New-AzFirewall

New-AzFirewall
    -Name <String>
    -ResourceGroupName <String>
    -Location <String>
    [-PublicIpAddress <PSPublicIpAddress[]>]
    [-ApplicationRuleCollection <PSAzureFirewallApplicationRuleCollection[]>]
    [-NatRuleCollection <PSAzureFirewallNatRuleCollection[]>]
    [-NetworkRuleCollection <PSAzureFirewallNetworkRuleCollection[]>]
    [-ThreatIntelMode <String>]
    [-ThreatIntelWhitelist <PSAzureFirewallThreatIntelWhitelist>]
    [-PrivateRange <String[]>]
    [-EnableDnsProxy]
    [-DnsServer <String[]>]
    [-Tag <Hashtable>]
    [-Force]
    [-AsJob]
    [-Zone <String[]>]
    [-SkuName <String>]
    [-SkuTier <String>]
    [-VirtualHubId <String>]
    [-HubIPAddress <PSAzureFirewallHubIpAddresses>]
    [-FirewallPolicyId <String>]
    [-AllowActiveFTP]
    [-EnableFatFlowLogging]
    [-EnableDnstapLogging]
    [-EnableUDPLogOptimization]
    [-RouteServerId <String>]
    [-MinCapacity <Int32>]
    [-MaxCapacity <Int32>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

New-AzFirewall
    -Name <String>
    -ResourceGroupName <String>
    -Location <String>
    -VirtualNetworkName <String>
    [-PublicIpName <String>]
    [-PublicIpAddress <PSPublicIpAddress[]>]
    [-ApplicationRuleCollection <PSAzureFirewallApplicationRuleCollection[]>]
    [-NatRuleCollection <PSAzureFirewallNatRuleCollection[]>]
    [-NetworkRuleCollection <PSAzureFirewallNetworkRuleCollection[]>]
    [-ThreatIntelMode <String>]
    [-ThreatIntelWhitelist <PSAzureFirewallThreatIntelWhitelist>]
    [-PrivateRange <String[]>]
    [-EnableDnsProxy]
    [-DnsServer <String[]>]
    [-Tag <Hashtable>]
    [-Force]
    [-AsJob]
    [-Zone <String[]>]
    [-SkuName <String>]
    [-SkuTier <String>]
    [-VirtualHubId <String>]
    [-HubIPAddress <PSAzureFirewallHubIpAddresses>]
    [-FirewallPolicyId <String>]
    [-AllowActiveFTP]
    [-EnableFatFlowLogging]
    [-EnableDnstapLogging]
    [-EnableUDPLogOptimization]
    [-RouteServerId <String>]
    [-MinCapacity <Int32>]
    [-MaxCapacity <Int32>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

New-AzFirewall
    -Name <String>
    -ResourceGroupName <String>
    -Location <String>
    -VirtualNetwork <PSVirtualNetwork>
    [-PublicIpAddress <PSPublicIpAddress[]>]
    [-ManagementPublicIpAddress <PSPublicIpAddress>]
    [-ApplicationRuleCollection <PSAzureFirewallApplicationRuleCollection[]>]
    [-NatRuleCollection <PSAzureFirewallNatRuleCollection[]>]
    [-NetworkRuleCollection <PSAzureFirewallNetworkRuleCollection[]>]
    [-ThreatIntelMode <String>]
    [-ThreatIntelWhitelist <PSAzureFirewallThreatIntelWhitelist>]
    [-PrivateRange <String[]>]
    [-EnableDnsProxy]
    [-DnsServer <String[]>]
    [-Tag <Hashtable>]
    [-Force]
    [-AsJob]
    [-Zone <String[]>]
    [-SkuName <String>]
    [-SkuTier <String>]
    [-VirtualHubId <String>]
    [-HubIPAddress <PSAzureFirewallHubIpAddresses>]
    [-FirewallPolicyId <String>]
    [-AllowActiveFTP]
    [-EnableFatFlowLogging]
    [-EnableDnstapLogging]
    [-EnableUDPLogOptimization]
    [-RouteServerId <String>]
    [-MinCapacity <Int32>]
    [-MaxCapacity <Int32>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

New-AzFirewall cmdlet은 Azure Firewall을 만듭니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip

