New-AzFirewall

New-AzFirewall
    -Name <String>
    -ResourceGroupName <String>
    -Location <String>
    [-PublicIpAddress <PSPublicIpAddress[]>]
    [-ApplicationRuleCollection <PSAzureFirewallApplicationRuleCollection[]>]
    [-NatRuleCollection <PSAzureFirewallNatRuleCollection[]>]
    [-NetworkRuleCollection <PSAzureFirewallNetworkRuleCollection[]>]
    [-ThreatIntelMode <String>]
    [-ThreatIntelWhitelist <PSAzureFirewallThreatIntelWhitelist>]
    [-PrivateRange <String[]>]
    [-EnableDnsProxy]
    [-DnsServer <String[]>]
    [-Tag <Hashtable>]
    [-Force]
    [-AsJob]
    [-Zone <String[]>]
    [-SkuName <String>]
    [-SkuTier <String>]
    [-VirtualHubId <String>]
    [-HubIPAddress <PSAzureFirewallHubIpAddresses>]
    [-FirewallPolicyId <String>]
    [-AllowActiveFTP]
    [-EnableFatFlowLogging]
    [-EnableUDPLogOptimization]
    [-RouteServerId <String>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

New-AzFirewall
    -Name <String>
    -ResourceGroupName <String>
    -Location <String>
    -VirtualNetworkName <String>
    [-PublicIpName <String>]
    [-PublicIpAddress <PSPublicIpAddress[]>]
    [-ApplicationRuleCollection <PSAzureFirewallApplicationRuleCollection[]>]
    [-NatRuleCollection <PSAzureFirewallNatRuleCollection[]>]
    [-NetworkRuleCollection <PSAzureFirewallNetworkRuleCollection[]>]
    [-ThreatIntelMode <String>]
    [-ThreatIntelWhitelist <PSAzureFirewallThreatIntelWhitelist>]
    [-PrivateRange <String[]>]
    [-EnableDnsProxy]
    [-DnsServer <String[]>]
    [-Tag <Hashtable>]
    [-Force]
    [-AsJob]
    [-Zone <String[]>]
    [-SkuName <String>]
    [-SkuTier <String>]
    [-VirtualHubId <String>]
    [-HubIPAddress <PSAzureFirewallHubIpAddresses>]
    [-FirewallPolicyId <String>]
    [-AllowActiveFTP]
    [-EnableFatFlowLogging]
    [-EnableUDPLogOptimization]
    [-RouteServerId <String>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

New-AzFirewall
    -Name <String>
    -ResourceGroupName <String>
    -Location <String>
    -VirtualNetwork <PSVirtualNetwork>
    [-PublicIpAddress <PSPublicIpAddress[]>]
    [-ManagementPublicIpAddress <PSPublicIpAddress>]
    [-ApplicationRuleCollection <PSAzureFirewallApplicationRuleCollection[]>]
    [-NatRuleCollection <PSAzureFirewallNatRuleCollection[]>]
    [-NetworkRuleCollection <PSAzureFirewallNetworkRuleCollection[]>]
    [-ThreatIntelMode <String>]
    [-ThreatIntelWhitelist <PSAzureFirewallThreatIntelWhitelist>]
    [-PrivateRange <String[]>]
    [-EnableDnsProxy]
    [-DnsServer <String[]>]
    [-Tag <Hashtable>]
    [-Force]
    [-AsJob]
    [-Zone <String[]>]
    [-SkuName <String>]
    [-SkuTier <String>]
    [-VirtualHubId <String>]
    [-HubIPAddress <PSAzureFirewallHubIpAddresses>]
    [-FirewallPolicyId <String>]
    [-AllowActiveFTP]
    [-EnableFatFlowLogging]
    [-EnableUDPLogOptimization]
    [-RouteServerId <String>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

New-AzFirewall コマンドレットは、Azure Firewall を作成します。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip

