Ce billet de blog a été coédité par Yair Tor, Principal Program Manager, Azure Networking.

En novembre dernier, nous avons introduit la préversion de Microsoft Azure Firewall Manager pour la stratégie de Pare-feu Azure et la gestion des itinéraires dans des hubs virtuels sécurisés. Cela incluait également l’intégration avec des partenaires dans le domaine de la sécurité en tant que service : Zscaler, iboss et bientôt Check Point. Ces partenaires prennent en charge les scénarios de trafic de branche vers Internet et de réseau virtuel vers Internet.

Aujourd’hui, nous enrichissons la préversion d’Azure Firewall Manager qui inclut à présent le déploiement automatique et la gestion centralisée des stratégies de sécurité pour le Pare-feu Azure dans les réseaux virtuels de hubs.

Azure Firewall Manager (en préversion) est un service de gestion de la sécurité du réseau qui fournit une gestion centralisée des stratégie de sécurité et des itinéraires pour les périmètres de sécurité basés sur le cloud. Cela permet aux équipes informatiques des entreprise de définir de manière centralisée des règles au niveau du réseau et des applications pour le filtrage du trafic sur plusieurs instances de Pare-feu Azure qui s’étendent sur plusieurs régions Azure et abonnements dans des architectures hub-and-spoke pour la protection et la gouvernance du trafic. De plus, il offre à DevOps une meilleure agilité avec des stratégies de sécurité de pare-feu local dérivées qui sont implémentées dans l’ensemble des organisations.

Pour plus d’informations, consultez la documentation sur Azure Firewall Manager.

Figure 1 – Page de prise en main d’Azure Firewall Manager

 

Réseaux virtuels de hub et hubs virtuels sécurisés

Azure Firewall Manager peut assurer la gestion de la sécurité pour deux types d’architecture réseau :

•  Hub virtuel sécurisé : un hub Azure Virtual WAN est une ressource managée par Microsoft qui vous permet de créer facilement des architectures « Hub-and-Spoke ». Lorsque des stratégies de sécurité et de routage sont associées à un tel hub, on parle de hub virtuel sécurisé.

•  Réseau virtuel de hub : il s’agit d’un réseau virtuel Azure standard que vous créez et gérez vous-même. Lorsque des stratégies de sécurité sont associées à un tel hub, on parle de réseau virtuel de hub. Pour l’instant, seule la stratégie de Pare-feu Azure est prise en charge. Vous pouvez homologuer des réseaux virtuels de type spoke qui contiennent vos serveurs et services de charge de travail. Il est également possible de gérer des pare-feu dans des réseaux virtuels autonomes qui ne sont appairés à aucun spoke.

L’utilisation d’un réseau virtuel de hub ou d’un hub virtuel sécurisé dépend de votre scénario :

•  Réseau virtuel de hub : les réseaux virtuels de hub sont probablement le bon choix si votre architecture réseau est basée uniquement sur des réseaux virtuels, nécessite plusieurs hubs par région ou n’utilise pas du tout l’approche Hub-and-spoke.

•  Hubs virtuels sécurisés : les hubs virtuels sécurisés peuvent mieux répondre à vos besoins si vous avez besoin de gérer les stratégies de routage et de sécurité sur de nombreux hubs sécurisés distribués à l’échelle mondiale. Les hubs virtuels sécurisés proposent une connectivité VPN à grande échelle, une prise en charge SDWAN et une intégration à des partenaires proposant des solutions de sécurité en tant que service. Vous pouvez utiliser Azure pour sécuriser votre périphérie Internet pour les ressources locales et cloud.

Le tableau de comparaison suivant de la figure 2 peut vous aider à prendre une décision éclairée :

 

