Azure Firewall 完全ガイド｜Basic/Standard/Premium 選定・Rule 設計・Firewall Manager

Azure Firewall は Microsoft マネージドの L3-L7 ステートフルファイアウォール / ネットワークセキュリティサービス。VNet 単位で展開し、組織全体のトラフィック制御・FQDN フィルタリング・脅威インテリジェンス連携・IDPS (Premium)・TLS 検査 (Premium) を提供。Hub-Spoke アーキテクチャの Hub VNet に配置するのが標準パターン。NSG (Network Security Group) と相補的な役割で、NSG が Subnet レベルの L3-L4 制御、Azure Firewall が VNet 全体の L7 統制を担う設計が定石です。

Basic SKU (2023 GA): 中小規模向け、最大 250 Mbps、月額約 4 万円から。Application / Network Rule・基本脅威インテリジェンス・IP Group。Standard SKU: 標準的なエンタープライズ向け、最大 30 Gbps、月額約 12 万円から。Forced Tunneling・DNS Proxy・Zone Redundancy 対応。Premium SKU: 高度セキュリティ要件向け、月額約 35 万円から。TLS 検査 (Encrypted Traffic Inspection)・IDPS (侵入検知防止)・URL フィルタリング・Web カテゴリ。Premium が必要な要件: 暗号化トラフィック内のマルウェア検査・PCI DSS / HIPAA 等の高度コンプライアンス。一般的な本番環境は Standard で十分なケースが多い。

Azure Firewall Manager は複数の Azure Firewall を集中管理する制御プレーンサービス。Firewall Policy という JSON ベースの設定を作成し、複数 Firewall インスタンスに適用 (継承可能)。Virtual WAN の Secured Virtual Hub に Azure Firewall を統合する場合は Firewall Manager 経由が必須。エンタープライズで多リージョン Hub-Spoke を運用する場合、共通ポリシー (Allow Microsoft 365・Block Risky Country など) を Parent Policy として全 Firewall に継承、リージョン固有ルールを Child Policy で追加するのがベストプラクティス。Microsoft Entra ID の RBAC で Firewall Policy のオーナーシップを SOC チームに委譲することも可能です。

Network Rule: L3-L4 制御、IP アドレス・Port・Protocol (TCP/UDP/ICMP) ベース。標準的なファイアウォールルール。Application Rule: L7 制御、FQDN (Fully Qualified Domain Name) ベース、HTTP/HTTPS のみ。例: 『*.microsoft.com への HTTPS を許可』『*.windowsupdate.com への HTTP/HTTPS を許可』。FQDN タグも提供 (Microsoft365・WindowsUpdate・AzureBackup など、Microsoft 提供の事前定義 FQDN グループ)。設計原則: アウトバウンドの Microsoft 365 / Windows Update / Azure サービスへのアクセスは Application Rule + FQDN タグ で簡潔に構成、サーバー間通信は Network Rule で IP/Port 制御という使い分けが定石です。

DNAT Rule は、Azure Firewall の Public IP に到達したトラフィックを VNet 内のプライベート IP に転送するルール。代表的なユースケース: 1) RDP/SSH 管理アクセス (例: Firewall Public IP の 22 番ポートを VNet 内 Jumpbox VM の 22 番ポートに転送)、2) Web サーバー公開 (Firewall の 80/443 を Web Server VM に転送)、3) IoT デバイスからの特定ポート受信。注意: DNAT Rule で公開する VM のセキュリティは特に注意 (Application Gateway WAF・Front Door 経由のほうがセキュア)。本番 Web 公開には Application Gateway / Front Door + WAF + Private Endpoint の組み合わせが推奨で、Azure Firewall DNAT は管理用途中心です。

Forced Tunneling は、Azure Firewall または Azure VNet からのインターネット向けトラフィックを、オンプレファイアウォール経由で出させる構成。組織のセキュリティポリシーで『すべてのインターネット出力をオンプレ FW で監査』が必須の金融・政府機関で使われるパターン。Azure Firewall Standard / Premium で対応 (Basic は非対応)、Subnet (AzureFirewallSubnet) の UDR で Default Route (0.0.0.0/0) を VPN Gateway / ExpressRoute Gateway に向ける構成。トレードオフ: オンプレファイアウォールがボトルネック・遅延増・コスト増。クラウドネイティブ志向の企業ではあまり使われませんが、規制業界での要求パターンとして覚えておく価値があります。

NSG (Network Security Group): Subnet / NIC レベルの L3-L4 ステートフル制御、無料、すべての VNet で標準適用。Azure Firewall: VNet レベルの L3-L7 制御、有料、組織全体の統制用。設計原則: NSG を常時適用 (基本セキュリティ) + Azure Firewall を Hub VNet に配置 (高度制御・FQDN・脅威 TI)。具体例: Subnet 内 VM 間通信は NSG で IP/Port 制御、Spoke から Internet への出力は Hub の Azure Firewall で FQDN フィルタリング + ログ集約。両者は競合関係ではなく相補関係で、組み合わせて使うのが標準。Microsoft も両方の併用を推奨しています。詳細は VNet 完全設計ガイド を参照。

AZ-700 (Network Engineer Associate) で Azure Firewall が深く問われ、Application Rule・Network Rule・DNAT・FQDN タグ・Firewall Manager・Forced Tunneling などの設計判断が頻出。AZ-104 (Administrator) のドメイン 4 で基礎、AZ-305 (Solutions Architect Expert) でアーキテクト視点での選定、SC-100 (Cybersecurity Architect Expert) でゼロトラストネットワーク設計の中核として、SC-500 (旧 AZ-500、2026-09 GA) で Azure セキュリティ実装の重要トピック。Azure を扱うネットワーク・セキュリティエンジニアにとって Azure Firewall の理解は必須スキルです。