Bagikan melalui

Merelokasi Azure Firewall ke wilayah lain

  • Artikel

Artikel ini memperlihatkan kepada Anda cara merelokasi Azure Firewall yang melindungi Azure Virtual Network.

Prasyarat

  • Kami sangat menyarankan Anda menggunakan SKU Premium. Jika Anda menggunakan SKU Standar, pertimbangkan untuk bermigrasi dari SKU Standar Azure Firewall yang ada ke SKU Premium sebelum Anda direlokasi.

  • Informasi berikut harus dikumpulkan untuk merencanakan dan menjalankan relokasi Azure Firewall dengan benar:

    • Model penyebaran.Aturan Firewall Klasik atau kebijakan Firewall.
    • Nama kebijakan firewall. (Jika Model penyebaran kebijakan firewall digunakan).
    • Pengaturan diagnostik di tingkat instans firewall. (Jika ruang kerja Analitik Log digunakan).
    • Konfigurasi Inspeksi TLS (Keamanan Lapisan Transportasi).: (Jika Azure Key Vault, Sertifikat, dan Identitas Terkelola digunakan.)
    • Kontrol IP publik. Menilai bahwa identitas eksternal apa pun yang mengandalkan IP publik Azure Firewall tetap tetap dan tepercaya.

  • Tingkat Azure Firewall Standard dan Premium memiliki dependensi berikut yang mungkin perlu Anda sebarkan di wilayah target:

  • Jika Anda menggunakan fitur Inspeksi TLS tingkat Azure Firewall Premium, dependensi berikut juga perlu disebarkan di wilayah target:

Waktu henti

Untuk memahami kemungkinan waktu henti yang terlibat, lihat Cloud Adoption Framework untuk Azure: Pilih metode relokasi.

Siapkan

Untuk mempersiapkan relokasi, Anda harus terlebih dahulu mengekspor dan memodifikasi templat dari wilayah sumber. Untuk melihat contoh templat ARM untuk Azure Firewall, lihat meninjau templat.

Ekspor template

  1. Masuk ke portal Azure.

  2. Pilih Semua sumber daya lalu pilih sumber daya Azure Firewall Anda.

  3. Pada halaman Azure Firewall , pilih Ekspor templat di bawah Automation di menu sebelah kiri.

  4. Pilih Unduh di halaman Ekspor templat.

  5. Temukan file .zip yang telah Anda unduh dari portal, dan unzip file tersebut ke folder pilihan Anda.

    File zip ini berisi file .json yang menyertakan templat dan skrip untuk menyebarkan templat.

Mengubah template

Di bagian ini, Anda mempelajari cara memodifikasi templat yang Anda buat di bagian sebelumnya.

Jika Anda menjalankan aturan firewall klasik tanpa kebijakan Firewall, migrasikan ke kebijakan Firewall sebelum melanjutkan langkah-langkah di bagian ini. Untuk mempelajari cara bermigrasi dari aturan firewall klasik ke kebijakan Firewall, lihat Memigrasikan konfigurasi Azure Firewall ke kebijakan Azure Firewall menggunakan PowerShell.

  1. Masuk ke portal Azure.

  2. Jika Anda menggunakan SKU Premium dengan Inspeksi TLS diaktifkan,

    1. Relokasi brankas kunci yang digunakan untuk inspeksi TLS ke wilayah target baru. Kemudian, ikuti prosedur untuk memindahkan sertifikat atau menghasilkan sertifikat baru untuk inspeksi TLS ke brankas kunci baru di wilayah target.
    2. Relokasi identitas terkelola ke wilayah target baru. Menetapkan ulang peran yang sesuai untuk brankas kunci di wilayah target dan langganan.

