Azure CLIでAzure Firewallを作成してみた

AzureCLI でファイアウォールポリシーを利用する AzureFirewall（クラシックではないAzureFirewall）を作成してみました。

事前準備
AzureFirewall を作成する
ファイアウォールポリシーの規則コレクションにルールを追加する
やってみて気づいたこと

事前準備

AzureFirewallを作成するにあたって事前に作成が必要な以下のリソースを作成していきます。
今回は ファイアウォールポリシーを利用した AzureFirewall を作成しますので、ファイアウォールポリシーも事前に作成します。

リソースグループ（ResourceGroup）
仮想ネットワーク（VirtualNetwork）
パブリックIPアドレス（PublicIPAddress）
ファイアウォールポリシー（FirewallPolicy）

既に作成済みなどであればこれらのリソースの作成は不要です。

リソースグループ作成

以下のコマンドで作成します。

az group create --name ＜リソースグループ名＞ --location ＜リージョン＞

・記載例

az group create --name RG-Test-AzureFW --location japaneast

今回は東日本リージョンに作成していきます。

仮想ネットワーク作成

AzureFirewallを作成する場合には、AzureFirewallSubnet という名前のサブネットを作成する必要があり、そのサブネットは /26 のIPアドレスレンジが必要です。

/25などでも作成可能ですが、余計にIPアドレスを利用するためおすすめはしません。
下部の「/25 の AzureFirewallSubnet でも作成は可能」にも試した結果を記載していますので参考にしてください。

以下のコマンドで作成します。

az network vnet create --name ＜仮想ネットワーク名＞ `
 --resource-group ＜リソースグループ名＞ `
 --location ＜リージョン名＞ `
 --address-prefix ＜仮想ネットワークのIPアドレス帯＞ `
 --subnet-name AzureFirewallSubnet `
 --subnet-prefix ＜AzureFW用サブネットのIPアドレス帯（/26）＞

・記載例

az network vnet create --name Vnet-Test `
 --resource-group RG-Test-AzureFW `
 --location japaneast `
 --address-prefix 10.0.0.0/24 `
 --subnet-name AzureFirewallSubnet `
 --subnet-prefix 10.0.0.0/26

上記ではインターフェースとしてPowershellを利用しているので、改行する際には ` を利用していますが、コマンドプロンプトを利用する場合には、^ を利用する必要がありますのでその点は注意してください。

パブリックIPアドレス作成

AzureFirewallを作成する場合には、SKU は Standard にする必要があります。

以下のコマンドで作成します。

az network public-ip create `
    --name ＜パブリックIPアドレス名＞ `
    --resource-group ＜リソースグループ名＞ `
    --location ＜リージョン＞ `
    --allocation-method static `
    --sku standard

・記載例

az network public-ip create `
    --name pip-Test-AzureFW `
    --resource-group RG-Test-AzureFW `
    --location japaneast `
    --allocation-method static `
    --sku standard

ファイアウォールポリシー作成

ポリシーの中にルールも作成します。
今回はネットワークルールで全ての通信を許可するルールを付与します。

以下のコマンドで作成します。

 #ポリシーの作成
az network firewall policy create `
 --resource-group ＜リソースグループ名＞ `
 --name ＜ファイアウォールポリシー名＞ `
 --sku ＜Basic / Standard / Premium＞

 #ポリシー内の規則コレクショングループ作成
az network firewall policy rule-collection-group create `
 --resource-group ＜リソースグループ名＞ `
 --policy-name ＜ファイアウォールポリシー名＞ `
 --name ＜規則コレクショングループ名＞ `
 --priority ＜100 ~ 65000＞

 #規則コレクション内のフィルターコレクション(規則コレクション)の作成
az network firewall policy rule-collection-group collection add-filter-collection `
 --resource-group ＜リソースグループ名＞ `
 --policy-name ＜ファイアウォールポリシー名＞ `
 --rule-collection-group-name ＜規則コレクショングループ名＞ `
 --name ＜規則コレクション名＞ `
 --action ＜Allow / Deny＞ `
 --collection-priority ＜100 ~ 65000＞ `
 --rule-type ＜ApplicationRule / NatRule / NetworkRule＞ `
 --rule-name ＜ルール名＞ `
 --source-addresses ＜IPアドレス＞ `
 --destination-addresses ＜IPアドレス＞ `
 --destination-ports ＜ポート番号＞ `
 --ip-protocols ＜Any / ICMP / TCP / UDP＞

