7 — Network Connectivity and Security (AZ-305)

A. Azure Firewall ⭐⭐

A.1 SKUs

A.2 Firewall Policy — concept design 305

Ressource indépendante qui contient toutes les règles → attachable à 1 ou N firewalls. Remplace les classic rules.

3 types de rule collections :

• DNAT : Inbound NAT (internet → backend privé)
• Network : L3/L4 (IP/port, Service Tags)
• Application : L7 FQDN (HTTP/S, TLS inspection en Premium)

🚨 Network évaluée AVANT Application → une App "Allow" n'override pas une Network "Deny".

A.3 Parent / Child policies ⭐

Pattern enterprise : SecOps = parent (règles obligatoires globales) → équipes app = child (workload-specific). Parent toujours évalué avant child.

A.4 1 policy → N firewalls

Une policy attachée à N firewalls régionaux. Update 1× = propagation auto. C'est le pattern ALZ multi-région attendu au 305.

B. Diagnostics réseau hybride — Network Watcher

Pour debug réseau Azure (et hybride pour 1 outil seulement).

🎯 "Monitor continu DEPUIS machine on-prem" → Connection Monitor (le seul hybride). 🎯 "VPN qui tombe, debug" → VPN Troubleshoot.

C. DDoS Protection

🚨 DDoS = L3/L4 (volumétrique). L7 (HTTP flood) = WAF rate-limiting (voir fiche 6) → complémentaires. 🎯 Entreprise / plusieurs IPs → Network Protection. Peu d'IPs / budget → IP Protection.

D. Topologie — Hub-Spoke vs Virtual WAN ⭐

D.1 Vue comparative

D.2 Virtual WAN — 2 tiers

D.3 Secured Virtual Hub

vWAN Standard + Azure Firewall intégré dans le hub géré MS → sécurité centralisée sans construire un hub Firewall toi-même.

🎯 Au 305 :

• "Peu de régions, control total, NVA tiers (Palo Alto/F5)" → Hub-Spoke custom
• "Multi-régions/branches, SD-WAN, scale global, sécurité centralisée" → vWAN Standard + Secured Hub

E. Hybride — VPN Gateway vs ExpressRoute ⭐⭐

E.1 Vue comparative

E.2 VPN Gateway — SKUs

3 types de connexions VPN :

• Site-to-Site (S2S) : site on-prem ↔ Azure (LAN entier)
• Point-to-Site (P2S) ⭐ : laptop / remote worker ↔ Azure (1 user)
• VNet-to-VNet (V2V) : VNet ↔ VNet cross-region (alternative au peering)

🚨 Remote workers laptops = P2S, jamais S2S (S2S = LAN entier). 🚨 Basic SKU : pas de BGP, pas de zone-redundancy → éviter prod.

E.3 ExpressRoute — SKUs ⭐⭐

Circuit SKU (le tier du circuit)

Modèles de connexion

🚨 "Premium" et "Direct" = 2 axes ORTHOGONAUX : SKU Premium = reach global (multi-region cross-geo) + Global Reach + + routes BGP. Modèle Direct = connexion physique directe MS edge (10/100 Gbps owned). Combo "Premium Direct" = très haute exigence enterprise (multi-region + 100 Gbps dédié). Distractor exam : "Premium" seul ≠ "Direct" seul → bien lire l'énoncé (global scope vs débit/ownership physique).

Features critiques

E.4 Combos prod design 305

🚨 HA gateway = utiliser zone-redundant SKU (VpnGwXAZ ou ER Gateway zonal).

F. DNS design (light, AZ-305) ⭐

F.1 Les 3 types de zones DNS Azure

F.2 DNS Private Resolver — use case AZ-305

• Inbound endpoint : forwarder DNS depuis on-prem → résolution Azure (PE, services)
• Outbound endpoint : forwarder Azure → on-prem (résolution AD on-prem depuis VMs Azure)
• Rulesets : conditional forwarding par domaine

🎯 Question 305 : "Résoudre privatelink.X.azure.com depuis on-prem via ER" → DNS Private Resolver inbound endpoint.

G. Rappels AZ-104 (compact)

🚨 Private Endpoint > Service Endpoint en prod moderne (DNS privé + isolation totale).

