Application Gatewayにおいて送信元がFront Doorの通信のみ許可させる方法

2024年5月15日

インターネット　⇒　Front Door　⇒ Application Gateway　⇒ Webサーバ

という、よくある通信経路があったとします。

Application GatewayにおいてFront Door以外からの通信を拒否する方法を紹介します。

以下のような通信を拒否する方法です。

インターネット　 ⇒ ×　Application Gateway　⇒ Webサーバ

1. 方法１:NSGを使う
- 1.1. 参考サイト
- 1.2. 注意点
2. 方法２：WAF ポリシーのカスタムルールを使う
- 2.1. 注意点

方法１:NSGを使う

Front Door が送信元となる通信の IP アドレスは、AzureFrontDoor.Backend サービスタグに含まれています。

そのため、Azure ポータルで Application Gateway が存在している仮想ネットワークにネットワークセキュリティグループ (NSG) を関連付けて、NSG の受信セキュリティ規則において、以下のような AzureFrontDoor.Backend サービスタグから TCP ポート 80 と 443 への通信のみを許可するルールを定義します。

参考サイト

– パブリック IP ベースの配信元

https://learn.microsoft.com/ja-jp/azure/frontdoor/origin-security?tabs=application-gateway&pivots=front-door-standard-premium#public-ip-address-based-origins

– 構成例

https://learn.microsoft.com/ja-jp/azure/frontdoor/origin-security?tabs=application-gateway&pivots=front-door-standard-premium#example-configuration

(抜粋)

—–

Application Gateway は仮想ネットワークにデプロイされます。ネットワークセキュリティグループ規則を構成して、AzureFrontDoor.Backend サービスタグからポート 80 と 443 への受信アクセスを許可し、"インターネット" サービスタグからポート 80 と 443 への受信トラフィックを禁止します。

カスタム WAF ルールを使用してヘッダー値 X-Azure-FDID を確認します。詳細については、「Application Gateway で Web アプリケーションファイアウォール v2 のカスタム規則を作成して使用する」を参照してください。

—–

注意点

Front Door のサービスは世界中のエッジサーバーに分散配置されており、複数のユーザでエッジサーバーを共有して利用するマネージドサービスになるため、上記の NSG の設定だけでは Application Gateway へのアクセスを対象の Front Door のみに絞れていない状況になります (他のユーザの Front Door から自分のApplication Gateway に対して接続できる状況になります)。

Application Gatewayに接続できる、Front Doorを制限したい場合は以下の方法２が使えます。