Tráfego seguro para as origens do Azure Front Door

É possível usar as restrições de acesso do Serviço de Aplicativo para realizar a filtragem de endereços IP, bem como a filtragem de cabeçalhos. O recurso é fornecido pela plataforma e não é necessário alterar o aplicativo ou host.

O Gateway de Aplicativo é implantado na rede virtual. Configure uma regra de grupo de segurança de rede para permitir o acesso de entrada nas portas 80 e 443 da marca de serviço AzureFrontDoor.Backend e não permitir o tráfego de entrada nas portas 80 e 443 da marca de serviço Internet.

Use uma regra personalizada do WAF (Firewall de Aplicativo Web) para verificar o valor do X-Azure-FDID cabeçalho. Para mais informações, consulte Criar e usar regras personalizadas do Firewall de Aplicativo Web v2 no Gateway de Aplicativo.

Para configurar o roteamento de tráfego no AKS (Serviço de Kubernetes do Azure) com o Gateway de Aplicativo para Contêineres, configure uma regra HTTPRoute para corresponder ao tráfego de entrada do Azure Front Door usando o cabeçalho X-Azure-FDID.

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: http-route
  namespace: {namespace}
spec:
  parentRefs:
  - name: {gateway-name}
  rules:
  - matches:
    - headers:
      - type: Exact
        name: X-Azure-FDID
        value: "xxxxxxxx-xxxx-xxxx-xxxx-xxx"
    backendRefs:
    - name: {backend-name}
      port: {port}

Ao executar os IIS (Serviços de Informações da Internet) da Microsoft em uma máquina virtual hospedada no Azure, é necessário criar um grupo de segurança de rede na rede virtual que hospeda a máquina virtual. Configure uma regra de grupo de segurança de rede para permitir o acesso de entrada nas portas 80 e 443 da marca de serviço AzureFrontDoor.Backend e não permitir o tráfego de entrada nas portas 80 e 443 da marca de serviço Internet.

Use um arquivo de configuração do IIS como no exemplo a seguir para inspecionar o cabeçalho X-Azure-FDID em suas solicitações recebidas:

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Filter_X-Azure-FDID" patternSyntax="Wildcard" stopProcessing="true">
          <match url="*" />
          <conditions>
            <add input="{HTTP_X_AZURE_FDID}" pattern="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" negate="true" />
          </conditions>
          <action type="AbortRequest" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

Ao executar o AKS com um controlador de entrada NGINX, é necessário criar um grupo de segurança de rede na rede virtual que hospeda o cluster do AKS. Configure uma regra de grupo de segurança de rede para permitir o acesso de entrada nas portas 80 e 443 da marca de serviço AzureFrontDoor.Backend e não permitir o tráfego de entrada nas portas 80 e 443 da marca de serviço Internet.

Use um arquivo de configuração de entrada do Kubernetes, como no exemplo a seguir, para inspecionar o cabeçalho X-Azure-FDID das solicitações recebidas:

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: frontdoor-ingress
  annotations:
  kubernetes.io/ingress.class: nginx
  nginx.ingress.kubernetes.io/enable-modsecurity: "true"
  nginx.ingress.kubernetes.io/modsecurity-snippet: |
    SecRuleEngine On
    SecRule &REQUEST_HEADERS:X-Azure-FDID \"@eq 0\"  \"log,deny,id:106,status:403,msg:\'Front Door ID not present\'\"
    SecRule REQUEST_HEADERS:X-Azure-FDID \"@rx ^(?!xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx).*$\"  \"log,deny,id:107,status:403,msg:\'Wrong Front Door ID\'\"
spec:
  #section omitted on purpose