AzureのFirewallでVNet通信を一元管理する方法｜NSGとの役割分担とポリシールール設定の実践

この記事のポイント

・Azure FirewallはNSGとは別レイヤーでFQDN・脅威インテリジェンスを一元制御できる
・Firewall PolicyでDNAT・ネットワーク・アプリケーションの3種ルールを管理する
・UDR（Route Table）でサブネットの全通信をFirewall経由に強制できる
・NSG Flow Logsと組み合わせるとNSGレベルの拒否通信も含めた多層監視が実現できる

# AzureFirewallSubnet を作成（名前は完全一致・/26以上が必須）
az network vnet subnet create   --resource-group rg-demo   --vnet-name vnet-demo   --name AzureFirewallSubnet   --address-prefix 10.1.2.0/26

# Firewall 用 Standard パブリックIPを作成
az network public-ip create   --resource-group rg-demo   --name pip-fw-demo   --sku Standard   --allocation-method Static   --zone 1 2 3

{
  "addressPrefix": "10.1.2.0/26",
  "name": "AzureFirewallSubnet",
  "provisioningState": "Succeeded"
}

# Firewall Policy を作成（Standard SKU）
az network firewall policy create   --resource-group rg-demo   --name fw-policy-demo   --sku Standard

# Azure Firewall 本体を作成（デプロイに5～10分かかる）
az network firewall create   --resource-group rg-demo   --name fw-demo   --vnet-name vnet-demo   --public-ip pip-fw-demo   --firewall-policy fw-policy-demo   --sku AZFW_VNet   --tier Standard

az network firewall show   --resource-group rg-demo   --name fw-demo   --query "ipConfigurations[0].privateIPAddress"   --output tsv

10.1.2.4

# Rule Collection Group を作成
az network firewall policy rule-collection-group create   --resource-group rg-demo   --policy-name fw-policy-demo   --name DefaultRCG   --priority 100

# ネットワークルールコレクションを追加（HTTP/HTTPS許可）
az network firewall policy rule-collection-group collection add-filter-collection   --resource-group rg-demo   --policy-name fw-policy-demo   --rule-collection-group-name DefaultRCG   --name AllowWebOutbound   --collection-priority 200   --action Allow   --rule-type NetworkRule   --rule-name AllowHTTPS   --protocols TCP   --source-addresses "10.1.1.0/24"   --destination-addresses "*"   --destination-ports "443" "80"

az network firewall policy rule-collection-group collection add-filter-collection   --resource-group rg-demo   --policy-name fw-policy-demo   --rule-collection-group-name DefaultRCG   --name AllowMSFQDN   --collection-priority 300   --action Allow   --rule-type ApplicationRule   --rule-name AllowWindowsUpdate   --protocols Https=443 Http=80   --source-addresses "10.1.1.0/24"   --target-fqdns "*.microsoft.com" "*.windows.com" "*.windowsupdate.com"

# Firewall のプライベートIPを変数に格納
FW_IP=$(az network firewall show   --resource-group rg-demo   --name fw-demo   --query "ipConfigurations[0].privateIPAddress"   --output tsv)

# Route Table を作成
az network route-table create   --resource-group rg-demo   --name rt-to-fw

# デフォルトルートをFirewall経由に設定（0.0.0.0/0 → FW プライベートIP）
az network route-table route create   --resource-group rg-demo   --route-table-name rt-to-fw   --name DefaultViaFW   --address-prefix 0.0.0.0/0   --next-hop-type VirtualAppliance   --next-hop-ip-address "$FW_IP"

az network vnet subnet update   --resource-group rg-demo   --vnet-name vnet-demo   --name snet-private   --route-table rt-to-fw

az network nic show-effective-route-table   --resource-group rg-demo   --name vm01-nic   --query "value[?addressPrefix=='0.0.0.0/0']"   --output table

