Firewall central: políticas y reglas

Azure Firewall deniega todo por defecto y solo deja pasar lo que una regla permite. Las reglas son terminantes: cuando una coincide, el firewall se detiene ahí. Con una política, las reglas se agrupan en colecciones, y estas en grupos. El firewall procesa primero las reglas de traducción de entrada (DNAT), luego las de red y por último las de aplicación, sin importar el número de prioridad del grupo ni de la colección. Dentro de cada tipo, procesa por prioridad de grupo y de colección, de menor a mayor número (100 a 65000).

Eso tiene una consecuencia: una regla de red que permite un puerto a cualquier destino se evalúa antes que una regla de aplicación que niega un sitio por su nombre, y la conexión pasa por la primera sin llegar nunca a la segunda.

Una regla DNAT traduce una dirección y un puerto públicos del firewall hacia una dirección privada de la red. Es la forma de publicar un servicio hacia internet a través del firewall, y por eso es la regla que más cuidado merece: cada una es una puerta de entrada. Una DNAT cuyo origen es «cualquiera» y cuyo puerto es de administración remota deja ese puerto ofrecido a todo internet.

Abre el laboratorio. politica-pol-mch-hub.json trae la política completa, con sus grupos, colecciones y reglas. Busca entre las reglas DNAT.

Los registros del firewall nombran la colección y la regla que decidió cada conexión. Es la evidencia que ata un hecho a una línea de la política. Si la regla que permitió una conexión no es la que el diseño esperaba, el problema está en el orden o en el alcance de las reglas, no en el firewall.

En registros-del-firewall.txt hay una conexión desde la red de ventas hacia un servidor de internet en el puerto 443 que la política de aplicación pretendía controlar. Lee qué regla la permitió.

El destino * en una regla de red significa cualquier dirección. Una regla con ese destino y un puerto o un rango amplio es la que tapa a todas las demás, y es la primera que se revisa al endurecer una política. Hay reglas con destino * legítimas y acotadas por puerto; lo que se cuenta es cuántas hay, para saber cuántas hay que justificar.

Cuenta las reglas de tipo Network cuyo campo destinationAddresses es *. No cuentan las de tipo DNAT ni las de aplicación, y el origen * tampoco.

Una política de firewall puede heredar de otra. La política padre suele guardar lo que debe cumplirse en toda la empresa (por ejemplo, denegar rangos de direcciones reportados) y la hija añade lo propio de cada hub. Los grupos de la política padre siempre tienen precedencia sobre los de la hija, sin importar los números de prioridad que usen.