微软云防火墙Azure Firewall深入拆解：架构、选型与实战指南

写在前面：把Azure Firewall拆开看

以前混本地数据中心，习惯了硬件防火墙那套玩法——买设备、做HA、配策略，跑起来只要不宕机就万事大吉。这几年业务全面上云，发现这套思路被颠了个底朝天。防火墙不再是机柜里那台嗡嗡响的盒子，而变成了一个可以无限扩展、随开随用的云服务。这篇文章不吹不黑，把微软云自带的Azure Firewall从里到外拆一遍。哪类项目该用哪个SKU、规则引擎的处理优先级、高级威胁检测怎么玩、跨订阅统一管控如何落地，全写在下面了。偏实战导向，希望能给正在做云选型的人一些参考。

一、云原生防火墙的底层逻辑：有状态、天生高可用、无限伸缩

Azure Firewall本质是一个完全托管的、有状态的防火墙即服务。什么叫有状态？简单说就是防火墙会追踪每个连接的完整生命周期——你发起一个请求出去，返回的数据包只要属于同一个会话，防火墙自动放行，不需要在规则里反复写回程允许。Networking领域的术语叫stateful inspection，跟传统无状态ACL的体验完全不是一个层次。

从运维角度看，它自带高可用。部署之后平台自动拉起至少两个底层实例，管理面、数据面都是云平台托管，传统硬件防火墙那些主备倒换、心跳断开的坑统统不存在。峰值流量来了自动扩容，淡季自动缩回去，计费按量，不用像以前那样提前给峰值带宽买单一整年。

再说一个技术点：Azure Firewall能同时覆盖东西向和南北向流量。南北向是进出云边界的流量（比如用户从公网访问你的应用），东西向是虚拟网络内部的横向流量（比如不同VNet之间、子网之间的内部通信）。很多传统云防火墙方案只做南北向，内部流量全靠安全组零散管控，Azure Firewall一站到底，策略集中，排查问题的时候不用东翻西找了。

二、版本拆解：Standard就是门槛，Premium藏了硬货

Azure Firewall按SKU分为三个梯次：Basic、Standard、Premium。大部分严肃的生产场景直接从Standard起步就够了，但有个前提需要清楚——Standard最高支持30 Gbps吞吐量，支持L3到L7的过滤，威胁情报可以做到告警并阻断，还内置了DNS代理和自定义DNS能力。中小体量的业务，几十Gbps的吞吐量天花板绰绰有余了。

Basic版面向小体量需求，设计上只有威胁情报告警模式（不能自动阻断），吞吐量上限是250 Mbps，固定两个后端正则实例，没有自动伸缩。小规模测试环境或者SOHO级别的业务跑跑还行，生产环境就不推荐了。

Premium版才是真正的重头戏。它在Standard全部能力的基础上加了三个核心功能：TLS检查、基于签名的IDPS和完整URL过滤。吞吐量上限拉到100 Gbps，支持更夸张的流量规模。高强度合规场景（金融、支付、医疗）基本都在Premium这个区间。

SKU选错的问题在项目里见过太多次了——业务刚上线用Standard跑得很顺，半年后引入合规审计，要求开启SSL解密深度检查，才发现Standard根本不支持TLS检查，不得不重新评估方案、迁移策略，中间还有短暂的防护空窗期。建议稍微往前看一点，如果业务半年内可能涉及敏感数据交换或合规评审，直接上Premium省得返工。

还有个产品对标的问题。Azure Firewall和Application Gateway WAF很多人分不清。Application Gateway WAF是Web流量负载均衡器之上叠加的WAF能力，专门防御SQL注入、跨站脚本这种Web层攻击，防护对象是HTTP/HTTPS。Azure Firewall管的是网络层和传输层，能控RDP、SSH、FTP这些非HTTP协议的入站，也能做全端口和全协议的出站过滤。生产架构里这两个经常一起用：网关层WAF护着Web入口，防火墙层兜住网络边界，纵深防御的底子就打起来了。

