectionnez Créer pour le créer.

   • Nom de passerelle d’application : entrez myAppGateway comme nom de passerelle d’application.

   • Niveau : sélectionnez WAF V2.

   • Stratégie WAF : Sélectionnez Créer, entrez un nom pour la nouvelle stratégie, puis sélectionnez OK. Cela crée une stratégie WAF de base avec un ensemble de règles managé de base.

     

2. Azure a besoin d’un réseau virtuel pour communiquer avec les différentes ressources que vous créez. Vous pouvez créer un réseau virtuel ou en utiliser un. Dans cet exemple, vous créez un réseau virtuel en même temps que la passerelle applicative. Les instances Application Gateway sont créées dans des sous-réseaux séparés. Dans cet exemple, vous créez deux sous-réseaux : un pour la passerelle d’application et un autre que vous ajoutez plus tard pour les serveurs principaux.

   Sous Configurer le réseau virtuel, sélectionnez Créer pour créer un réseau virtuel. Dans la fenêtre Créer un réseau virtuel qui s’ouvre, entrez les valeurs suivantes pour créer le réseau virtuel et un sous-réseau :

   • Name : entrez myVNet comme nom de réseau virtuel.

   • Espace d’adressage : acceptez la plage d’adresses 10.0.0.0/16.

   • Nom de sous-réseau (sous-réseau Application Gateway) : la zone Sous-réseaux montre un sous-réseau nommé Par défaut. Remplacez le nom de ce sous-réseau par myAGSubnet et conservez la plage d’adresses IPv4 par défaut 10.0.0.0/24.
     Le sous-réseau de passerelle d’application peut contenir uniquement des passerelles d’application. Aucune autre ressource n’est autorisée.

     Sélectionnez OK pour fermer la fenêtre Créer un réseau virtuel et enregistrez les paramètres du réseau virtuel.

     

3. Sous l’onglet Informations de base, acceptez les valeurs par défaut des autres paramètres, puis sélectionnez Suivant : Serveurs frontaux.

Onglet Frontends

1. Sous l’onglet Front-ends, vérifiez que Type d’adresse IP de front-end est défini sur Publique.
   Vous pouvez configurer l’adresse IP front-end en la définissant sur Publique ou Les deux conformément à votre cas d’usage. Dans cet exemple, vous choisissez une adresse IP front-end publique.

   Remarque

   Pour la référence SKU Application Gateway v2, les types d’adresses IP front-end Publique et Les deux sont pris en charge. La configuration d’adresse IP front-end Privée n’est pas prise en charge.

2. Choisissez Ajouter nouveau pour Adresse IP publique, entrez myAGPublicIPAddress comme nom d’adresse IP publique, puis sélectionnez OK.

   

3. Sélectionnez Suivant : Back-ends.

Onglet Back-ends

Le pool de back-ends est utilisé pour router les demandes vers les serveurs back-end qui les traitent. Les pools de back-ends peuvent être composés de cartes d’interface réseau, de groupes de machines virtuelles identiques, d’adresses IP publiques, d’adresses IP internes, de noms de domaine complets et de serveurs de back-ends multilocataires, comme Azure App Service. Dans cet exemple, vous créez un pool de back-ends vide avec votre passerelle d’application, puis vous ajoutez des cibles de back-end à ce pool.

1. Sous l’onglet Backends, sélectionnez Ajouter un pool de back-ends.

2. Dans la fenêtre Ajouter un pool de back-ends qui s’ouvre, entrez les valeurs suivantes pour créer un pool de back-ends vide :

   • Name : Entrez myBackendPool comme nom du pool de back-ends.
   • Ajouter un pool backend sans cible : Sélectionnez Oui pour créer un pool de back-ends sans cible. Vous ajouterez des cibles de back-end après avoir créé la passerelle d’application.

3. Dans la fenêtre Ajouter un pool de back-ends, sélectionnez Ajouter pour enregistrer la configuration du pool de back-ends et revenir à l’onglet Back-ends.

   

4. Sous l’onglet Back-ends, sélectionnez Suivant : Configuration.

Onglet Configuration

Sous l’onglet Configuration, vous connectez le front-end et le pool de back-end que vous avez créés à l’aide d’une règle d’acheminement.