この例では、ファイアウォールと同じリソース グループ内の仮想ネットワーク "vnet" に接続されたファイアウォールを作成します。 規則が指定されていないため、ファイアウォールはすべてのトラフィックをブロックします (既定の動作)。 Threat Intel は既定のモード (アラート) でも実行されます。これは、悪意のあるトラフィックがログに記録されますが、拒否されないことを意味します。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

$rule = New-AzFirewallApplicationRule -Name R1 -Protocol "https:443" -TargetFqdn "*"
$ruleCollection = New-AzFirewallApplicationRuleCollection -Name RC1 -Priority 100 -Rule $rule -ActionType "Allow"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ApplicationRuleCollection $ruleCollection

この例では、ポート 443 ですべての HTTPS トラフィックを許可するファイアウォールを作成します。 Threat Intel は既定のモードで実行されます。アラートは、悪意のあるトラフィックがログに記録されますが、拒否されないことを意味します。

$rule = New-AzFirewallNatRule -Name "natRule" -Protocol "TCP" -SourceAddress "*" -DestinationAddress "10.1.2.3" -DestinationPort "80" -TranslatedAddress "10.2.3.4" -TranslatedPort "8080"
$ruleCollection = New-AzFirewallNatRuleCollection -Name "NatRuleCollection" -Priority 1000 -Rule $rule
New-AzFirewall -Name "azFw" -ResourceGroupName "rg" -Location centralus -NatRuleCollection $ruleCollection -ThreatIntelMode Off

この例では、10.1.2.3:80 から 10.2.3.4:8080 Threat Intel への宛先 IP とポートを変換するファイアウォールを作成しました。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ThreatIntelMode Alert

この例では、すべてのトラフィックをブロックするファイアウォール (既定の動作) を作成し、Threat Intel をアラート モードで実行します。 つまり、他のルールを適用する前に、悪意のあるトラフィックに対してアラート ログが出力されます (この場合は既定のルールのみ - すべて拒否)

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

$rule = New-AzFirewallApplicationRule -Name R1 -Protocol "http:8080" -TargetFqdn "*"
$ruleCollection = New-AzFirewallApplicationRuleCollection -Name RC1 -Priority 100 -Rule $rule -ActionType "Allow"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ApplicationRuleCollection $ruleCollection -ThreatIntelMode Deny

この例では、Threat Intel によって悪意のあると見なされない限り、ポート 8080 上のすべての HTTP トラフィックを許可するファイアウォールを作成します。 拒否モードで実行する場合、アラートとは異なり、Threat Intel によって悪意のあると見なされるトラフィックはログに記録されるだけでなく、ブロックされます。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetworkName $vnet.Name -PublicIpName $pip.Name -Zone 1,2,3

この例では、使用可能なすべての可用性ゾーンを含むファイアウォールを作成します。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -Name "vnet" -ResourceGroupName $rgName
$pip1 = New-AzPublicIpAddress -Name "AzFwPublicIp1" -ResourceGroupName "rg" -Sku "Basic" -Tier "Regional" -Location "centralus" -AllocationMethod Static
$pip2 = New-AzPublicIpAddress -Name "AzFwPublicIp2" -ResourceGroupName "rg" -Sku "Basic" -Tier "Regional" -Location "centralus" -AllocationMethod Static
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress @($pip1, $pip2)

この例では、2 つのパブリック IP アドレスを持つ仮想ネットワーク "vnet" に接続されたファイアウォールを作成します。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

$rule = New-AzFirewallApplicationRule -Name R1 -Protocol "mssql:1433" -TargetFqdn "sql1.database.windows.net"
$ruleCollection = New-AzFirewallApplicationRuleCollection -Name RC1 -Priority 100 -Rule $rule -ActionType "Allow"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ApplicationRuleCollection $ruleCollection -ThreatIntelMode Deny

この例では、標準ポート 1433 上の MSSQL トラフィックを SQL データベース sql1.database.windows.net に許可するファイアウォールを作成します。

$rgName = "resourceGroupName"
$fp = Get-AzFirewallPolicy -ResourceGroupName $rgName -Name "fp"
$fpId = $fp.Id
$vHub = Get-AzVirtualHub -Name "hub"
$vHubId = $vHub.Id