이 예제에서는 방화벽과 동일한 리소스 그룹에 가상 네트워크 "vnet"에 연결된 방화벽을 만듭니다. 규칙이 지정되지 않으므로 방화벽은 모든 트래픽(기본 동작)을 차단합니다. 위협 인텔은 또한 기본 모드인 경고로 실행됩니다. 즉, 악의적인 트래픽이 기록되지만 거부되지는 않습니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

$rule = New-AzFirewallApplicationRule -Name R1 -Protocol "https:443" -TargetFqdn "*"
$ruleCollection = New-AzFirewallApplicationRuleCollection -Name RC1 -Priority 100 -Rule $rule -ActionType "Allow"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ApplicationRuleCollection $ruleCollection

이 예제에서는 포트 443에서 모든 HTTPS 트래픽을 허용하는 방화벽을 만듭니다. 위협 인텔은 기본 모드인 경고로 실행됩니다. 즉, 악의적인 트래픽이 기록되지만 거부되지는 않습니다.

$rule = New-AzFirewallNatRule -Name "natRule" -Protocol "TCP" -SourceAddress "*" -DestinationAddress "10.1.2.3" -DestinationPort "80" -TranslatedAddress "10.2.3.4" -TranslatedPort "8080"
$ruleCollection = New-AzFirewallNatRuleCollection -Name "NatRuleCollection" -Priority 1000 -Rule $rule
New-AzFirewall -Name "azFw" -ResourceGroupName "rg" -Location centralus -NatRuleCollection $ruleCollection -ThreatIntelMode Off

이 예제에서는 10.1.2.3:80에서 10.2.3.4:8080 위협 Intel으로 향하는 모든 패킷의 대상 IP 및 포트를 변환하는 방화벽을 만들었습니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ThreatIntelMode Alert

이 예제에서는 모든 트래픽(기본 동작)을 차단하고 위협 Intel이 경고 모드에서 실행되는 방화벽을 만듭니다. 즉, 다른 규칙을 적용하기 전에 악성 트래픽에 대한 경고 로그가 내보내집니다(이 경우 기본 규칙 - 모두 거부).

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

$rule = New-AzFirewallApplicationRule -Name R1 -Protocol "http:8080" -TargetFqdn "*"
$ruleCollection = New-AzFirewallApplicationRuleCollection -Name RC1 -Priority 100 -Rule $rule -ActionType "Allow"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ApplicationRuleCollection $ruleCollection -ThreatIntelMode Deny

이 예제에서는 위협 Intel에서 악의적인 것으로 간주되지 않는 한 포트 8080에서 모든 HTTP 트래픽을 허용하는 방화벽을 만듭니다. 경고와 달리 거부 모드에서 실행하는 경우 위협 Intel에서 악성으로 간주되는 트래픽은 기록되지 않고 차단됩니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetworkName $vnet.Name -PublicIpName $pip.Name -Zone 1,2,3

이 예제에서는 사용 가능한 모든 가용성 영역이 있는 방화벽을 만듭니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -Name "vnet" -ResourceGroupName $rgName
$pip1 = New-AzPublicIpAddress -Name "AzFwPublicIp1" -ResourceGroupName "rg" -Sku "Basic" -Tier "Regional" -Location "centralus" -AllocationMethod Static
$pip2 = New-AzPublicIpAddress -Name "AzFwPublicIp2" -ResourceGroupName "rg" -Sku "Basic" -Tier "Regional" -Location "centralus" -AllocationMethod Static
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress @($pip1, $pip2)

이 예제에서는 두 개의 공용 IP 주소를 사용하여 가상 네트워크 "vnet"에 연결된 방화벽을 만듭니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

$rule = New-AzFirewallApplicationRule -Name R1 -Protocol "mssql:1433" -TargetFqdn "sql1.database.windows.net"
$ruleCollection = New-AzFirewallApplicationRuleCollection -Name RC1 -Priority 100 -Rule $rule -ActionType "Allow"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ApplicationRuleCollection $ruleCollection -ThreatIntelMode Deny

이 예제에서는 표준 포트 1433에서 SQL 데이터베이스 sql1.database.windows.net MSSQL 트래픽을 허용하는 방화벽을 만듭니다.

