はじめに

Azure Firewall は、マネージドサービスです。
目には見えませんが、内部的に LB , VM , NIC , Storage が自動的に手配されて AzureFirewallSubnet 上で稼働しています。

課金は、時間単価ではありますが、停止することができないため、リソースが存在している間は継続して課金されつづけます。

業務運用の環境であれば、それでも構いませんが、PoC 環境の場合は利用していない時間の課金は抑えたいというニーズがあることと思います。

今回は、そのニーズに応える事を目標として検証し、記事に纏めました。

私はこの方法を使ってデモを行う際に、Azure Firewall がある場合の動作と、無い場合の動作を比較して見て頂くような場合にも、活用しています。

Azure Firewall の運用コスト

2024 年 10 月 20 時点、Japan East のコストです。
連続使用していると、以下のコストが発生します。
Basic でも、デプロイ後に放置して連続稼働していると、約４万円も掛かります。
そして、Standard では 10 万円を超えてきますので、結構な出費です。

SKU	時間単価	月額コスト
Basic	57.2 円	41,754 円
Standard	181.01 円	132,135 円
Premium	253.41 円	184,989 円

料金計算ツールにて算出

Azure Firewall の価格

ポイント
本記事で紹介する方法で、Azure Firewall を必要な時だけ稼働させるようにすることで、大幅なコスト削減に繋げられると思います。

疑似的な起動＆停止の考え方

Azure Firewall には、起動＆停止という仕組みが無い為、課金を止めるためにはリソースを削除する必要があります。

削除すると、FW 規則（ポリシー）やパブリック IP、アクセスログはどうなるのか？
本作業では、Azure Firewall がマネージドで管理されている目に見えない内部リソース（VM , LB , Storage , NIC）だけが削除され、ポリシーや、パブリック IP、アクセスログは残ります。

そのため、利用者固有の情報は残り続け、単に動作のために必要な共通コンポーネントのみを削除することが可能です。その仕組みを逆手にとって、効率よくリソースの削除＆再作成を行えば、疑似的な停止＆起動が実現できます。

以降の記事は、以下の３章で構成されており、１章の 事前準備 で構成を行っておけば、以後２章と３章の 疑似停止 と 疑似起動 を交互に繰り返しで利用する事ができるようになっています。

1. 事前準備（初回のみ）
　1-1. Azure Firewall の初回作成
　1-2. ARM テンプレートの取得
2. Azure Firewall の疑似停止
　2-1. ルートテーブルの変更（切り離し）
　2-2. Azure Firewall の削除
3. Azure Firewall の疑似起動
　3-1. Azure Firewall の再作成
　3-2. ルートテーブルの変更（切り戻し）

1. 事前準備

1-1. Azure Firewall の初回作成

① Firewall 本体のデプロイ

初回の作成は、通常の手順で構成済みであることを前提としています。
以下の記事を参考に、手動でデプロイしてください。

② アクセスログ取得のデプロイ

さらに、以下の手順で Azure Firewall のアクセスログを取得する構成がおススメです。
本記事の方法を使う事で、Azure Firewall の課金を止めつつ、アクセスログはそのまま残ります。
※保存されているアクセスログのストレージ使用量には課金が発生しますので、ご注意ください。

1-2. ARM テンプレートの取得

本章の作業は、再作成を行うための ARM テンプレートを取得する事が目的です。
取得した ARM テンプレートは、あとの章で使用します。

ARM テンプレート取得手順

目的となる Azure Firewall のリソースを表示させ、左ペインの テンプレートのエクスポート を選択します。

　
テンプレートのエクスポート の画面に遷移します。
初めに、以下のように テンプレートを生成しています と表示されている間は暫く待ちます。

　
以下のようにテンプレートのソースコードが表示されたら、パラメーターを含める にチェックが入っていることを確認して ダウンロード をクリックします。

　
以下のような ZIP ファイルがダウンロードされます。

　
ダウンロードされた ZIP 内には、以下の２つのファイルがありますが、本記事で使用するのは、template.json のみとなります。

template.json
parameters.json

2. Azure Firewall の疑似停止

2-1. ルートテーブルの変更（切り離し）

Azure Firewall を削除したあとに、VM からインターネットへの通信を禁止する場合は、本章は SKIP してください。

Azure Firewall を削除したあとでも、VM からインターネットへの通信を利用できるようにするためには、ルートテーブルの変更を行い、Azure Firewall を経由せずにインターネットに抜ける代替ルートに切替えます。

