Azureの「NSG」と「Azure Firewall」の違いについて

＜目次＞

(１) Azureの「NSG」と「Azure Firewall」の違いについて
　(１-１) Azure Firewallとは？
　(１-２) Azure Firewallの設定内容について
　(１-３) NSGとAzure Firewallの違い（比較表）

(１) Azureの「NSG」と「Azure Firewall」の違いについて

(１-１) Azure Firewallとは？

「仮想ネットワーク（VNet）」の通信を制御する「ネットワークファイアウォール」（仮想ネットワーク単位に適用）です。そのため、制御の内容としては次のような用途になります。

（図１１１）イメージ図

・②サブネット―サブネット間の通信の制御

サブネット間の通信を制御（許可／拒否）する役目を果たします。

（図１１２）イメージ図

 

＞目次にもどる

(１-２) Azure Firewallの設定内容について

●３種類の設定が可能

（表）NATルール、アプリケーションルール、ネットワークルールの違い

	NATルール	ネットワークルール	アプリケーションルール
・保護レイヤー	L3～L4	L3～L4	L7
・送信／受信	受信用	送信用	送信用

以降、それぞれの設定の概要についてご紹介します。

 

●FW機能①：NATルール（L3～L4、受信）

 

「NATルール」は「受信用」のルール（インターネット⇒LAN）をL3～L4レイヤー（IPアドレス＋ポート番号）で設定できます。

 

（表）NATルール

NATルール （優先度：１位）

●特徴 ・受信用 ・L3～L4で動作 （IPアドレス＆ポート番号） ・ネットワークルールより優先される

（例）

下図は「外部（インターネット）」⇒「仮想マシン（LAN内）」へのリモートデスクトップアクセスを許可した例です。

 

（図１２１）

（表）

ソース：　 ↓	「*」	外部（インターネット）
宛先： ↓	「IP=40.81.199.7（パブリック）／ポート3389」	ファイアウォールのIP
変換：	「IP=10.0.0.4（プライベート）／ポート3389」	LAN内の仮想マシンへのRDP（リモデ）

ネットワークルール （優先度：２位）

●特徴 ・送信用 ・L3～L4で動作 （IPアドレス＆ポート番号） ・アプリケーションルールよりも優先される

（例）

下図は「サブネット（LAN内）」⇒「インターネット」へのアクセスの際に、DNSを許可する事でインターネットアクセスで「名前解決」できるようにする例です。

 

（図１２２）

（表）

ソース：　 ↓	「10.0.1.0/24」	LANのサブネット
宛先：	「209.244.3.209」	一般公開のDNSサーバ

（補足）

・ネットワークルールの指定方法は下記３タイプあります。

IPアドレス　⇒宛先にIPを指定

サービスタグ　⇒宛先にAzureのサービスを指定（サービスタグで纏めて登録できる）

FQDNs　⇒宛先にFQDNを指定（Webサイトのアドレスなど）

 

●FW機能③：アプリケーションルール（L7、送信）

 

「アプリケーションルール」は「送信用」のルール（LAN⇒インターネット）をL7レイヤー（FQDN）で設定できます（WebサイトのURL等を一括で設定できるイメージです）。

 

（表）アプリケーションルール

アプリケーションルール （優先度：３位）

●特徴 ・送信用 ・L7で動作 （主にHTTP、HTTPS） ●備考 ・L7（HTTP、HTTPS）の「受信」を制限したい場合は、別途WAF（Web Application Firewall）の使用が必要

（例）

下図は「サブネット（LAN内）」⇒「インターネット」へのアクセスの際に、特定のWebサイト（rainbow-engine.com）を許可する事でWebサイトにアクセスできるようにする例です。

 

（図１２３）

＞目次にもどる

(１-３) NSGとAzure Firewallの違い（比較表）

両者の大きな違いは「保護範囲」と「保護可能なレイヤー」です。NSGは「パーソナルファイアウォール」であり、「仮想マシン（のNIC）」や「サブネット」単位に割り当てるのに対して、Azure Firewallは「ネットワークファイアウォール」のため、「仮想ネットワーク（VNet）」単位に割り当てます。

＞目次にもどる