1. Sélectionnez Ajouter une règle de routage dans la colonne Règles de routage.

2. Dans la fenêtre Ajouter une règle de routage qui s’ouvre, entrez myRoutingRule pour Nom de la règle.

3. Pour Priorité, entrez un numéro de priorité.

4. Une règle de routage requiert un écouteur. Sous l’onglet Écouteur dans la fenêtre Ajouter une règle de routage, entrez les valeurs suivantes pour l’écouteur :

   • Nom de l’écouteur : Entrez myListener comme nom pour l’écouteur.

   • Protocole IP du front-end : sélectionnez IPv4 public pour choisir l’adresse IP publique que vous avez créée pour le front-end.

     Acceptez les valeurs par défaut pour les autres paramètres sous l’onglet Écouteur, puis sélectionnez l’onglet Cibles de back-end pour configurer le reste de la règle de routage.

   

5. Sous l’onglet Cibles de back-end, sélectionnez myBackendPool pour la Cible de back-end.

6. Pour les Paramètres de back-end, sélectionnez Ajouter nouveau pour créer un paramètre de back-end. Ce paramètre détermine le comportement de la règle de routage. Dans la fenêtre Ajouter un paramètre de back-end qui s’ouvre, entrez myBackendSetting pour Nom des paramètres de back-end. Acceptez les valeurs par défaut pour les autres paramètres de la fenêtre, puis sélectionnez Ajouter pour revenir à la fenêtre Ajouter une règle de routage.

   

7. Dans la fenêtre Ajouter une règle de routage, sélectionnez Ajouter pour enregistrer la règle de routage et revenir à l’onglet Configuration.

   

8. Sélectionnez Suivant : Balises, puis sur Suivant : Vérifier + créer.

Onglet Vérifier + créer

Examinez les paramètres sous l’onglet Vérifier + créer, puis sélectionnez Créer pour créer le réseau virtuel, l’adresse IP publique et la passerelle d’application. La création de la passerelle d’application par Azure peut prendre plusieurs minutes.

Patientez jusqu’à ce que le déploiement soit terminé avant de passer à la section suivante.

Ajouter le sous-réseau du serveur principal

1. Ouvrez le réseau virtuel myVNet.
2. Sous Paramètres, sélectionnez Sous-réseaux.
3. Sélectionnez + Sous-réseau.
4. Pour Nom, tapez myBackendSubnet.
5. Pour Adresse de début, tapez 10.0.1.0.
6. Sélectionnez Ajouter pour ajouter le sous-réseau.

Ajouter des cibles de back-end

Dans cet exemple, vous allez utilisez des machines virtuelles comme back-end cible. Vous pouvez utiliser des machines virtuelles existantes ou en créer de nouvelles. Vous créez deux machines virtuelles qu’Azure va utiliser comme serveurs principaux pour la passerelle d’application.

Pour ce faire, vous allez effectuer les opérations suivantes :

1. Créez deux machines virtuelles Linux, myVM et myVM2, à utiliser comme serveurs back-end.
2. Installer NGINX sur les machines virtuelles pour vérifier que la passerelle d’application a bien été créée.
3. Ajoutez les serveurs principaux au pool principal.

Création d'une machine virtuelle

1. Dans le portail Azure, sélectionnez Créer une ressource. La fenêtre Créer une ressource apparaît.

2. Sous Machine virtuelle, sélectionnez Créer.

3. Sous l’onglet De base, entrez ces valeurs pour les paramètres de machine virtuelle suivants :

   • Groupe de ressources : sélectionnez myResourceGroupAG comme nom de groupe de ressources.
   • Nom de la machine virtuelle : entrez myVM comme nom de machine virtuelle.
   • Image : Ubuntu Server 20.04 LTS - Gen2
   • Type d’authentification : Mot de passe
   • Nom d’utilisateur : Entrez un nom d’utilisateur administrateur.
   • Mot de passe : Entrez un mot de passe comme mot de passe d’administrateur.
   • Ports d'entrée publics : sélectionnez Aucun.

4. Acceptez les autres valeurs par défaut, puis sélectionnez Suivant : Disques.

5. Acceptez les valeurs par défaut sous l’onglet Disques, puis sélectionnez Suivant : Mise en réseau.

6. Sous l’onglet Mise en réseau, vérifiez que myVNet est sélectionné comme Réseau virtuel et que Sous-réseau est défini sur myBackendSubnet.