このルート切替を削除の前に実施することで、通信への影響を抑える事ができます。

インターネットへ抜けるルートに切り替える手順

作業前は、以下のようにサブネットに、Firewall-Route というルートが関連付けられています。ここで、ルートを変更するために、サブネット名をクリックします。

　
ルートテーブル の項目のリストダウンからなしまたは 事前作成済みの FW を経由しないルート（下図では OpenVPN-RT）を選択して保存を押します。

　
以下のような表示に変更されれば、ルートの切替は完了です。

この状態で、トラフィックは Azure Firewall では制御されず、代替ルートを利用してインターネットに抜けていきます。

2-2. Azure Firewall の削除

① コマンドでの削除 と、② GUI での削除 の２通り紹介します。
いずれかを実施してください。

① コマンドでの削除

az resource delete --resource-group 'AVD-Environment' --name 'AZFW' --resource-type 'Microsoft.Network/azureFirewalls'

② GUI での削除

課金を停止させたい Azure Firewall のリソースの概要ページを開きます。
続けて、①：Delete 、 ②：OK の順にクリックして削除を実行します。

　
削除が開始されると、以下の通知が表示されます。

　
削除が完了すると、以下の通知が表示されます。※削除されるまでは、約５分程度掛かります。

　
以下の通り、Azure Firewall は削除され、これで、課金が止まります。
なお、Firewall の設定（ポリシー）とパブリック IP アドレスは残っていますが、再作成時にこれらが自動的に利用されますので、残しておいてください。