H. Decision tree network AZ-305

Connectivity hybride

On-prem → Azure ?
├─ Petit débit, budget mini, internet OK    → VPN Gateway S2S
├─ Gros débit + latence prévisible          → ExpressRoute Standard/Premium
├─ Multi-régions branches SD-WAN            → Virtual WAN + ER
├─ Remote workers laptops                   → P2S VPN
└─ Prod critique HA                         → ER primary + VPN failover (combo)

Topologie

Combien de régions / VNets ?
├─ 1-3 régions, control total NVA           → Hub-Spoke custom
├─ N régions/branches, scale, sécurité auto → Virtual WAN Standard + Secured Hub

Sécurité périmètre

Type d'attaque protégée ?
├─ DDoS volumétrique L3/L4                  → DDoS Network Protection
├─ OWASP L7 (régional ou global)            → WAF (voir fiche 6 - App Gateway WAF v2 ou Front Door WAF Premium)
├─ Egress filtering FQDN/IP/TLS inspection  → Azure Firewall Premium
└─ Defense-in-depth bancaire                → FD WAF + AGW WAF + Azure Firewall

💡 Load balancing decisions = voir fiche 6 (Load Balancer / App Gateway / Traffic Manager / Front Door).

DEMO

Demo Portail — Azure Firewall Policy parent/child

Parent policy SecOps (Premium) :

1. Firewall Policies > + Create
2. Basics : RG rg-secops, Name parent-policy, Tier Premium
3. DNS : Enable DNS Proxy ON
4. Threat Intel : mode Deny
5. IDPS : mode Alert (puis Alert+Deny après tuning)
6. Rules → + Add a rule collection group :
   • Name rcg-base, Priority 200
   • Dans le RCG → + Add a rule collection :
     • Name rc-network, Type Network, Priority 200, Action Allow
     • Rule allow-proxy : Source 10.0.0.0/8, Protocol TCP, Dest 203.0.113.10:8080
7. Review + Create

Child policy équipe app (héritage parent) :

1. Firewall Policies > + Create
2. Basics : RG rg-app, Name child-app-policy, Tier Premium (SKU match parent)
3. Cocher Inherits from a parent policy → sélectionner parent-policy
4. Rules : ajouter ses RCGs workload-specific
5. Review + Create

Attacher child policy au firewall :

1. Firewalls > myfirewall > Firewall policy > Change firewall policy
2. Sélectionner child-app-policy → Save

Parent rules s'exécutent avant child, toujours. Ordre global : Threat Intel → IDPS → DNAT → Network → Application.

Demo Portail — 1 policy → N firewalls (ALZ multi-region)

1. Créer 1 seule policy central-policy (SecOps RG)
2. Pour chaque firewall régional : Firewalls > <fw> > Firewall policy > Change firewall policy > central-policy > Save
3. Update unique sur la policy = propagation auto aux N firewalls

Demo Portail — Connection Monitor (hybride)

1. Network Watcher > Connection Monitor > + Create
2. Basics : Name cm-hybrid-test, Region (toute région supportée)
3. Test groups :
   • + Add test group : Name onprem-to-sql
   • Sources : VM on-prem (agent installé) ou Arc-enabled
   • Destinations : mysrv.database.windows.net (Azure SQL)
   • Test configuration : TCP/443, frequency 30s
4. Review + Create
5. Monitor → graphes latence + perte + hop-by-hop

Demo Portail — ExpressRoute (vue)

Le setup ER nécessite coordination avec un Provider — au 305 c'est awareness, pas mise en place.

1. ExpressRoute circuits > + Create
2. Basics : RG, Name er-paris
3. Configuration :
   • Port type : Provider (Equinix, Orange…) ou Direct (10/100 Gbps direct MS)
   • Provider : (selon Provider choisi)
   • Peering location : ex Paris
   • Bandwidth : 1 Gbps (ou autre)
   • SKU : Local / Standard / Premium
   • Billing model : Metered ou Unlimited
4. Review + create → MS provisionne le circuit côté backbone, tu finalises avec ton Provider qui livre le lien physique
5. Activer Global Reach si besoin de connecter 2 sites on-prem via backbone MS

💡 DEMOs WAF (Front Door + App Gateway) → voir fiche 6.