・記載例

az network firewall policy create `
 --resource-group RG-Test-AzureFW `
 --name FW-Policy-Test `
 --sku Standard

az network firewall policy rule-collection-group create `
 --resource-group RG-Test-AzureFW `
 --policy-name FW-Policy-Test `
 --name RuleCollectionGroup-Test `
 --priority 1000

az network firewall policy rule-collection-group collection add-filter-collection `
 --resource-group RG-Test-AzureFW `
 --policy-name FW-Policy-Test `
 --rule-collection-group-name RuleCollectionGroup-Test `
 --name Collection-Test `
 --action Allow `
 --collection-priority 1000 `
 --rule-type NetworkRule `
 --rule-name All-Allow `
 --source-addresses "*" `
 --destination-addresses "*" `
 --destination-ports "*" `
 --ip-protocols Any

ポリシー作成のコマンドを始めて実行すると、以下のように「拡張機能をインストールしていいか？」と聞かれるので Y（yes） でそのまま進めてください。

拡張機能をインストールしていいか？と聞かれる場合には Y（yes）でそのまま進める

上記コマンド実行後にも作成されたリソースの詳細がインターフェースに表示されますが、

ポリシー作成コマンド実行後に作成されたリソースの詳細がインターフェースに表示される

以下のコマンドでも作成されたリソースを確認できます。

 #作成されたポリシーの確認
az network firewall policy list

 #作成された規則コレクショングループの確認
az network firewall policy rule-collection-group list `
 --resource-group ＜リソースグループ名＞ `
 --policy-name ＜ファイアウォールポリシー名＞

AzureCLI でファイアウォールポリシーの追加（ルールの追加）をする方法については、
下部の「ファイアウォールポリシーの規則コレクションにルールを追加する」に記載していますので参考にしてください。

AzureFirewall を作成する

事前準備が完了したら AzureFirewall を作成します。

以下のコマンドで作成可能です。

 #AzureFirewalの作成
az network firewall create `
 --resource-group ＜リソースグループ名＞ `
 --location ＜リージョン＞ `
 --name ＜AzureFirewall名＞ `
 --sku ＜AZFW_Hub / AZFW_VNet＞ `
 --tier ＜Basic / Standard / Premium＞ `
 --public-ip ＜パブリックIPアドレス名＞ `
 --vnet-name ＜仮想ネットワーク名＞ `
 --conf-name AzureFW-conf-Test ` ＜IP構成名＞
 --firewall-policy ＜ファイアウォールポリシー名＞

・記載例

az network firewall create `
 --resource-group RG-Test-AzureFW `
 --location japaneast `
 --name AzureFW-Test `
 --sku AZFW_VNet `
 --tier Standard `
 --public-ip pip-Test-AzureFW `
 --vnet-name Vnet-Test `
 --conf-name AzureFW-conf-Test `
 --firewall-policy FW-Policy-Test

上記コマンド実行後にも作成されたリソースの詳細が表示されますが、
以下のコマンドでも作成されたAzureFirewallの設定を確認することができます。

 #作成されたAzureFirewallの確認
az network firewall list

ファイアウォールポリシーの規則コレクションにルールを追加する

以下のコマンドで既存の規則コレクションにルールを追加することができます。

 #ポリシー内の規則コレクションにルール追加
az network firewall policy rule-collection-group collection rule add `
 --resource-group ＜リソースグループ名＞ `
 --policy-name ＜ファイアウォールポリシー名＞ `
 --rule-collection-group-name ＜規則コレクショングループ名＞ `
 --collection-name ＜規則コレクション名＞ `
 --rule-type ＜ApplicationRule / NatRule / NetworkRule＞ `
 --name ＜ルール名＞ `
 --source-addresses ＜IPアドレス＞ `
 --destination-addresses ＜IPアドレス＞ `
 --destination-ports ＜ポート番号＞ `
 --ip-protocols ＜Any / ICMP / TCP / UDP＞

