Usar filtragem FQDN em regras de rede

Um nome de domínio totalmente qualificado (FQDN) representa o nome de domínio completo de um host ou um ou mais endereços IP. Na Firewall do Azure e na política de Firewall, pode-se usar FQDNs em regras de rede baseadas na resolução DNS. Esse recurso permite filtrar o tráfego de saída usando qualquer protocolo TCP/UDP, incluindo NTP, SSH e RDP. Para usar FQDNs em suas regras de rede, você deve habilitar o Proxy DNS. Para obter mais informações, consulte Configurações de DNS do Firewall do Azure.

Como funciona

Primeiro, defina o servidor DNS que sua organização usa (DNS do Azure ou um DNS personalizado). Em seguida, o Firewall do Azure converte o FQDN para um endereço IP ou endereços com base no servidor DNS escolhido. Essa tradução se aplica ao processamento de regras de aplicativo e de rede.

Quando ocorre uma nova resolução DNS, novos endereços IP são adicionados às regras de firewall. Os endereços IP antigos expiram após 15 minutos se o servidor DNS já não os devolver. O Firewall do Azure atualiza suas regras a cada 15 segundos com base na resolução DNS dos FQDNs nas regras de rede.

Diferenças entre regras de aplicação e regras de rede

• A filtragem FQDN em regras de aplicação para HTTP/S e MSSQL depende de um proxy transparente ao nível de aplicação e do cabeçalho SNI. Isso permite diferenciar entre dois FQDNs que se resolvem no mesmo endereço IP. Esse recurso não está disponível com filtragem FQDN em regras de rede.

  Utilize sempre as regras de aplicação sempre que possível:

  • Para protocolos HTTP/S ou MSSQL, use regras de aplicativo para filtragem FQDN.
  • Para serviços como AzureBackup e HDInsight, use regras de aplicativo com tags FQDN.
  • Para outros protocolos, use regras de rede para filtragem FQDN.

Próximos passos

Configurações de DNS do Firewall do Azure