如何使用Azure Firewall实现网站入站流量IDPS？部署方式咨询

流量路径选择分析 #

DNS指向防火墙公IP（推荐方案） #

直接把域名的DNS记录更新为Azure Firewall的公网IP，外部用户访问域名时，流量会先抵达防火墙，经过IDPS检测过滤后，再转发到VM的私网IP。这种方式的优势：

• VM可以完全移除公网IP，避免绕过防火墙的直接访问，安全性更高。
• 所有入站流量强制经过防火墙，IDPS能全面覆盖所有Web请求。
• 配置逻辑直观，后续维护更简单。

路由表中转（不适合公网域名流量） #

通过用户定义路由（UDR）将流量引到防火墙的方式，仅适用于内部流量或特定封闭场景。如果VM保留公网IP，外部用户直接访问VM公IP时，流量不会经过防火墙，IDPS等于失效；即使删掉VM公网IP，这种配置的复杂度远高于DNS指向方案，且排查问题更麻烦，因此不推荐用于面向公网的域名流量。

面向HTTP流量的防火墙部署配置 #

• 防火墙版本：必须使用Azure Firewall标准版（基础版不支持IDPS功能），部署时分配公网IP。
• IDPS规则配置：
  • 将IDPS模式设置为「检测」或「阻止」（建议先以检测模式运行，积累日志确认误报后再切换到阻止）。
  • 启用Web相关的规则集（如OWASP核心规则集），覆盖SQL注入、XSS等常见Web攻击场景。
• 流量转发配置：
  • 配置NAT规则：将防火墙公网IP的80（HTTP）端口映射到VM私网IP的80端口，实现流量转发。
  • 配合应用规则：允许目标为VM私网IP的HTTP流量，确保防火墙仅转发合法请求。
• VM侧安全加固：
  • 删除VM的公网IP，仅保留私网IP，杜绝绕过防火墙的访问路径。
  • 配置VM的网络安全组（NSG），仅放行来自Azure Firewall私网IP段的80端口流量，拒绝其他所有入站请求。
• DNS更新：修改域名的A记录，指向Azure Firewall的公网IP，确保所有用户访问域名时流量都经过防火墙。

内容的提问来源于stack exchange，提问作者user2713516