微软更新Azure Firewall正式支援多重公共IP地址

微软更新Azure Firewall，可支援100个IP的多重公共IP功能，脱离测试阶段成为正式功能，同时也添加了SQL FQDN过滤以及FQDN标签预览版本功能。

用户在Azure Firewall上可以关联最多100个公共IP地址，这项功能在7月12日成为正式版本，并在所有区域提供。多重公共IP可以应用在过去难以实现的使用案例，微软提到，现在可以支援DNAT（Destination Network Address Translation）以及SNAT（Source Network Address Translation）应用。

DNAT的应用让用户可以转换多个标准连接埠实例到后端服务器，当用户同时拥有多个公共IP地址，就能转换到同一个TCP连接埠。而SNAT使用案例现在也支援多重IP，连外SNAT连线可以使用额外的连接埠，减少潜在SNAT耗尽的可能。

微软提到，由于目前Azure Firewall会随机挑选用于连线的公共IP，因此用户必须要在任何的下游过滤器，允许所有与防火墙相关连的IP。多重公共IP的功能，支援REST API、样板、PowerShell以及Azure CLI工具，Azure Portal则会在近期提供。

Azure Firewall的防护功能，现在可以延伸跨越多个Availability Zones，这个新功能可增加可用性，将维持99.99％的正常运作时间。Availability Zones位在Azure区域中特殊的物理位置，提供高可用性服务，以保护使用者的应用程序以及资料，每个Availability Zone都使用独立的电源、冷却系统以及网络，每个Azure区域最少有三个独立的Availability Zones。

Azure Firewall目前有两个功能正在预览，分别是SQL FQDN过滤以及Azure HDInsight FQDN标签。FQDN（Fully Qualified Domain Name，完全限定域名）是网域名称的一种，可以用来指定DNS树状图中一个确实的位置。

现在用户可以在Azure Firewall应用程序规则中配置SQL FQDN，这将可以限制从Azure虚拟网络到指定SQL服务器实例的存取，赋予用户有能力过滤从虚拟网络到Azure SQL数据库、Azure SQL资料仓储、Azure SQL托管实例或是在虚拟网络中托管SQL IaaS实例的流量。

由于目前仍在预览阶段，Azure Firewall只有在代理模式下，才能支援SQL FQDN过滤，用户现在可使用REST API、样板和Azure CLI工具进行设置，同样的，未来还会在Azure Portal中推出。

另一个预览功能则可用来防止资料外泄，用户现在可在Azure HDInsight使用FQDN标签。微软让虚拟网络中部署的Azure HDInsight服务，能够独立于连外基础设施，用户可以使用Azure Firewall限制HDInsight丛集连外存取。微软提到，Azure Firewall的FQDN标签，让用户可以预先配置其基础设施的相依关系，HDInsight能够使用Azure储存账户FQDN，FQDN标签赋予用户更精细的控制能力，以限制HDInsight的连外流量。