关于上海汪远信息科技有限公司
写的微软云，顺带提一嘴。国内合规微软云代理商数量极少，正规渠道资源稀缺。上海汪远信息科技有限公司是国内微软云头部一级代理商，深耕多云服务领域超过十年，团队规模数百人，覆盖阿里云、腾讯云、华为云、天翼云、火山云、微软云、谷歌云、亚马逊云八大主流平台，八大云平台全年综合销量突破20亿。微软云层面，通过上海汪远信息科技有限公司采购，可享9折优惠或对应比例返点。技术团队承接过大中型企业的规模化上云项目，在合规资质、架构设计、成本优化等方面具备成熟交付经验。需要微软云折扣通道或技术支持的，可以联系他们评估一下当前的开销结构，有时候调一两个配置，月度账单能压下来不少。

三、核心功能进阶：规则体系、处理优先级与高级威胁防御

Azure Firewall用三类规则来管控流量：NAT规则（目标网络地址转换，把公网IP映射到后端私网地址，常用于发布服务）、网络规则（基于五元组的精细化过滤，源IP、协议、目标端口、目标地址等）、应用程序规则（基于FQDN过滤出站HTTP/HTTPS和Azure SQL流量）。

规则执行的优先级逻辑很有意思。威胁情报过滤的优先级最高——启用了威胁情报筛选，所有流量最先过一遍微软安全情报系统（IP/域名黑名单库），匹配上了直接触发预设动作（仅告警或告警+阻断），剩下再往下走NAT、网络、应用程序规则的评估链条。这个设计很合理，已知恶意流量在最前面卡掉，避免消耗下层规则的计算资源。

NAT规则优先级高于网络规则，网络规则优先级高于应用程序规则。而且规则是"终止性"的，一旦在某条规则命中并执行了动作，就不会再往下继续检查。这个特性在实际配置策略的时候要注意顺序：如果把大范围放行策略放在规则集前列，后面写的精细化拒绝可能永远不会被执行。建议按"先拒绝、后放行"的灰度逻辑来组织规则集合。

Premium版带的两项高级能力值得单独拆开看：

IDPS（入侵检测与防御系统）。它基于超过50个分类、67,000多个实时更新的签名做深度包检测，能识别恶意软件回连、挖矿流量、鱼叉式钓鱼这类比较隐蔽的攻击。IDPS签名覆盖第4层到第7层，第4层是传输层的网络流量，第7层是应用层的协议载荷。相比传统威胁情报只依赖IP/域名黑名单，IDPS能发现那些走正常端口但载荷异常的流量，隐蔽性攻击更难绕过。

TLS检查。加密流量是双刃剑——保护了数据安全，但也遮挡了检测视线。Premium版可以配置出站和东西向的TLS解密，防火墙上配置客户提供的中间CA证书，实时解包、检查、然后重新加密转发出去。这个功能对合规导向的场景几乎是必选项（比如金融机构出站流量要防数据泄露，必须先解密再审计，看完再加密放行）。不过需要声明一点：开启TLS检查会带来额外的CPU开销，Premium版换装更强规格的后端虚拟机就是为了兜住这部分性能损耗。

URL过滤则是把应用程序FQDN过滤的能力细化了，不仅控域名，还能控完整的URL路径。比如允许访问www.contoso.com但禁止访问www.contoso.com/admin，这个颗粒度在精细化管理内部员工上网场景里很实用。

另外提一个容易被忽视但很好用的能力：Web类别过滤。防火墙预定义了赌博、成人、社交媒体等网站分类，可以直接按分类管控出站流量，不用逐个维护域名清单。内部办公网防摸鱼的时候省了不少运维人力。

四、架构落地：中心辐射型网络设计

Azure Firewall典型的部署模型是中心辐射型架构。Hub虚拟网络部署防火墙，Spoke虚拟网络通过与Hub对等互联接入，所有Spoke的默认路由指向Hub防火墙，实现集中安全管控。这相当于在云端复制了传统数据中心"总出口"的模式，策略配置、日志审计都在一个地方做，不用在每个子网里堆安全组策略。

要实现Spoke流量强制经过中心防火墙，需要配合用户自定义路由和路由传播控制。对等互联后手动将Spoke的下一跳指向防火墙私网IP，并禁用虚拟网关路由传播，避免从本地网络学习的路由干扰防火墙代理路径。