$rgName = "resourceGroupName"
$fp = Get-AzFirewallPolicy -ResourceGroupName $rgName -Name "fp"
$fpId = $fp.Id
$vHub = Get-AzVirtualHub -Name "hub"
$vHubId = $vHub.Id

New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -SkuName AZFW_Hub -VirtualHubId $vHubId -FirewallPolicyId -$fpId

이 예제에서는 가상 허브 "vHub"에 연결된 방화벽을 만듭니다. 방화벽 정책 $fp 방화벽에 연결됩니다. 이 방화벽은 방화벽 정책 $fp 언급된 규칙에 따라 트래픽을 허용/거부합니다. 가상 허브와 방화벽은 동일한 지역에 있어야 합니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

$tiWhitelist = New-AzFirewallThreatIntelWhitelist -FQDN @("www.microsoft.com") -IpAddress @("8.8.8.8")
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ThreatIntelWhitelist $tiWhitelist

이 예제에서는 위협 인텔리전스에서 "www.microsoft.com" 및 "8.8.8.8"을 허용 목록에 추가하는 방화벽을 만듭니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"

New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -PrivateRange @("99.99.99.0/24", "66.66.0.0/16")

이 예제에서는 "99.99.99.0/24" 및 "66.66.0.0/16"을 개인 IP 범위로 처리하는 방화벽을 만들고 해당 주소에 대한 트래픽을 차단하지 않습니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
$mgmtPip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "managementPublicIpName"

New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -ManagementPublicIpAddress $mgmtPip

이 예제에서는 방화벽과 동일한 리소스 그룹에 가상 네트워크 "vnet"에 연결된 방화벽을 만듭니다. 규칙이 지정되지 않으므로 방화벽은 모든 트래픽(기본 동작)을 차단합니다. 위협 인텔은 또한 기본 모드인 경고로 실행됩니다. 즉, 악의적인 트래픽이 기록되지만 거부되지는 않습니다.

"강제 터널링" 시나리오를 지원하기 위해 이 방화벽은 "AzureFirewallManagementSubnet" 서브넷 및 관리 트래픽에 대한 관리 공용 IP 주소를 사용합니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
$fp = Get-AzFirewallPolicy -ResourceGroupName $rgName -Name "fp"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -FirewallPolicyId $fp

이 예제에서는 방화벽과 동일한 리소스 그룹에 가상 네트워크 "vnet"에 연결된 방화벽을 만듭니다. 방화벽에 적용되는 규칙 및 위협 인텔리전스는 방화벽 정책에서 가져옵니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -DnsServer @("10.10.10.1", "20.20.20.2")

이 예제에서는 방화벽과 동일한 리소스 그룹에 가상 네트워크 "vnet"에 연결된 방화벽을 만듭니다. 이 방화벽에 대해 DNS 프록시를 사용하도록 설정하고 2개 DNS 서버가 제공됩니다. 또한 네트워크 규칙에 대한 DNS 프록시 요구가 설정되므로 FQDN이 있는 네트워크 규칙이 있는 경우 DNS 프록시도 사용됩니다.

$rgName = "resourceGroupName"
$vHub = Get-AzVirtualHub -Name "hub"
$vHubId = $vHub.Id
$fwpips = New-AzFirewallHubPublicIpAddress -Count 2
$hubIpAddresses = New-AzFirewallHubIpAddress -PublicIP $fwpips
$fw=New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location westus -SkuName AZFW_Hub -HubIPAddress $hubIpAddresses -VirtualHubId $vHubId

이 예제에서는 방화벽과 동일한 리소스 그룹에 가상 허브 "허브"에 연결된 방화벽을 만듭니다. 방화벽에는 암시적으로 생성된 2개 공용 IP가 할당됩니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$pip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "publicIpName"
New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -PublicIpAddress $pip -AllowActiveFTP

다음은 활성 FTP 플래그를 허용하는 방화벽을 만드는 예제입니다.

$rgName = "resourceGroupName"
$vnet = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name "vnet"
$mgmtPip = Get-AzPublicIpAddress -ResourceGroupName $rgName -Name "managementPublicIpName"

New-AzFirewall -Name "azFw" -ResourceGroupName $rgName -Location centralus -VirtualNetwork $vnet -ManagementPublicIpAddress $mgmtPip

이 예제에서는 서브넷 "AzureFirewallManagementSubnet"과 관리 트래픽에 대한 관리 공용 IP 주소를 사용하는 "강제 터널링" 방화벽을 만듭니다. 이 시나리오에서는 사용자가 개인 트래픽에만 방화벽을 사용하는 경우 데이터 공용 IP를 지정할 필요가 없습니다.

이 cmdlet은 일반적인 매개 변수인 -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction 및 -WarningVariable 매개 변수를 지원합니다. 자세한 내용은 about_CommonParameters를 참조하세요.