Azure認證帳號購買 Azure防火牆規則創建教程
為什麼需要Azure防火牆？
說到防火牆，很多人腦海裡浮現的是笨重的機櫃、複雜的指令，甚至懷疑自己是不是該去報個班學編程。但Azure防火牆不同，它是雲端原生的「智能保安」，自動識別威脅、動態調整策略，還能和你的VNet無縫銜接。最關鍵的是——你不用買硬件、不用跑機房，點點鼠標就能搞定！想想看，以前要花幾萬塊買設備，現在每月幾百塊就能享受企業級防護，這筆賬怎麼算都划算。
不過，別高興太早！再智能的保安也需要你教他「見人就查，見可疑就攔」。規則設置如果亂來，可能讓合法流量被攔在外頭，或者放行壞人。別擔心，下面這篇教程會用「人話」教你一步步設定，連「協議」和「FQDN」這種專業詞都翻譯成大白話。
手把手教學：一步步創建防火牆規則
別被「規則集合」這種詞嚇到，其實它就是防火牆的「指令手冊」。每個集合像一本記事本，上面寫著「什麼人可以進、進哪個門、進去幹什麼」。現在我們開始寫這本手冊吧！
第一步：準備工作——先別急著點擊「創建」
打開Azure Portal，找到你的防火牆資源。點擊左側菜單的「規則」>「網路規則集合」，然後點「+ 添加」。等等！先別急著填表單，先確認三件事：
- 你有「Microsoft.Network/azureFirewalls/write」權限，否則連按鈕都看不到；
- 確認你的VNet和子網已經正確配置，防火牆得掛在特定子網上才能生效；
- 準備好要放行的IP範圍、端口和協議清單——手邊放杯咖啡，慢慢列，別急。
記住，防火牆規則就像訂法律條文，寫錯一個字可能導致整條規則作廢。所以先想清楚再動手，省得後面改到頭髮掉光。
第二步：設定網路規則——讓合法流量暢通無阻
網路規則是防火牆的「基本功」，專門管理IP層級的流量。比如你想讓內部伺服器連接Azure SQL資料庫，就得設定這類規則。
在新增網路規則集合的頁面，先填名稱（比如「SQL-Access-Rules」），優先級設為100（數字越小越優先）。點「+ 添加網路規則」，填入：
- 名稱：「Allow-SQL-DB」；
- 源類型：「IP地址」；
- 源地址：「10.0.0.0/24」（替換成你的VNet網段）；
- 目標類型：「IP地址」；
- 目標地址：「52.147.24.100」（你的SQL資料庫IP）；
- 目標端口：「1433」；
- 協議：「TCP」；
- 動作：「允許」。
這時候防火牆就像個嚴謹的保安：「10.0.0.0/24範圍內的人，只允許去52.147.24.100的1433端口，其他地方一概不理！」別把源地址寫成「*」，否則保安會放所有人進來，這可不行！
再舉個例子：如果你的內部應用要連接Azure Storage，目標地址得填Storage帳戶的服務端點IP（比如「13.66.152.0/24」），端口填「443」。記住，Storage服務端點IP可能變動，建議用「服務標籤」（Service Tag）直接選「AzureStorage」，這樣最穩當。
第三步：設定應用規則——精準控制HTTP/HTTPS流量
網路規則管IP，應用規則則更進階，專門管網站和應用層的流量。比如你只允許員工上GitHub和Stack Overflow，就得用應用規則。
點擊「應用規則集合」>「+ 添加」，填入名稱（比如「Web-Access-Rules」），優先級150。點「+ 添加應用規則」，填入：
- 名稱：「Allow-Developer-Sites」；
- 源類型：「IP地址」；
- 源地址：「10.0.0.0/24」；
- 目標FQDN：「github.com」、「stackoverflow.com」（每行一個）；
- 目標端口：「443」；
- 協議：「HTTPS」。
這時候防火牆就變成了「網站審查員」：只有10.0.0.0/24範圍的人，才能訪問github.com和stackoverflow.com的HTTPS流量，其他網站？請出門右轉！
注意：別忘了用「HTTPS」協議，如果填HTTP，可能會被攔下。還有，FQDN一定要寫完整，「www.github.com」和「github.com」是兩個不同的域名哦！想允許所有子域名？可以用「*.github.com」，但某些舊版瀏覽器可能不支援，建議先測試。
如果要限制訪問特定API，比如「api.example.com/v1/users」，應用規則只能到域名層級，無法精確到路徑。這時候得搭配Web應用防火牆（WAF）才能做到細粒度控制，但那是另一個話題了。
第四步：NAT規則設定——端口轉發不求人
NAT規則是防火牆的「隱形魔法」，把外網流量悄悄轉發到內網伺服器。比如你想讓公網80端口的流量轉到內部Web伺服器的8080端口，就得用NAT規則。
Azure認證帳號購買 進入「NAT規則集合」>「+ 添加」，填名稱（比如「Web-Server-NAT」），優先級50（因為NAT通常要優先匹配）。點「+ 添加NAT規則」，填入：
- 名稱：「HTTP-to-Internal-Web」；
- 源類型：「IP地址」；
- 源地址：「*」（允許任何外網IP）；
- 前端端口：「80」；
- 協議：「TCP」；
- 目標IP：「192.168.1.100」；
- Azure認證帳號購買 後端端口：「8080」。