New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -SkuName AZFW_Hub -VirtualHubId $vHubId -FirewallPolicyId -$fpId

この例では、仮想ハブ "vHub" に接続されたファイアウォールを作成します。 ファイアウォール ポリシー $fpがファイアウォールにアタッチされます。 このファイアウォールは、ファイアウォール ポリシー $fpに記載されている規則に基づいてトラフィックを許可または拒否します。 仮想ハブとファイアウォールは同じリージョンに存在する必要があります。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

$tiWhitelist = New-AzFirewallThreatIntelWhitelist -FQDN @("www.microsoft.com") -IpAddress @("8.8.8.8")
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ThreatIntelWhitelist $tiWhitelist

この例では、脅威インテリジェンスから許可リスト "www.microsoft.com" と "8.8.8.8" を許可するファイアウォールを作成します。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -PrivateRange @("99.99.99.0/24", "66.66.0.0/16")

この例では、"99.99.99.0/24" と "66.66.0.0/16" をプライベート IP 範囲として扱い、それらのアドレスへのトラフィックを許可しないファイアウォールを作成します。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
$mgmtPip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "managementPublicIpName"

New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ManagementPublicIpAddress $mgmtPip

この例では、ファイアウォールと同じリソース グループ内の仮想ネットワーク "vnet" に接続されたファイアウォールを作成します。 規則が指定されていないため、ファイアウォールはすべてのトラフィックをブロックします (既定の動作)。 Threat Intel は既定のモード (アラート) でも実行されます。これは、悪意のあるトラフィックがログに記録されますが、拒否されないことを意味します。

"強制トンネリング" シナリオをサポートするために、このファイアウォールでは、サブネット "AzureFirewallManagementSubnet" とその管理トラフィック用の管理パブリック IP アドレスが使用されます

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
$fp = Get-AzFirewallPolicy -ResourceGroupName $rgName -Name "fp"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -FirewallPolicyId $fp

この例では、ファイアウォールと同じリソース グループ内の仮想ネットワーク "vnet" に接続されたファイアウォールを作成します。 ファイアウォールに適用される規則と脅威インテリジェンスは、ファイアウォール ポリシーから取得されます

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -DnsServer @("10.10.10.1", "20.20.20.2")

この例では、ファイアウォールと同じリソース グループ内の仮想ネットワーク "vnet" に接続されたファイアウォールを作成します。 このファイアウォールでは DNS プロキシが有効になっており、2 つの DNS サーバーが提供されます。 また、[ネットワーク規則に DNS プロキシを要求する] が設定されているため、FQDN を持つネットワーク 規則がある場合は、DNS プロキシも使用されます。

$rgName = "resourceGroupName"
$vHub = Get-AzVirtualHub -Name "hub"
$vHubId = $vHub.Id
$fwpips = New-AzFirewallHubPublicIpAddress -Count 2
$hubIpAddresses = New-AzFirewallHubIpAddress -PublicIP $fwpips
$fw=New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location westus -SkuName AZFW_Hub -HubIPAddress $hubIpAddresses -VirtualHubId $vHubId

この例では、ファイアウォールと同じリソース グループ内の仮想ハブ "ハブ" に接続されたファイアウォールを作成します。 ファイアウォールには、暗黙的に作成された 2 つのパブリック IP が割り当てられます。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -AllowActiveFTP

この例では、アクティブ FTP フラグを許可するファイアウォールを作成します。

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$mgmtPip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "managementPublicIpName"

New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -ManagementPublicIpAddress $mgmtPip

この例では、サブネット "AzureFirewallManagementSubnet" とその管理トラフィックの管理パブリック IP アドレスを使用する "強制トンネリング" ファイアウォールを作成します。 このシナリオでは、プライベート トラフィックのみにファイアウォールを使用している場合、ユーザーはデータパブリック IP を指定する必要はありません。

このコマンドレットでは、一般的なパラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable の各パラメーターがサポートされています。 詳細については、about_CommonParametersを参照してください。