使用 Azure CLI 启用 Web 应用程序防火墙

2023-06-01

你可以使用 Web 应用程序防火墙 (WAF) 限制应用程序网关上的流量。 WAF 使用 OWASP 规则保护应用程序。这些规则包括针对各种攻击（例如 SQL 注入、跨站点脚本攻击和会话劫持）的保护。

在本文中，学习如何：

设置网络
创建启用 WAF 的应用程序网关
创建虚拟机规模集
创建存储帐户和配置诊断

如果需要，可以使用 Azure PowerShell 完成此过程。

如果没有 Azure 帐户，请在开始前创建一个免费帐户。

先决条件

在 Azure Cloud Shell 中使用 Bash 环境。有关详细信息，请参阅 Azure Cloud Shell 入门。
如需在本地运行 CLI 参考命令，请安装 Azure CLI。如果在 Windows 或 macOS 上运行，请考虑在 Docker 容器中运行 Azure CLI。有关详细信息，请参阅如何在 Docker 容器中运行 Azure CLI。
- 如果使用的是本地安装，请使用 az login 命令登录到 Azure CLI。若要完成身份验证过程，请遵循终端中显示的步骤。有关其他登录选项，请参阅使用 Azure CLI 向 Azure 进行身份验证。
- 出现提示时，请在首次使用时安装 Azure CLI 扩展。有关扩展的详细信息，请参阅使用和管理 Azure CLI 中的扩展。
- 运行 az version 以查找安装的版本和依赖库。若要升级到最新版本，请运行 az upgrade。

本文需要 Azure CLI 版本 2.0.4 或更高版本。如果使用 Azure Cloud Shell，则最新版本已安装。

创建资源组

资源组是在其中部署和管理 Azure 资源的逻辑容器。使用 az group create 创建名为 myResourceGroupAG 的 Azure 资源组。

az group create --name myResourceGroupAG --___location eastus

创建网络资源

虚拟网络和子网用于提供与应用程序网关及其关联资源的网络连接。创建名为 myVNet 的虚拟网络和名为 myAGSubnet 的子网。创建名为 myAGPublicIPAddress 的公共 IP 地址。

az network vnet create \
  --name myVNet \
  --resource-group myResourceGroupAG \
  --___location eastus \
  --address-prefix 10.0.0.0/16 \
  --subnet-name myBackendSubnet \
  --subnet-prefix 10.0.1.0/24

az network vnet subnet create \
  --name myAGSubnet \
  --resource-group myResourceGroupAG \
  --vnet-name myVNet \
  --address-prefix 10.0.2.0/24

az network public-ip create \
  --resource-group myResourceGroupAG \
  --name myAGPublicIPAddress \
  --allocation-method Static \
  --sku Standard

创建具有 WAF 策略的应用程序网关

可以使用 az network application-gateway create 创建名为 myAppGateway 的应用程序网关。使用 Azure CLI 创建应用程序网关时，请指定配置信息，例如容量、sku 和 HTTP 设置。将应用程序网关分配给 myAGSubnet 和 myAGPublicIPAddress。

az network application-gateway waf-policy create \
  --name waf-pol \
  --resource-group myResourceGroupAG \
  --type OWASP \
  --version 3.2

az network application-gateway create \
  --name myAppGateway \
  --___location eastus \
  --resource-group myResourceGroupAG \
  --vnet-name myVNet \
  --subnet myAGSubnet \
  --capacity 2 \
  --sku WAF_v2 \
  --http-settings-cookie-based-affinity Disabled \
  --frontend-port 80 \
  --http-settings-port 80 \
  --http-settings-protocol Http \
  --public-ip-address myAGPublicIPAddress \
  --waf-policy waf-pol \
  --priority 1

创建应用程序网关可能需要几分钟时间。创建应用程序网关后，可以看到它的这些新功能：

appGatewayBackendPool - 应用程序网关必须至少具有一个后端地址池。
appGatewayBackendHttpSettings - 指定将端口 80 和 HTTP 协议用于通信。
appGatewayHttpListener - 与 appGatewayBackendPool 关联的默认侦听器。
appGatewayFrontendIP - 将 myAGPublicIPAddress 分配给 appGatewayHttpListener。
rule1 - 与 appGatewayHttpListener 关联的默认路由规则。

创建虚拟机规模集

在此示例中，将创建虚拟机规模集，以便为应用程序网关的后端池提供两个服务器。规模集中的虚拟机与 myBackendSubnet 子网相关联。若要创建规模集，可以使用 az vmss create。

在运行之前，将 <username> 和 <password> 替换为你的值。

az vmss create \
  --name myvmss \
  --resource-group myResourceGroupAG \
  --image Ubuntu2204 \
  --admin-username <username> \
  --admin-password <password> \
  --instance-count 2 \
  --vnet-name myVNet \
  --subnet myBackendSubnet \
  --vm-sku Standard_DS2 \
  --upgrade-policy-mode Automatic \
  --app-gateway myAppGateway \
  --backend-pool-name appGatewayBackendPool

安装 NGINX

az vmss extension set \
  --publisher Microsoft.Azure.Extensions \
  --version 2.0 \
  --name CustomScript \
  --resource-group myResourceGroupAG \
  --vmss-name myvmss \
  --settings '{ "fileUris": ["https://raw.githubusercontent.com/Azure/azure-docs-powershell-samples/master/application-gateway/iis/install_nginx.sh"],"commandToExecute": "./install_nginx.sh" }'

创建存储帐户和配置诊断

在本文中，应用程序网关使用存储帐户来存储用于检测和防范目的的数据。也可以使用 Azure Monitor 日志或事件中心来记录数据。

创建存储帐户

使用 az storage account create 创建名为 myagstore1 的存储帐户。

az storage account create \
  --name myagstore1 \
  --resource-group myResourceGroupAG \
  --___location eastus \
  --sku Standard_LRS \
  --encryption-services blob

配置诊断

配置诊断以将数据记录到 ApplicationGatewayAccessLog、ApplicationGatewayPerformanceLog 和 ApplicationGatewayFirewallLog 日志中。将 <subscriptionId> 替换为你的订阅标识符，然后使用 az monitor diagnostic-settings create 配置诊断。

appgwid=$(az network application-gateway show --name myAppGateway --resource-group myResourceGroupAG --query id -o tsv)

storeid=$(az storage account show --name myagstore1 --resource-group myResourceGroupAG --query id -o tsv)

az monitor diagnostic-settings create --name appgwdiag --resource $appgwid \
  --logs '[ { "category": "ApplicationGatewayAccessLog", "enabled": true, "retentionPolicy": { "days": 30, "enabled": true } }, { "category": "ApplicationGatewayPerformanceLog", "enabled": true, "retentionPolicy": { "days": 30, "enabled": true } }, { "category": "ApplicationGatewayFirewallLog", "enabled": true, "retentionPolicy": { "days": 30, "enabled": true } } ]' \
  --storage-account $storeid

测试应用程序网关

若要获取应用程序网关的公共 IP 地址，请使用 az network public-ip show。复制该公共 IP 地址，并将其粘贴到浏览器的地址栏。

az network public-ip show \
  --resource-group myResourceGroupAG \
  --name myAGPublicIPAddress \
  --query [ipAddress] \
  --output tsv

在应用程序网关中测试基 URL

清理资源

当不再需要资源组、应用程序网关以及所有相关资源时，请将其删除。

az group delete --name myResourceGroupAG

后续步骤

自定义 Web 应用程序防火墙规则

通过