	Réseau virtuel Hub	Hub virtuel sécurisé
Ressource sous-jacente	Réseau virtuel	Hub Virtual WAN
Hub-and-Spoke	Utilisation de l’appairage de réseaux virtuels	Automatisation à l’aide d’une connexion à un réseau virtuel de hub
Connectivité locale	Passerelle VPN jusqu’à 10 Gbits/s et 30 connexions S2S ; ExpressRoute	Passerelle VPN plus scalable jusqu’à 20 Gbits/s et 1 000 connexions S2S ; ExpressRoute
Connectivité de branche automatisée à l’aide de SDWAN	Non prise en charge	Prise en charge
Hubs par région	Plusieurs réseaux virtuels par région	Un seul hub virtuel par région. Plusieurs hubs possibles avec plusieurs WAN virtuels
Pare-feu Azure – Plusieurs adresses IP publiques	Fourni par le client	Généré automatiquement (les détails seront disponibles lors de la mise à disponibilité générale)
Zones de disponibilité du Pare-feu Azure	Prise en charge	Non disponible en préversion (les détails seront disponibles lors de la mise à disponibilité générale)
Sécurité Internet avancée avec des partenaires dans le domaine de la sécurité en tant que service	Connectivité VPN établie et gérée par le client au service partenaire choisi	Automatisé via le flux de partenaire de sécurité de confiance et l’expérience de gestion des partenaires
Gestion centralisée des itinéraires pour attirer le trafic vers le hub	Itinéraires définis par l’utilisateur ; feuille de route : Automatisation d’itinéraires par défaut via le routage défini par l’utilisateur pour les spokes	Pris en charge avec BGP
Pare-feu d’applications web sur Application Gateway	Pris en charge dans un réseau virtuel	Feuille de route : peut être utilisé dans un spoke
Appliance virtuelle réseau	Pris en charge dans un réseau virtuel	Feuille de route : peut être utilisé dans un spoke

Figure 2 - Réseaux virtuels de hub et hubs virtuels sécurisés

Stratégie de pare-feu

La stratégie de pare-feu est une ressource Azure qui contient des collections de règles de traduction d’adresses réseau (NAT), de réseau et d’application, ainsi que des paramètres Threat Intelligence. Il s’agit d’une ressource globale qui peut être utilisée sur plusieurs instances du Pare-feu Azure dans des hubs virtuels sécurisés et des réseaux virtuels de hubs. De nouvelles stratégies peuvent être créées à partir de zéro ou héritées de stratégies existantes. L’héritage permet à DevOps de créer des stratégies de pare-feu locales en plus de la stratégie de base de l’organisation. Les stratégies fonctionnent dans l’ensemble des régions et des abonnements.

Azure Firewall Manager orchestre la création et l’association de stratégies de pare-feu. Toutefois, une stratégie peut également être créée et gérée par le biais de l’API REST, de modèles, d’Azure PowerShell et de l’interface CLI.

Une fois qu’une stratégie est créée, elle peut être associée à un pare-feu dans un hub WAN virtuel (également appelé hub virtuel sécurisé) ou à un pare-feu dans un réseau virtuel (également appelé réseau virtuel de hub).

Les stratégies de pare-feu sont facturées en fonction des associations de pare-feu. Une stratégie avec zéro ou une association de pare-feu est gratuite. Une stratégie avec plusieurs associations de pare-feu est facturée à un taux fixe.

Pour plus d’informations, consultez la tarification Azure Firewall Manager.

Le tableau suivant compare les nouvelles stratégies de pare-feu avec les règles de pare-feu existantes :

	Stratégie	Règles
Contient	Règles de traduction d’adresses réseau (NAT), de réseau et d’application, ainsi que paramètres Threat Intelligence	Règles de traduction d’adresses réseau (NAT), de réseau et d’application
Protège	Hubs virtuels et réseaux virtuels	Réseaux virtuels uniquement
Utilisation du portail	Gestion centralisée à l’aide de Firewall Manager	Expérience de pare-feu autonome
Prise en charge de plusieurs pare-feu	La stratégie de pare-feu est une ressource distincte qui peut être utilisée sur différents pare-feu	Exporter et importer manuellement des règles ou utiliser des solutions de gestion tierces
Tarification	Facturation en fonction des associations de pare-feu. Voir la tarification	Gratuit
Mécanismes de déploiement pris en charge	Portail, API REST, modèles, PowerShell et CLI	Portail, API REST, modèles, PowerShell et CLI
État de disponibilité	Aperçu	Disponibilité générale

Figure 3 - Stratégie de pare-feu et règles de pare-feu

Prochaines étapes

Pour plus d’informations sur les sujets abordés ici, consultez les billets de blog, la documentation et les vidéos ci-dessous :

•  Documentation Azure Firewall Manager
•  Tarification Azure Firewall Manager

Partenaires pour la gestion centralisée du Pare-feu Azure :

• AlgoSec CloudFlow
• Barracuda Cloud Security Guardian, maintenant mis à la disposition générale dans la Place de marché Azure
• Tufin SecureCloud