使用Azure Application Proxy实现ADFS外部访问Azure MFA配置咨询

首先明确：可以通过Azure AD应用代理实现仅外部访问ADFS触发Azure MFA的需求，完全适配你现有环境配置，无需额外部署WAP服务器。

适配性验证 #

你现有的环境配置已经满足全部部署前提：

• EMS E3许可证包含Azure AD应用代理的全部使用权限
• 已部署的搭配NPS的Azure MFA服务可直接复用，无需重新部署MFA组件
• Windows Server 2016版本的ADFS原生支持识别Azure应用代理传递的网络位置标记，无需额外安装功能补丁

核心实现逻辑 #

将Azure AD应用代理作为ADFS的唯一外部访问入口，替换当前Citrix NetScaler承载的ADFS外部反向代理流量，内部用户访问仍保留原有路径，实现内外访问策略的天然隔离。

具体部署步骤 #

• 第一步：配置Azure AD应用代理的本地连接器，部署在和ADFS网络连通的域内服务器上，连接器不需要加入DMZ区域
• 第二步：在Azure AD中发布ADFS应用，内部URL填写本地ADFS场的FQDN地址，预身份验证选择Azure Active Directory
• 第三步：在ADFS服务器中配置全局身份验证策略，将Azure应用代理的出口IP段标记为外部网络，ADFS可通过请求头x-ms-proxy自动识别来自应用代理的访问请求
• 第四步：配置ADFS的信赖方信任访问控制规则，添加触发条件：当访问来源为外部网络时，强制调用已集成的NPS Azure MFA服务做二次验证
• 第五步：调整公网DNS解析，将ADFS的公网解析记录指向Azure应用代理分配的CNAME地址，内部DNS保持原有ADFS解析不变，确保内部用户访问无需经过应用代理、也不需要触发MFA
• 第六步：验证配置：外部访问ADFS依赖方（包括Office 365、本地依赖方信任）会强制触发MFA，内部访问保持原有验证逻辑不变

注意事项 #

• 原有Citrix NetScaler上的其他反向代理配置无需修改，仅调整ADFS对应的公网解析规则即可
• 所有本地依赖方信任、Office 365的现有ADFS配置无需调整，仅修改ADFS的访问控制规则即可
• Azure应用代理本身自带DDoS防护、异常访问识别能力，安全性和WAP基本一致，还支持直接对接Azure AD的条件访问策略，可根据需求扩展更多访问控制规则

内容的提问来源于stack exchange，提问作者Omar