這樣一來，當有人訪問你的公網IP:80，防火牆會自動把請求轉到內部192.168.1.100:8080，但外人根本不知道內部真實IP，安全又隱蔽。不過小心！前端端口和後端端口別搞反，否則流量會「失蹤」，記得測試時用Telnet確認端口通不通。
假設你有個內部服務跑在5000端口，但想對外暴露8080端口，那前端端口填8080，後端端口填5000。防火牆會把收到的8080流量轉發到5000，外部用戶只看到8080端口可用，內部服務地址完全保密。
常見問題避坑指南
防火牆規則看似簡單，但坑真的多！下面這些問題，90%的人踩過坑，看完你就知道怎麼避開。
問題一：規則順序錯了怎麼辦？
規則集合的優先級是「數字越小越優先」。比如你有兩個規則：優先級50的「拒絕所有流量」，優先級100的「允許特定IP」，結果永遠是拒絕！因為50優先級更高，先匹配就直接擋掉了。
解決方法很簡單：把嚴格的規則（比如拒絕特定IP）優先級設得更低（比如50），寬鬆的規則（比如允許所有內部流量）設高點（比如200）。記住，防火牆是「先匹配先執行」，順序錯了就全亂套。建議每次新增規則前，先想清楚「這個規則是否要優先執行」，把關鍵規則放前面。
問題二：IP地址填錯了會怎樣？
這是最常見的「致命錯誤」！比如你把內部伺服器的內網IP（192.168.1.100）填成公網IP，結果流量根本到不了目標；或者源地址寫錯了子網掩碼，比如10.0.0.0/24寫成10.0.0.0/32，那就只允許10.0.0.0單個IP，其他人都進不來。
如何避免？先用Azure的「有效IP地址」功能確認範圍，或者用PowerShell查VNet網段。測試時可以先設「允許所有流量」，確認連通後再逐步縮小範圍。另外，子網掩碼別亂填，10.0.0.0/24和10.0.0.0/16差1000多個IP，一不留神就把自己鎖門外。
問題三：為什麼規則設置了卻沒生效？
這可能是因為規則集合未啟用！Azure防火牆的規則集合預設是「停用」狀態，需要手動點擊「啟用」按鈕。很多新手都忘記這一步，結果辛辛苦苦設好規則，卻發現流量照樣被擋。記得每新增一個規則集合，都要確認左上角的「啟用」開關是開啟狀態。
另外，防火牆規則生效需要幾分鐘時間，別急著刷新。如果設置後馬上測試失敗，先等5分鐘再試，通常就能正常工作了。
問題四：NAT規則怎麼一直失敗？
NAT規則有個超級隱藏的陷阱：你需要先設定「公共IP地址」！如果防火牆沒綁定公網IP，NAT規則再完美也無效。記得在防火牆的「配置」頁面，確認「公共IP地址」已正確分配。
另外，NAT規則的「目標IP」必須是內網地址，不能是外網IP。比如你設前端端口80轉到192.168.1.100:8080，但192.168.1.100其實是內網IP，防火牆才能正確轉發。如果填成公網IP，那流量會在雲端繞一圈又回來，形成死循環。
實際案例分享：中小企業如何用防火牆省錢又安全
小王的創業公司剛起步，預算有限，但又不想被黑客盯上。他們用了Azure防火牆：網路規則只允許公司辦公室IP（203.0.113.0/24）訪問內部ERP系統；應用規則只允許員工訪問指定的SaaS服務；NAT規則把公網80/443轉發到內部Web伺服器，但只允許HTTPS流量（應用規則限制目標FQDN）。這樣一來，每月省了幾千塊的傳統硬件防火牆費用，還更靈活安全。小王笑著說：「以前每天盯著防火牆，現在它自己乖乖工作，我反而有空泡咖啡了！」
具體來說：
- Azure認證帳號購買 網路規則集合（優先級50）：允許203.0.113.0/24訪問ERP的1433端口（SQL資料庫）；允許203.0.113.0/24訪問內部文件共享伺服器的445端口；拒絕所有其他流量（優先級100）。
- 應用規則集合（優先級150）：只允許訪問「salesforce.com」、「office365.com」、「docs.google.com」的HTTPS流量；拒絕所有其他網站流量。
- NAT規則集合（優先級10）：公網80轉內部192.168.1.20:8080；公網443轉內部192.168.1.20:443；源地址限定為「*」但應用規則嚴格控制流量類型。
這個配置有多精準？舉例：黑客掃描公網IP的80端口，發現有Web服務，但因為應用規則只允許HTTPS流量，HTTP請求直接被攔，連嘗試進攻的機會都沒有。員工想訪問Twitter？應用規則根本不允許，連點開瀏覽器都報錯，徹底杜絕上班摸魚。
更妙的是成本控制！傳統硬件防火牆年費至少3萬，Azure防火牆按小時計費，小公司每月只花300元，還能隨業務增長自動擴容。當公司擴張到100人時，只需調整規則集合，不用重新買設備——這才是雲端安全的真正優勢。
總結：防火牆不是魔法，但有規則就能變魔法
Azure防火牆的規則設置看似複雜，但只要你抓住三個關鍵：
- 先想清楚「誰能進、進哪個門、幹什麼」，再寫規則；
- 規則優先級從嚴到寬，避免「先放行後攔截」的矛盾；
- 測試！測試！測試！用Telnet或Azure的「連接測試」功能確認規則生效。
記住，防火牆不是「設置一次就不用管」的東西，它需要定期檢查、更新。就像你的手機需要裝系統更新，防火牆規則也得隨著業務變化調整。但只要按步驟來，你也能像專業工程師一樣，輕鬆搞定雲端安全防護——連保安大叔都誇你專業！
最後送你一句老話：「防火牆規則設定好了，安全感是自己的，但省下的錢是實實在在的。」下次開會時，你可以輕鬆地對老闆說：「我們的雲端防禦已經優化完畢，每月還能節省X千塊成本。」然後看著老闆驚訝的表情，偷偷笑出聲——這才是真正的IT高手境界。
