Azure Firewall和Appliation Gateway實現雙重防護的方法

Azure firewall簡介

Azure firewall就是Azure 防火墻，是托管的基于云的網絡安全服務，可保護 Azure 虛擬網絡資源。 它是一個服務形式的完全有狀態防火墻，具有內置的高可用性和不受限制的云可伸縮性。可以跨訂閱和虛擬網絡集中創建、實施和記錄應用程序與網絡連接策略。 Azure 防火墻對虛擬網絡資源使用靜態公共 IP 地址，使外部防火墻能夠識別來自你的虛擬網絡的流量。 該服務與用于日志記錄和分析的 Azure Monitor 完全集成。

Application Gateway簡介

Application Gateway，提供OSI Layer 7的負載均衡器。Application Gateway類似反向代理服務，把客戶端請求發送到后端的服務器。

Application Gateway的特性：

1.Web Application Firewall (預覽)

Web Application Firewall (WAF)，可以保護Web應用程序面授常見的Web攻擊，比如SQL注入，跨站點腳本攻擊和會話劫持

2.HTTP負載均衡

提供7層負載均衡

3.基于Cookie的會話保持

當我們希望將用戶會話保持在同一個Azure后端服務器上，這個功能就非常有用

4.Secure Socket Layer(SSL) Offload

如果我們不使用SSL Offload，SSL加密/解密是最消耗服務器資源的應用，從HTTP到HTTPS部署后，很可能發現服務器的性能和處理能力大幅下降。

當我們使用SSL Offload的時候，Internet用戶訪問Azure Application Gateway的流量是HTTPS加密的。

5.端到端的SSL加密

6.基于URL的路由

7.多站點路由

8.支持Websocket

9.健康偵測

10.支持高級診斷功能

整體的架構就是Internet->Azure WAF->Azure Firewall->WEB

首先來建一個Azure的waf，并配置好規則，我們只有一個簡單的http listener

在HTTP這里，我們將端口設置為100，這是為了區分其他應用

要注意的是這個WAF的backend，這里后端池因為沒辦法直接添加firewall，所以指定的是firewall的公網IP

接下來，需要在Azure firewall上配置好NAT的規則，注意我們這里配置的端口之所以是100，是因為前端Azure WAF會把收到的請求轉到100端口，因此在FW這里我們就需要為100的端口來做NAT，但是NAT之后還是會轉到web服務器的80端口，所以這個過程對于應用來說是透明的，也不需要修改應用的配置

接下來，可以在app gw里看到后端池的狀態是healthy的

同時我們訪問的時候也能看到確實是可以看到正確結果的

這個架構的好處就在于可以同時利用Azure WAF和firewall的功能，在不同層面，同時保護安全