Dela via


Konfigurera en IP-begränsningsregel med en WAF för Azure Front Door

Den här artikeln visar hur du konfigurerar IP-begränsningsregler i en brandvägg för webbprogram (WAF) för Azure Front Door med hjälp av Azure Portal, Azure CLI, Azure PowerShell eller en Azure Resource Manager-mall.

En IP-adressbaserad åtkomstkontrollregel är en anpassad WAF-regel som gör att du kan styra åtkomsten till dina webbprogram. Regeln anger en lista över IP-adresser eller IP-adressintervall i CIDR-format (Classless Inter-Domain Routing).

Det finns två typer av matchningsvariabler i en IP-adressmatchning: RemoteAddr och SocketAddr. Variabeln RemoteAddr är den ursprungliga klient-IP-adressen som vanligtvis skickas via begärandehuvudet X-Forwarded-For . Variabeln SocketAddr är källans IP-adress som WAF ser. Om användaren är bakom en proxyserver är SocketAddr ofta proxyserveradressen.

Som standard är webbappen tillgänglig från Internet. Om du vill begränsa åtkomsten till klienter från en lista över kända IP-adresser eller IP-adressintervall kan du skapa en IP-matchningsregel som innehåller listan över IP-adresser som matchande värden och anger operatorn till Not (negate är sant) och åtgärden till Block. När en IP-begränsningsregel har tillämpats får begäranden som kommer från adresser utanför den här tillåtna listan ett 403-förbjudet svar.

Konfigurera en WAF-policy

Följ de här stegen för att konfigurera en WAF-princip med hjälp av Azure Portal.

Förutsättningar

Skapa en Azure Front Door-profil genom att följa anvisningarna i Snabbstart: Skapa en Azure Front Door-instans för ett globalt webbprogram med hög tillgänglighet.

Skapa en WAF-policy

  1. Välj Skapa en resurs på Azure-portalen. Ange Webbapplikationsbrandvägg i sökrutan för Search services och marketplace och tryck på Enter. Välj sedan Web Application Firewall (WAF).

  2. Välj Skapa.

  3. På sidan Skapa en WAF-princip använder du följande värden för att slutföra fliken Grundläggande .

    Inställning Värde
    Policy för Global WAF (ytterdörr).
    Ytterdörrsnivå Välj Premium eller Standard för att matcha din Azure Front Door-nivå.
    Prenumeration Välj din prenumeration.
    Resursgrupp Välj den resursgrupp där din Azure Front Door-instans finns.
    Policynamn Ange ett namn för policyn.
    Principtillstånd Har valts
    Policyläge Förebyggande
  4. Välj Nästa: Hanterade regler.

  5. Välj Nästa: Principinställningar.

  6. På fliken Principinställningar anger du Du har blockerats! för brödtexten Blockera svar så att du kan se att din anpassade regel gäller.

  7. Välj Nästa: Anpassade regler.

  8. Välj Lägg till anpassad regel.

  9. På sidan Lägg till anpassad regel använder du följande testvärden för att skapa en anpassad regel.

    Inställning Värde
    Namn på anpassad regel FdWafCustRule
    Läge Aktiverat
    Regeltyp Tändsticka
    Prioritet 100
    Matchningstyp IP-adress
    Matcha variabel SocketAddr (på engelska)
    Åtgärd Innehåller inte
    IP-adress eller intervall 10.10.10.0/24
    Gäller följande Neka trafik

    Anpassad regel

    Markera Lägga till.

  10. Välj Nästa: Association.

  11. Välj Associera en frontdörrprofil.

  12. För Klientdelsprofil väljer du din klientdelsprofil.

  13. För Domän väljer du domänen.

  14. Markera Lägga till.

  15. Välj Granska + skapa.

  16. När principverifieringen har godkänts väljer du Skapa.

Testa waf-principen

  1. När waf-principdistributionen har slutförts bläddrar du till ditt Azure Front Door-värdnamn.

  2. Du bör se ditt anpassade blockmeddelande.

    WAF-regeltest

    Anteckning

    En privat IP-adress användes avsiktligt i den anpassade regeln för att garantera att regeln skulle utlösas. I en faktisk distribution skapar du regler för att tillåta och neka genom att använda IP-adresser för din specifika situation.

Nästa steg

Lär dig hur du skapar en Azure Front Door-profil.