  3. Di portal Microsoft Azure, pilih Buat sumber daya.

  4. Di Cari Marketplace, ketik template deployment, lalu tekan Enter.

  5. Pilih Penyebaran templat dan pilih Buat.

  6. Pilih Buat template Anda sendiri di editor.

  7. Pilih Muat file, lalu ikuti instruksi untuk memuat template.json file yang Anda unduh di bagian sebelumnya

  8. template.json Dalam file, ganti:

    • firewallName dengan nilai default nama Azure Firewall Anda.
    • azureFirewallPublicIpId dengan ID alamat IP publik Anda di wilayah target.
    • virtualNetworkName dengan nama jaringan virtual di wilayah target.
    • firewallPolicy.id dengan ID kebijakan Anda.

  9. Buat kebijakan firewall baru menggunakan konfigurasi wilayah sumber dan mencerminkan perubahan yang diperkenalkan oleh wilayah target baru (Rentang Alamat IP, IP Publik, Kumpulan Aturan).

  10. Jika Anda menggunakan SKU Premium dan ingin mengaktifkan Inspeksi TLS, perbarui kebijakan firewall yang baru dibuat dan aktifkan inspeksi TLS dengan mengikuti instruksi di sini.

  11. Tinjau dan perbarui konfigurasi untuk topik di bawah ini untuk mencerminkan perubahan yang diperlukan untuk wilayah target.

    • Grup IP. Untuk menyertakan alamat IP dari wilayah target, jika berbeda dari sumbernya, Grup IP harus ditinjau. Alamat IP yang disertakan dalam grup harus dimodifikasi.
    • Zona. Konfigurasikan Zona ketersediaan (AZ) di wilayah target.
    • Penerowongan Paksa.Pastikan Anda telah merelokasi jaringan virtual dan subnet Manajemen firewall ada sebelum Azure Firewall direlokasi. Perbarui Alamat IP di wilayah target Network Virtual Appliance (NVA) tempat Azure Firewall harus mengalihkan lalu lintas, di Rute yang Ditentukan Pengguna (UDR).
    • DNS. Tinjau Alamat IP untuk Server DNS kustom Anda untuk mencerminkan wilayah target Anda. Jika fitur Proksi DNS diaktifkan, pastikan untuk mengonfigurasi pengaturan server DNS jaringan virtual Anda dan mengatur alamat IP privat Azure Firewall sebagai server DNS Kustom.
    • Rentang IP privat (SNAT). - Jika rentang kustom didefinisikan untuk SNAT, disarankan agar Anda meninjau dan akhirnya menyesuaikan untuk menyertakan ruang alamat wilayah target.
    • Tag. - Verifikasi dan akhirnya perbarui tag apa pun yang mungkin mencerminkan atau merujuk ke lokasi firewall baru.
    • Pengaturan Diagnostik. Saat membuat ulang Azure Firewall di wilayah target, pastikan untuk meninjau Pengaturan Diagnostik dan mengonfigurasinya untuk mencerminkan wilayah target (ruang kerja Analitik Log, akun penyimpanan, Pusat Aktivitas, atau solusi mitra pihak ketiga).

  12. location Edit properti dalam template.json file ke wilayah target (Contoh berikut mengatur wilayah target ke centralus.):

      "resources": [
      {
          "type": "Microsoft.Network/azureFirewalls",
          "apiVersion": "2023-09-01",
          "name": "[parameters('azureFirewalls_fw_name')]",
          "location": "centralus",}]

Untuk menemukan kode lokasi untuk wilayah target Anda, lihat Residensi data di Azure.

  1. Simpan file template.json.

Menyebarkan ulang

Sebarkan templat untuk membuat Azure Firewall baru di wilayah target.

  1. Masukkan atau pilih nilai berikut:

    • Langganan: Pilih langganan Azure.

    • Grup sumber daya: Pilih Buat baru dan beri nama grup sumber daya.

    • Lokasi: Pilih lokasi Azure.

  2. Azure Firewall sekarang disebarkan dengan konfigurasi yang diadopsi untuk mencerminkan perubahan yang diperlukan di wilayah target.

  3. Verifikasi konfigurasi dan fungsionalitas.