AzureのFirewallでVNet通信を一元管理する方法｜NSGとの役割分担とポリシールール設定の実践

この記事のポイント

・Azure FirewallはNSGとは別レイヤーでFQDN・脅威インテリジェンスを一元制御できる
・Firewall PolicyでNAT・ネットワーク・アプリケーションの3種ルールを管理する
・UDR（Route Table）でサブネットの全通信をFirewall経由に強制できる
・AzureFirewallSubnetという名称の/26以上のサブネットが必須

# AzureFirewallSubnet を作成（名前は完全一致・/26以上が必須）
az network vnet subnet create \
  --resource-group rg-demo \
  --vnet-name vnet-demo \
  --name AzureFirewallSubnet \
  --address-prefix 10.1.2.0/26

# Firewall 用 Standard パブリックIPを作成
az network public-ip create \
  --resource-group rg-demo \
  --name pip-fw-demo \
  --sku Standard \
  --allocation-method Static \
  --zone 1 2 3

{
  "addressPrefix": "10.1.2.0/26",
  "name": "AzureFirewallSubnet",
  "provisioningState": "Succeeded"
}

# Firewall Policy を作成（Standard SKU）
az network firewall policy create \
  --resource-group rg-demo \
  --name fw-policy-demo \
  --sku Standard

# Azure Firewall 本体を作成（デプロイに5～10分かかる）
az network firewall create \
  --resource-group rg-demo \
  --name fw-demo \
  --vnet-name vnet-demo \
  --public-ip pip-fw-demo \
  --firewall-policy fw-policy-demo \
  --sku AZFW_VNet \
  --tier Standard

az network firewall show \
  --resource-group rg-demo \
  --name fw-demo \
  --query "ipConfigurations[0].privateIPAddress" \
  --output tsv

10.1.2.4

# Rule Collection Group を作成
az network firewall policy rule-collection-group create \
  --resource-group rg-demo \
  --policy-name fw-policy-demo \
  --name DefaultRCG \
  --priority 100

# ネットワークルールコレクションを追加（HTTP/HTTPS許可）
az network firewall policy rule-collection-group collection add-filter-collection \
  --resource-group rg-demo \
  --policy-name fw-policy-demo \
  --rule-collection-group-name DefaultRCG \
  --name AllowWebOutbound \
  --collection-priority 200 \
  --action Allow \
  --rule-type NetworkRule \
  --rule-name AllowHTTPS \
  --protocols TCP \
  --source-addresses "10.1.1.0/24" \
  --destination-addresses "*" \
  --destination-ports "443" "80"

az network firewall policy rule-collection-group collection add-filter-collection \
  --resource-group rg-demo \
  --policy-name fw-policy-demo \
  --rule-collection-group-name DefaultRCG \
  --name AllowMSFQDN \
  --collection-priority 300 \
  --action Allow \
  --rule-type ApplicationRule \
  --rule-name AllowWindowsUpdate \
  --protocols Https=443 Http=80 \
  --source-addresses "10.1.1.0/24" \
  --target-fqdns "*.microsoft.com" "*.windows.com" "*.windowsupdate.com"

# Firewall のプライベートIPを変数に格納
FW_IP=$(az network firewall show \
  --resource-group rg-demo \
  --name fw-demo \
  --query "ipConfigurations[0].privateIPAddress" \
  --output tsv)

# Route Table を作成
az network route-table create \
  --resource-group rg-demo \
  --name rt-to-fw

# デフォルトルートをFirewall経由に設定（0.0.0.0/0 → FW プライベートIP）
az network route-table route create \
  --resource-group rg-demo \
  --route-table-name rt-to-fw \
  --name DefaultViaFW \
  --address-prefix 0.0.0.0/0 \
  --next-hop-type VirtualAppliance \
  --next-hop-ip-address "$FW_IP"

az network vnet subnet update \
  --resource-group rg-demo \
  --vnet-name vnet-demo \
  --name snet-private \
  --route-table rt-to-fw

az network nic show-effective-route-table \
  --resource-group rg-demo \
  --name vm01-nic \
  --query "value[?addressPrefix=='0.0.0.0/0']" \
  --output table

AddressPrefix    NextHopType       NextHopIpAddress    Source    State
---------------  ----------------  ------------------  --------  ------
0.0.0.0/0        VirtualAppliance  10.1.2.4            User      Active
0.0.0.0/0        Internet          None                Default   Invalid

# VMにSSH接続後、アウトバウンドIPを確認
curl -s https://ifconfig.me

203.0.113.xxx

# Log Analytics Workspace を作成（既存のものがあれば不要）
az monitor log-analytics workspace create \
  --resource-group rg-demo \
  --workspace-name la-fw-demo

# Firewall の診断設定を有効にする（ワークスペースIDを取得して設定）
WS_ID=$(az monitor log-analytics workspace show \
  --resource-group rg-demo \
  --workspace-name la-fw-demo \
  --query id --output tsv)

az monitor diagnostic-settings create \
  --name fw-diagnostics \
  --resource $(az network firewall show --resource-group rg-demo --name fw-demo --query id --output tsv) \
  --workspace "$WS_ID" \
  --logs '[{"category":"AzureFirewallNetworkRule","enabled":true},{"category":"AzureFirewallApplicationRule","enabled":true}]'

# Log Analytics クエリ例（AzureFirewallNetworkRule のログ確認）
# Azure Portal の Log Analytics Workspace → Logs で実行
AzureDiagnostics
| where Category == "AzureFirewallNetworkRule"
| project TimeGenerated, msg_s, Action_s
| limit 20

# サブネット名とサイズを確認
az network vnet subnet list \
  --resource-group rg-demo \
  --vnet-name vnet-demo \
  --query "[].{Name:name, Prefix:addressPrefix}" \
  --output table

# Firewallのプロビジョニング状態とIPを確認
az network firewall show \
  --resource-group rg-demo \
  --name fw-demo \
  --query "{state:provisioningState, privateIP:ipConfigurations[0].privateIPAddress, publicIP:ipConfigurations[0].publicIpAddress.id}" \
  --output table

az network firewall policy update \
  --resource-group rg-demo \
  --name fw-policy-demo \
  --threat-intel-mode Deny