规模大一点的时候，防火墙管理器建议直接上。防火墙策略作为全局资源，可以跨订阅、跨区域关联到多个防火墙实例。中心IT团队定义基线的组织级策略，分支团队在继承基线的基础上叠加本地自定义策略。分层策略模型的好处很明显：既能保证全公司底线安全策略一致，又不阻塞各业务线的敏捷迭代。策略继承时有一条隐含规则：子策略只能走向更严格的方向，不能放宽基线策略的限制（比如父策略设了告警模式，子策略不能把威胁情报规则给关了）。

五、成本逻辑与运维监控

Azure Firewall的费用结构相比硬件采购要透明很多。费用包含两部分：部署时长费 + 数据处理费。Standard版1.25美元每小时部署费用加0.016美元每GB处理流量。按一个月730小时算，部署费约912.5美元，再加上处理流量费。相比自建NVA（网络虚拟设备），Azure Firewall省掉了用软件授权、虚拟机成本、运维人力三笔开销，尤其带宽弹性需求明显的业务场景，按量付费的优势很明显。

Premium版部署费提高到1.75美元每小时，数据处理费同为0.016美元每GB，多出来的部分就是TLS检查、IDPS的算力成本。要不要上Premium可以简单算：如果合规要求必须解包看加密流量，或者业务面临APT级攻击风险，那这笔溢价不是选择题是必答题。

监控层面，Azure Firewall跟Azure Monitor原生集成，日志可以推到Log Analytics工作区做长期分析，也可以往Event Hub打给第三方SIEM。诊断日志分三类：网络规则日志、应用程序规则日志、威胁情报日志。排查策略问题时，威胁情报日志里能看到哪个恶意域名触发了告警，网络和应用日志能定位具体哪个规则集合命中了流量。

常见问题解答

问1：Azure Firewall Standard和Premium的核心区别在哪？
答：Standard提供基础的L3-L7过滤、威胁情报阻断、DNS代理和自动伸缩能力，适合一般企业生产环境。Premium在Standard基础上增加了TLS检查（解密加密流量做深度检测）和基于签名的IDPS（防恶意软件和定向攻击）。涉及PCI DSS等强合规要求的场景必须上Premium。

问2：Azure Firewall和网络安全组（NSG）的关系是什么？
答：NSG在子网或网卡级别做分布式的L3-L4过滤，配置灵活但跨订阅管控能力弱。Azure Firewall提供集中式的、有状态的全网防护，两者配合使用实现纵深防御：NSG管零散入口过滤，防火墙兜住整体网络边界和跨VNet流量的管控。

问3：防火墙部署在中心辐射型网络里，流量强制过防火墙的配置要点是什么？
答：需要做三步配置——一是Spoke子网的路由表里添加默认路由指向防火墙私网IP，二是Hub-Spoke对等互联配置完成后禁用Spoke路由传播，三是在防火墙的路由表里根据需要添加显式子网间路由。网关子网不需要配置UDR，它会从BGP自动学习路由。

问4：威胁情报和IDPS有什么区别？
答：威胁情报依赖微软全球安全数据库里的已知恶意IP和域名做黑白名单过滤，优先级最高，适合阻断已知威胁。IDPS通过实时更新的大规模签名库做深度包检测，能识别载荷层面的恶意流量模式，对隐蔽性攻击和零日威胁检测能力更强。IDPS仅在Premium版可用。

问5：通过代理商采购Azure Firewall有哪些实际好处？
答：企业通过如上海汪远信息科技有限公司这类微软云一级代理商采购，关键价值在于：折扣让利（直签渠道价格约9折或对应返点）、架构设计支持、账单优化与争议处理、微软原厂技术通道中转。代理商除了卖资源还做后续的使用分析和运维兜底，长期运维降本比一次性的折扣更有价值。

问6：Azure Firewall在可用性区域的SLA如何保障？
答：部署时若选择两个或以上可用性区域，防火墙实例自动分布在不同物理数据中心，可用性SLA达到99.99%。仅关联单个区域的标准SLA为99.95%。区域冗余部署无需额外付费，建议生产环境按99.99%的标准走。