AddressPrefix    NextHopType       NextHopIpAddress    Source    State
---------------  ----------------  ------------------  --------  ------
0.0.0.0/0        VirtualAppliance  10.1.2.4            User      Active
0.0.0.0/0        Internet          None                Default   Invalid

# VMにSSH接続後、アウトバウンドIPを確認
curl -s https://ifconfig.me

203.0.113.xxx

# Log Analytics Workspace を作成（既存のものがあれば不要）
az monitor log-analytics workspace create   --resource-group rg-demo   --workspace-name la-fw-demo

# Firewall の診断設定を有効にする（ワークスペースIDを取得して設定）
WS_ID=$(az monitor log-analytics workspace show   --resource-group rg-demo   --workspace-name la-fw-demo   --query id --output tsv)

az monitor diagnostic-settings create   --name fw-diagnostics   --resource $(az network firewall show --resource-group rg-demo --name fw-demo --query id --output tsv)   --workspace "$WS_ID"   --logs '[{"category":"AzureFirewallNetworkRule","enabled":true},{"category":"AzureFirewallApplicationRule","enabled":true}]'

# Log Analytics クエリ例（AzureFirewallNetworkRule のログ確認）
# Azure Portal の Log Analytics Workspace → Logs で実行
AzureDiagnostics
| where Category == "AzureFirewallNetworkRule"
| project TimeGenerated, msg_s, Action_s
| limit 20

# Network Watcherの存在を確認する（VNet作成時にjapaneastで自動有効化）
az network watcher list -o table

# NSG Flow Logs用ストレージアカウントを作成する
az storage account create   --name stflowlogsdemo   --resource-group rg-demo   --location japaneast   --sku Standard_LRS   --kind StorageV2

# 対象NSGのリソースIDを取得する
NSG_ID=$(az network nsg show   --resource-group rg-demo   --name nsg-snet-private   --query id -o tsv)

# NSG Flow Logsを有効化する（バージョン2）
az network watcher flow-log create   --resource-group NetworkWatcherRG   --location japaneast   --name fw-nsg-flowlog   --nsg "$NSG_ID"   --storage-account $(az storage account show     --name stflowlogsdemo     --resource-group rg-demo     --query id -o tsv)   --enabled true   --format JSON   --log-version 2   --retention 7

# Traffic Analyticsを有効化する（la-fw-demoを共用）
az network watcher flow-log update   --resource-group NetworkWatcherRG   --location japaneast   --name fw-nsg-flowlog   --traffic-analytics true   --workspace "$WS_ID"   --interval 10

# KQLでNSG通過トラフィックを集計する（Log Analytics Workspaceで実行）
# AzureNetworkAnalytics_CL
# | where TimeGenerated > ago(1d)
# | where SubType_s == "FlowLog"
# | summarize FlowCount = count() by SrcIP_s, DestIP_s, DestPort_d
# | sort by FlowCount desc
# | take 20

# サブネット名とサイズを確認
az network vnet subnet list   --resource-group rg-demo   --vnet-name vnet-demo   --query "[].{Name:name, Prefix:addressPrefix}"   --output table

# Firewallのプロビジョニング状態とIPを確認
az network firewall show   --resource-group rg-demo   --name fw-demo   --query "{state:provisioningState, privateIP:ipConfigurations[0].privateIPAddress, publicIP:ipConfigurations[0].publicIpAddress.id}"   --output table

az network firewall policy update   --resource-group rg-demo   --name fw-policy-demo   --threat-intel-mode Deny

# VMのNICにNSGがアタッチされているか確認する
az network nic show   --resource-group rg-demo   --name vm01-nic   --query "networkSecurityGroup.id" -o tsv

# NSG Flow Logsの有効状態を確認する
az network watcher flow-log show   --resource-group NetworkWatcherRG   --location japaneast   --name fw-nsg-flowlog   --query "{Enabled:enabled, NSG:targetResourceId}"   -o table