7. Pour Adresse IP publique, sélectionnez Aucune.

8. Acceptez les autres valeurs par défaut, puis sélectionnez Suivant : Gestion.

9. Sélectionnez Suivant : Supervision, puis définissez les Diagnostics de démarrage sur Désactiver. Acceptez les autres valeurs par défaut, puis sélectionnez Vérifier + créer.

10. Sous l’onglet Vérifier + créer, passez en revue les paramètres, corrigez les éventuelles erreurs de validation et sélectionnez Créer.

11. Attendez la fin de la création de la machine virtuelle avant de continuer.

Installer NGINX à des fins de test

Dans cet exemple, vous allez installer NGINX sur les machines virtuelles uniquement pour vérifier si Azure a bien créé la passerelle d’application.

1. Ouvrez un Cloud Shell Bash. Pour ce faire, sélectionnez l’icône Cloud Shell dans la barre de navigation supérieure du portail Azure, puis sélectionnez Bash dans la liste déroulante.

   

2. Vérifiez que votre session Bash est définie pour votre abonnement :

   az account set --subscription "<your subscription name>"

3. Exécutez la commande suivante pour installer NGINX sur la machine virtuelle :

    az vm extension set \
    --publisher Microsoft.Azure.Extensions \
    --version 2.0 \
    --name CustomScript \
    --resource-group myResourceGroupAG \
    --vm-name myVM \
    --settings '{ "fileUris": ["https://raw.githubusercontent.com/Azure/azure-docs-powershell-samples/master/application-gateway/iis/install_nginx.sh"], "commandToExecute": "./install_nginx.sh" }'
   

4. Créez une deuxième machine virtuelle et installez NGINX en suivant les mêmes étapes que vous avez effectuées précédemment. Utilisez myVM2 pour le nom de la machine virtuelle et pour le paramètre --vm-name de la cmdlet.

Ajouter des serveurs principaux pour le pool principal

1. Sélectionnez Toutes les ressources, puis myAppGateway.

2. Sélectionnez Pools principaux dans le menu de gauche.

3. Sélectionnez MyBackendPool.

4. Sous Type de cible, sélectionnez Machine virtuelle dans la liste déroulante.

5. Sous Cible, sélectionnez l’interface réseau associée pour myVM dans la liste déroulante.

6. Répétez l’opération pour myVM2.

   

7. Sélectionnez Enregistrer.

8. Attendez que le déploiement se termine avant de passer à l’étape suivante.

Tester la passerelle d’application

Même si NGINX n’est pas nécessaire pour créer la passerelle d’application, vous l’avez installé pour vérifier qu’Azure avait bien créé la passerelle d’application. Utilisez le service web pour tester la passerelle Application Gateway :

1. Recherchez l’adresse IP publique de la passerelle d’application dans la page Vue d’ensemble correspondante.

   Vous pouvez aussi sélectionner Toutes les ressources, entrer myAGPublicIPAddress dans la zone de recherche, puis la sélectionner dans les résultats de la recherche. Azure affiche l’adresse IP publique dans la page Vue d’ensemble.

2. Copiez l’adresse IP publique, puis collez-la dans la barre d’adresses de votre navigateur.

3. Vérifiez la réponse. Une réponse valide vérifie que la passerelle d’application a bien été créée avec succès et qu’elle est capable de se connecter au back-end.

   

Nettoyer les ressources

Quand vous n’avez plus besoin des ressources que vous avez créées avec la passerelle d’application, supprimez le groupe de ressources. En supprimant le groupe de ressources, vous supprimez aussi la passerelle d’application et toutes ses ressources associées.

Pour supprimer le groupe de ressources :

1. Dans le menu de gauche du portail Azure, sélectionnez Groupes de ressources.
2. Dans la page Groupes de ressources, recherchez myResourceGroupAG dans la liste, puis sélectionnez ce groupe de ressources.
3. Dans la page Groupe de ressources, sélectionnez Supprimer le groupe de ressources.
4. Entrez myResourceGroupAG dans TYPE THE RESOURCE GROUP NAME, puis sélectionnez Supprimer.

Étapes suivantes