・記載例
　このコマンドでは上記で設定した規則コレクション [Collection-Test] にルールを追加しています。

az network firewall policy rule-collection-group collection rule add `
 --resource-group RG-Test-AzureFW `
 --policy-name FW-Policy-Test `
 --rule-collection-group-name RuleCollectionGroup-Test `
 --collection-name Collection-Test `
 --rule-type NetworkRule `
 --name Test-Add-Rule `
 --source-addresses "*" `
 --dest-addr "*" `
 --destination-ports "*" `
 --ip-protocols "TCP"

以下のコマンドで設定されているルールの一覧を確認することができます。

 #ポリシー内の規則コレクションのルールの確認
az network firewall policy rule-collection-group collection list `
 --resource-group ＜リソースグループ名＞ `
 --policy-name ＜ファイアウォールポリシー名＞ `
 --rule-collection-group-name ＜規則コレクショングループ名＞

・記載例

az network firewall policy rule-collection-group collection list `
 --resource-group RG-Test-AzureFW `
 --policy-name FW-Policy-Test `
 --rule-collection-group-name RuleCollectionGroup-Test

やってみて気づいたこと

/25 の AzureFirewallSubnet でも AzureFW は作成可能

/26以外のサブネットで作成したらどうなるのかについても調べてみました。

結論から言うと /25 のサブネットでも作成は可能です。
ただし、/26 で十分とmicrosoftも記載している中で /25 を指定するメリットはないと思うので、
/26 で作成したほうが良いと感じました。

　参考：サービスのスケールに応じてファイアウォールサブネットのサイズを変更する必要はありますか。

・/25で作成したAzureFirewallSubnet

・接続されているデバイスに Azurefirewall のIPアドレスが存在

・AzureFirewall でも上記サブネット内のIPアドレスが付与

[ –conf-name ] の指定がないとネットワーク情報が連携されない

AzureCLIで作成する際に少しはまった点ですが、
設定値として「–conf-name（IP構成）」を指定しないと、AzureFWの作成自体は可能ですが、
プライベートIPやパブリックIPの設定値が null の状態でデプロイされます。

・CLIでは「–vnet-name」は指定していますが、作成結果にもネットワーク情報はなく、

CLIでは「--vnet-name」を指定しているが、作成結果にもネットワーク情報はない

・作成されたAzureFWではネットワークに関する情報が null となっている。

なので、[ –conf-name ] の指定をして AzureFirewall を作成する必要があります。

[参考] デフォルトの状態で DefaultNetworkRuleCollectionGroup は利用できない

Azureポータルで操作する際には、規則コレクションを作成する際にデフォルトの規則コレクショングループとして [DefaultNetworkRuleCollectionGroup] を選択できますが、AzureCLIではデフォルトの状態でこの規則コレクショングループを指定して規則コレクションを作成することができません。

明示的に [DefaultNetworkRuleCollectionGroup] を作成する必要があります。

デフォルトの状態で [DefaultNetworkRuleCollectionGroup] を指定して規則コレクションを作成した場合、以下のようなエラー（ResourceNotFound）となります。

・[DefaultNetworkRuleCollectionGroup] を作成する
　以下のコマンドで作成することができます。

 #ポリシー内の規則コレクショングループ作成
az network firewall policy rule-collection-group create `
 --resource-group RG-Test-AzureFW `
 --policy-name FW-Policy-Test `
 --name DefaultNetworkRuleCollectionGroup `
 --priority 500

作成後には [DefaultNetworkRuleCollectionGroup] を利用してルールなどを作成可能となります。

 #規則コレクション内のフィルターコレクション(規則コレクション)の作成
az network firewall policy rule-collection-group collection add-filter-collection `
 --resource-group RG-Test-AzureFW `
 --policy-name FW-Policy-Test `
 --rule-collection-group-name DefaultNetworkRuleCollectionGroup `
 --name Collection-Test `
 --action Allow `
 --collection-priority 1000 `
 --rule-type NetworkRule `
 --rule-name All-Allow-Default `
 --source-addresses "*" `
 --destination-addresses "*" `
 --destination-ports "*" `
 --ip-protocols Any