Azure FrontdoorのWAF設定でWordpress管理ページへのアクセスを自社IPアドレスだけ許可したい

こんにちは @武志 佐々木,

詳細を共有いただきありがとうございます。ご質問への回答は以下のとおりです。

Front Door プロファイルに 2 つのドメイン/エンドポイントがあり、どちらも WordPress サイトのトラフィックを処理できる場合は、両方に WAF ポリシーを関連付ける必要があります。これにより、ユーザーがどのドメインにアクセスしても IP 制限が適用されます。管理者/ログインに 1 つのドメインのみを使用する場合（例：www.xxxx-xxxx.com）、そのドメインにポリシーを関連付けるだけで十分です。

設定ミスの確認方法

主な確認事項は以下のとおりです。

1. WAF ポリシーが、WordPress サイトにサービスを提供している Front Door ドメイン/ルートに正確にリンクされていることを確認します。
2. ルールの優先度とロジック：

許可ルール（自分の IP アドレス）→ 優先度 100

拒否ルール（その他）→ 優先度 200 数値が小さいほど先に評価されます。

3. 拒否ルールをオーバーライドする、優先度が低い「すべて許可」ルールが存在しないことを確認します。
4. 2つのネットワークからテストします。

許可されたIPアドレスから → /wp-admin が読み込まれるはずです。

別の IP から → 403 Forbidden が返されるはずです。簡単なテストには curl を使用してください。

ターミナルから WAF ルールをテストするには、以下の bash コマンドを使用します。

1. ルートパスをテストします（許可されているはずです）

curl -I "https://<your-front-door-endpoint>/" -H "Host: www.xxxx-xxxx.com"

2. WordPress 管理パスをテストします（IP が許可されていない場合はブロックされているはずです）

curl -I "https://<your-front-door-endpoint>/wp-admin" -H "Host: www.xxxx-xxxx.com"

3. WordPress ログインパスをテストします（IP が許可されていない場合はブロックされているはずです）

curl -I "https://<your-front-door-endpoint>/wp-login.php

置き換えてください：

<your-front-door-endpoint> を Front Door のデフォルトエンドポイントに置き換えます（例： xxxx.azurefd.net）。

www.xxxx-xxxx.com を WAF ポリシーで関連付けたカスタムドメインに置き換えます。

5. IPv4 のみを許可しているが、クライアントが IPv6 を使用している場合は、IPv6 を追加するか、IPv4 からテストしてください。
6. Azure ポータルで WAF ログを確認し、ブロックされたリクエストと許可されたリクエストを確認して、ルールが正しくトリガーされているかどうかを確認します。

まとめると、使用しているすべての Front Door ドメインに WAF を適用し、ルールの優先順位が説明どおりに正しいことを確認し、ログを確認し、許可された IP とブロックされた IP からテストしてください。それでも制限が適用されない場合は、競合するルールが存在しないことを確認してください。また、Front Door エンドポイントと WAF ポリシーの関連付けが正確であることを確認してください。

これらの確認を行っても制限が表示されない場合は、お知らせください。

また、「プライベートメッセージ」で以下の情報をご提供ください。

メール ID:

タイムゾーン:

サブスクリプション ID:

テナント ID:

確認したのですが、IPアドレスで制限がかかりません。

プライベートメッセージを送りましたのでご確認ください。

1点知りたいのですが

FrontDoorでWAFポリシーが適用されたログはどのように確認することができますか？

下記のKQLでよろしいでしょうか

AzureDiagnostics
| where ResourceType == "FRONTDOORS" and Category == "FrontdoorWebApplicationFirewallLog"

こんにちは @Takeshi Sasaki,

WAF ポリシーの診断設定を有効にし、ログを Log Analytics、Storage、または Event Hub に送信すると、AzureDiagnostics で WAF ログが取得されます。

以下の点をご確認ください。

Front Door WAF の診断設定が有効になっていること。

ログが Log Analytics ワークスペースに送信されていること（KQL クエリの場合は推奨）。

WAF ログをフィルター処理するためのクエリは正しいです。

AzureDiagnostics
| where ResourceType == "FRONTDOORS"
| where Category == "FrontdoorWebApplicationFirewallLog"

これにより、Front Door のすべての WAF ログエントリが返されます。

また、ご連絡できるよう、Teams チャットまたは Teams 通話でご連絡可能な時間をお知らせください。

よろしくお願いいたします。