Virtual WAN

Ce billet de blog a été coédité par Yair Tor, Principal Program Manager, Azure Networking.

En novembre dernier, nous avons introduit la préversion de Microsoft Azure Firewall Manager pour la stratégie de Pare-feu Azure et la gestion des itinéraires dans des hubs virtuels sécurisés. Cela incluait également l’intégration avec des partenaires dans le domaine de la sécurité en tant que service : Zscaler, iboss et bientôt Check Point. Ces partenaires prennent en charge les scénarios de trafic de branche vers Internet et de réseau virtuel vers Internet.

Aujourd’hui, nous enrichissons la préversion d’Azure Firewall Manager qui inclut à présent le déploiement automatique et la gestion centralisée des stratégies de sécurité pour le Pare-feu Azure dans les réseaux virtuels de hubs.

Azure Firewall Manager (en préversion) est un service de gestion de la sécurité du réseau qui fournit une gestion centralisée des stratégie de sécurité et des itinéraires pour les périmètres de sécurité basés sur le cloud. Cela permet aux équipes informatiques des entreprise de définir de manière centralisée des règles au niveau du réseau et des applications pour le filtrage du trafic sur plusieurs instances de Pare-feu Azure qui s’étendent sur plusieurs régions Azure et abonnements dans des architectures hub-and-spoke pour la protection et la gouvernance du trafic. De plus, il offre à DevOps une meilleure agilité avec des stratégies de sécurité de pare-feu local dérivées qui sont implémentées dans l’ensemble des organisations.

Pour plus d’informations, consultez la documentation sur Azure Firewall Manager.

Page de prise en main d’Azure Firewall Manager

Figure 1 – Page de prise en main d’Azure Firewall Manager

 

Réseaux virtuels de hub et hubs virtuels sécurisés

Azure Firewall Manager peut assurer la gestion de la sécurité pour deux types d’architecture réseau :

L’utilisation d’un réseau virtuel de hub ou d’un hub virtuel sécurisé dépend de votre scénario :

Le tableau de comparaison suivant de la figure 2 peut vous aider à prendre une décision éclairée :

 

  Réseau virtuel Hub Hub virtuel sécurisé
Ressource sous-jacente Réseau virtuel Hub Virtual WAN
Hub-and-Spoke Utilisation de l’appairage de réseaux virtuels Automatisation à l’aide d’une connexion à un réseau virtuel de hub
Connectivité locale

Passerelle VPN jusqu’à 10 Gbits/s et 30 connexions S2S ; ExpressRoute

Passerelle VPN plus scalable jusqu’à 20 Gbits/s et 1 000 connexions S2S ; ExpressRoute
Connectivité de branche automatisée à l’aide de SDWAN Non prise en charge Prise en charge
Hubs par région Plusieurs réseaux virtuels par région

Un seul hub virtuel par région. Plusieurs hubs possibles avec plusieurs WAN virtuels
Pare-feu Azure – Plusieurs adresses IP publiques Fourni par le client Généré automatiquement (les détails seront disponibles lors de la mise à disponibilité générale)
Zones de disponibilité du Pare-feu Azure Prise en charge Non disponible en préversion (les détails seront disponibles lors de la mise à disponibilité générale) 

Sécurité Internet avancée avec des partenaires dans le domaine de la sécurité en tant que service

Connectivité VPN établie et gérée par le client au service partenaire choisi

Automatisé via le flux de partenaire de sécurité de confiance et l’expérience de gestion des partenaires

Gestion centralisée des itinéraires pour attirer le trafic vers le hub

Itinéraires définis par l’utilisateur ; feuille de route : Automatisation d’itinéraires par défaut via le routage défini par l’utilisateur pour les spokes

 Pris en charge avec BGP
Pare-feu d’applications web sur Application Gateway Pris en charge dans un réseau virtuel Feuille de route : peut être utilisé dans un spoke
Appliance virtuelle réseau Pris en charge dans un réseau virtuel Feuille de route : peut être utilisé dans un spoke

Figure 2 - Réseaux virtuels de hub et hubs virtuels sécurisés

Stratégie de pare-feu

La stratégie de pare-feu est une ressource Azure qui contient des collections de règles de traduction d’adresses réseau (NAT), de réseau et d’application, ainsi que des paramètres Threat Intelligence. Il s’agit d’une ressource globale qui peut être utilisée sur plusieurs instances du Pare-feu Azure dans des hubs virtuels sécurisés et des réseaux virtuels de hubs. De nouvelles stratégies peuvent être créées à partir de zéro ou héritées de stratégies existantes. L’héritage permet à DevOps de créer des stratégies de pare-feu locales en plus de la stratégie de base de l’organisation. Les stratégies fonctionnent dans l’ensemble des régions et des abonnements.

Azure Firewall Manager orchestre la création et l’association de stratégies de pare-feu. Toutefois, une stratégie peut également être créée et gérée par le biais de l’API REST, de modèles, d’Azure PowerShell et de l’interface CLI.

Une fois qu’une stratégie est créée, elle peut être associée à un pare-feu dans un hub WAN virtuel (également appelé hub virtuel sécurisé) ou à un pare-feu dans un réseau virtuel (également appelé réseau virtuel de hub).

Les stratégies de pare-feu sont facturées en fonction des associations de pare-feu. Une stratégie avec zéro ou une association de pare-feu est gratuite. Une stratégie avec plusieurs associations de pare-feu est facturée à un taux fixe.

Pour plus d’informations, consultez la tarification Azure Firewall Manager.

Le tableau suivant compare les nouvelles stratégies de pare-feu avec les règles de pare-feu existantes :

 

Stratégie

Règles

Contient

Règles de traduction d’adresses réseau (NAT), de réseau et d’application, ainsi que paramètres Threat Intelligence

Règles de traduction d’adresses réseau (NAT), de réseau et d’application

Protège

Hubs virtuels et réseaux virtuels

Réseaux virtuels uniquement

Utilisation du portail

Gestion centralisée à l’aide de Firewall Manager

Expérience de pare-feu autonome

Prise en charge de plusieurs pare-feu

La stratégie de pare-feu est une ressource distincte qui peut être utilisée sur différents pare-feu

Exporter et importer manuellement des règles ou utiliser des solutions de gestion tierces

Tarification

Facturation en fonction des associations de pare-feu. Voir la tarification

Gratuit

Mécanismes de déploiement pris en charge

Portail, API REST, modèles, PowerShell et CLI

Portail, API REST, modèles, PowerShell et CLI

État de disponibilité

Aperçu

Disponibilité générale

Figure 3 - Stratégie de pare-feu et règles de pare-feu

Prochaines étapes

Pour plus d’informations sur les sujets abordés ici, consultez les billets de blog, la documentation et les vidéos ci-dessous :

Partenaires pour la gestion centralisée du Pare-feu Azure :