保护Web应用程序免受恶意流量和阻止未经授权的访问
内容提要
本文介绍了保护Web应用程序免受恶意流量和未经授权访问的步骤，包括创建Azure防火墙子网和防火墙，更新防火墙策略，创建应用程序规则和网络规则，以及验证部署状态。
延伸解读
防火墙子网配置要点
在现有虚拟网络 app-vnet 中创建 AzureFirewallSubnet 子网，地址范围指定为 10.1.63.0/26。这是部署 Azure 防火墙的必要步骤，因为防火墙需要专用子网。配置时需确保地址范围不与现有子网重叠，且保留其他设置为默认值。
应用程序规则的作用
应用程序规则集合 app-vnet-fw-rule-collection 允许源地址 10.1.0.0/23 通过 HTTPS 访问 dev.azure.com 和 azure.microsoft.com。这使 Web 应用程序能够与 Azure Pipelines 和 Azure 网站通信，确保 DevOps 流程和依赖服务的连通性。
网络规则与 DNS 解析
网络规则集合 app-vnet-fw-nrc-dns 允许源地址 10.1.0.0/23 通过 UDP 协议访问目标端口 53 的 DNS 服务器 1.1.1.1 和 1.0.0.1。这确保了虚拟网络内的 DNS 解析正常，避免因 DNS 阻断导致的服务发现失败。
部署验证步骤
完成配置后，需验证 Azure 防火墙和防火墙策略的预配状态是否为“成功”。在门户中分别搜索并选择 app-vnet-firewall 和 fw-policy，检查 Provisioning state 字段。只有状态为 Succeeded，才表示部署成功，防火墙可以正常保护 Web 应用程序。
Q&A
如何创建Azure防火墙子网？
在虚拟网络中选择app-vnet，添加子网AzureFirewallSubnet，地址范围为10.1.63.0/26。
Azure防火墙的创建步骤是什么？
在搜索框中输入Firewall，选择创建，填写资源组、名称、SKU等信息，然后选择创建。
如何更新Azure防火墙策略？
在搜索框中输入Firewall Policy，选择fw-policy，添加应用程序规则和网络规则。
应用程序规则的作用是什么？
应用程序规则允许Web应用程序访问Azure Pipelines和相关服务。
如何验证Azure防火墙的部署状态？
在搜索框中输入Firewall，选择app-vnet-firewall，检查Provisioning state是否显示为Succeeded。
创建网络规则集合的步骤是什么？
选择网络规则，添加网络规则集合，设置名称、优先级和规则，然后选择添加。