※ パブリック IP アドレスのリソースは、微々たる課金が発生します。

3. Azure Firewall の疑似起動

3-1. Azure Firewall の再作成

① Deplot to Azure ボタンを使う方法 と、② 手動でテンプレートを開く方法 の２通り紹介します。

① Deplot to Azure ボタンを使う方法

以下のボタンを押すと、Azure Firewall 再作成のテンプレートが自動的に読み込まれます。

このとき、リソースグループは AzureFirewallSubnet と同じリソースグループを選択してください。

※この方法は、私が用意したテンプレートが読み込まれるため、ネットワーク設計が完全に一致している場合に利用できます。

上記の ARM テンプレートのソース

アドレス
https://nogujapanese.blob.core.windows.net/avd-template/AzFWReDeploy.json

{
    "$schema": "http://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "location": {
            "type": "string",
            "defaultValue": "japaneast"
        },
        "resourceGroup": {
            "type": "string",
            "defaultValue": "AVD-Environment"
        },
        "azureFirewallName": {
            "type": "string",
            "defaultValue": "AZFW"
        },
        "azureFirewallTier": {
            "type": "string",
            "defaultValue": "Basic"
        },
        "vnetName": {
            "type": "string",
            "defaultValue": "AZ-DefaultVNet"
        },
        "zones": {
            "type": "array",
            "defaultValue": []
        },
        "azureFirewallManagementSubnet": {
            "type": "string",
            "defaultValue": "AzureFirewallManagementSubnet"
        },
        "managementPublicIpAddressName": {
            "type": "string",
            "defaultValue": "FW-mg-pip"
        },
        "publicIpAddressName": {
            "type": "string",
            "defaultValue": "FW-pip"
        },
        "FirewallRule": {
            "type": "string",
            "defaultValue": "FW-Rule"
        }
    },
    "variables": {
        "networkApiVersion": "?api-version=2019-09-01"
    },
    "resources": [
        {
            "apiVersion": "2020-05-01",
            "type": "Microsoft.Network/azureFirewalls",
            "name": "[parameters('azureFirewallName')]",
            "location": "[parameters('location')]",
            "zones": "[parameters('zones')]",
            "dependsOn": [],
            "properties": {
                "ipConfigurations": [
                    {
                        "name": "[parameters('publicIpAddressName')]",
                        "properties": {
                            "subnet": {
                                "id": "[resourceId(parameters('ResourceGroup'),'Microsoft.Network/virtualNetworks/subnets',parameters('vnetName'),'AzureFirewallSubnet')]"
                            },
                            "publicIpAddress": {
                                "id": "[resourceId(parameters('ResourceGroup'), 'Microsoft.Network/publicIPAddresses', parameters('publicIpAddressName'))]"
                            }
                        }
                    }
                ],
                "sku": {
                    "tier": "[parameters('azureFirewallTier')]"
                },
                "managementIpConfiguration": {
                    "name": "[parameters('managementPublicIpAddressName')]",
                    "properties": {
                        "subnet": {
                            "id": "[resourceId(parameters('ResourceGroup'),'Microsoft.Network/virtualNetworks/subnets',parameters('vnetName'),'AzureFirewallManagementSubnet')]"
                        },
                        "publicIPAddress": {
                            "id": "[resourceId(parameters('ResourceGroup'), 'Microsoft.Network/publicIPAddresses', parameters('managementPublicIpAddressName'))]"
                        }
                    }
                },
                "firewallPolicy": {
                     "id": "[resourceId(parameters('ResourceGroup'), 'Microsoft.Network/firewallPolicies', parameters('FirewallRule'))]"
                }
            },
            "tags": {}
        }
    ]
}

このあと、② を SKIP して、③ 共通の手順 以降の手順を実施してください。

② 手動でテンプレートを開くを使う方法

以下の ① と ② の手順で カスタムテンプレートのデプロイ を開きます。
そのあと、③ の エディターで独自のテンプレートを作成する を開きます。

　
ファイルの読み込み を使って事前作業で保存しておいた template.json ファイルを指定して読み込みます。
以下の緑枠の箇所に、テンプレートが読み込まれます。その後保存ボタンを押します。
なお、template.json の中身を直接テキストで貼り付けることもできます。

このあと、③ 共通の手順 以降の手順を実施してください。

③ 共通の手順

リソースグループ の指定のみ必要です。既存のリソースグループ名を選択して 確認と作成 を押します。

　
確認と作成 タブではそのまま作成を押します。

　
以下のように Azure Firewall のデプロイが開始されます。完了までおよそ６～７分掛かります。

　
以下のように表示されれば完了です。

3-2. ルートテーブルの変更（切り戻し）

Azure Firewall を削除した際に、ルートテーブルの切り離しを行っていない場合は、本章は SKIP してください。

Azure Firewall を削除した際に、ルートテーブルの切り離しを行っていた場合は、ルートテーブルの変更を行い、Azure Firewall を経由してインターネットに抜けるルートに切り戻します。

このルート切替を再作成の後に実施することで、通信への影響を抑える事ができます。

ルートテーブルの切り戻し手順

作業開始前の確認を行います。この時点では、まだルートは、Azure Firewall を経由しないルートです。
（確認用のアドレス）
https://www.cman.jp/network/support/go_access.cgi

　
ルートを変更したいサブネットを開きます。

OpenVPN-RT 内容
以下の通り、インターネットへの通信は、ダイレクトにルーティングされている状態です。

3．サブネットの編集 画面にて、ルートテーブルを Azure Firewall 経由のルート に変更して保存を押します。
※下図では、Firewall-Route に変更しています。

4．下図の通り、インターネット（0.0.0.0/0）宛の通信が Azure Firewall 経由（仮想アプライアンス 10.10.30.4）に変更されます。

5．作業後の確認を行います。ルートは、Azure Firewall を経由するルートに変更されていれば OK です。
（確認用のアドレス）
https://www.cman.jp/network/support/go_access.cgi

Azure Firewall のパブリック IP アドレスの確認方法

記事の内容は以上です。
参考にしていただいて、コストの削減に活用いただけたら幸いです。