Primeiros passos com Firewall

Crie um firewall, adicione uma regra que nega requisições a um caminho, vincule o firewall a um workload e confirme que o caminho responde 403.

Última atualização

Ver como Markdown Configurar agente

Este guia orienta você a negar a sua primeira requisição com um firewall.

  • Crie um firewall para a aplicação que você já atende.
  • Adicione uma regra que nega toda requisição para um caminho.
  • Vincule o firewall ao workload que atende a sua aplicação.
  • Envie uma requisição para esse caminho e leia o 403 que ela retorna.

Quatro objetos transformam uma requisição em uma decisão, e cada um se liga ao seguinte:

  1. O firewall guarda as regras. Ele fica ativo desde o momento em que você o cria.
  2. A regra nesse firewall combina um critério com um comportamento. O critério seleciona requisições, e o comportamento decide o que acontece com elas. Neste guia, o critério seleciona todo caminho que começa com /deny-test, e o comportamento nega a requisição.
  3. O deployment do workload que atende a sua aplicação nomeia esse firewall, ao lado da aplicação.
  4. A requisição para o domínio do workload encontra a regra, e uma requisição negada nunca chega à sua aplicação.

Um firewall não inspeciona nada por conta própria. Enquanto o deployment de um workload não o nomear, nenhuma requisição chega às regras dele.

Web Application Firewall (WAF), Network Shield e Bot Manager são produtos habilitados em um firewall. Este guia não precisa de nenhum deles, porque Deny é nativo de todo firewall. Os primeiros passos de cada produto partem de um firewall vinculado a um workload, que é o que este guia deixa pronto para você.

Selecione a interface que você usa. Os pré-requisitos e cada etapa desta página seguem essa escolha.

Pré-requisitos

  • Uma conta Azion. Para criar uma, consulte Criar uma conta.
  • Um workload que atende uma aplicação no domínio de workload dele. Para mais informações, consulte Workloads.
  • Azion CLI instalada e autorizada.
  • O ID do seu workload e o ID da aplicação que ele atende.
  • Um personal token e o curl. Para criar um token, consulte Como criar um personal token.
  • O ID do seu workload e o ID da aplicação que ele atende.

Crie o firewall

Um firewall novo não tem regras, e ele começa ativo. A regra Deny que este guia adiciona não precisa de nenhum produto ativado, então as configurações padrão permanecem.

Para criar o firewall pela Azion CLI:

azion create firewall --name "storefront-firewall" --active true

O comando imprime o ID do firewall novo:

Created Firewall with ID 12352

O firewall fica ativo, com Functions e Network Shield ativados e WAF desativado. Anote o ID. A regra e o vínculo com o seu workload o passam como --firewall-id.

Para criar o firewall pela API, envie uma requisição POST para o endpoint de firewalls. Substitua [TOKEN VALUE] pelo seu personal token:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/firewalls \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data '{"name": "storefront-firewall"}'

Este trecho da resposta mostra o firewall novo e as configurações com que ele começa:

JSON
01{
02 "state": "pending",
03 "data": {
04 "id": 12353,
05 "name": "storefront-firewall",
06 "modules": {
07 "ddos_protection": { "enabled": true },
08 "functions": { "enabled": true },
09 "network_protection": { "enabled": true },
10 "waf": { "enabled": false }
11 },
12 "debug": false,
13 "active": true,
14 …
15 "product_version": "2.0",
16 …
17 "version": 0
18 }
19}

O firewall fica ativo, e waf é a única entrada de modules que começa desativada. Anote o id. A regra e o vínculo com o seu workload o passam como <firewall-id>.

Para criar o firewall no Azion Console:

Abra a página Firewalls

Acesse Azion Console > Secure > Firewalls.

Inicie um firewall

Selecione Firewall. A página Create Firewall abre.

Nomeie o firewall

Na seção General, informe um Name. Por exemplo: storefront-firewall.

Deixe as outras seções como abrem

Uma regra Deny não precisa de nenhum interruptor em Modules. Em Status, Active continua ativado.

Selecione Create

Azion Console exibe a mensagem “Your Firewall has been created” e abre o firewall. As abas dele são Main Settings, Functions Instances e Rules Engine. Functions Instances aparece somente enquanto Functions está ativado.

Adicione uma regra que nega um caminho

Uma regra do Rules Engine para Firewall combina critérios com comportamentos. A regra desta etapa carrega um critério, uma URI de requisição que começa com /deny-test, e um comportamento, Deny. Deny recusa a requisição com 403 Forbidden, e ele não precisa de nenhum produto ativado.

O critério corresponde a todo caminho que começa com /deny-test, então /deny-test/page também corresponde. Para mais informações, consulte Deny (403 Forbidden).

azion create firewall-rule lê a regra inteira de um arquivo JSON. criteria é uma lista de grupos, e o primeiro critério de um grupo carrega a condicional if. Salve esta regra como rule.json:

JSON
01{
02 "name": "Deny the test path",
03 "active": true,
04 "criteria": [
05 [
06 {
07 "variable": "${request_uri}",
08 "conditional": "if",
09 "operator": "starts_with",
10 "argument": "/deny-test"
11 }
12 ]
13 ],
14 "behaviors": [
15 { "type": "deny" }
16 ]
17}

Crie a regra. Substitua <firewall-id> pelo ID do seu firewall:

azion create firewall-rule --firewall-id <firewall-id> --file rule.json

O comando imprime o ID da regra nova:

Created Firewall Rule with ID 123460

A regra fica ativa no firewall.

O corpo da requisição é a própria regra. criteria é uma lista de grupos, e o primeiro critério de um grupo carrega a condicional if. Salve esta regra como rule.json:

JSON
01{
02 "name": "Deny the test path",
03 "active": true,
04 "criteria": [
05 [
06 {
07 "variable": "${request_uri}",
08 "conditional": "if",
09 "operator": "starts_with",
10 "argument": "/deny-test"
11 }
12 ]
13 ],
14 "behaviors": [
15 { "type": "deny" }
16 ]
17}

Envie uma requisição POST para as regras do seu firewall. Substitua <firewall-id> pelo ID do seu firewall:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/firewalls/<firewall-id>/request_rules \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data @rule.json

Este trecho da resposta mostra o id da regra nova e a order dela entre as regras do firewall:

JSON
01{
02 "state": "pending",
03 "data": {
04 "id": 123459,
05 …
06 "behaviors": [{ "type": "deny" }],
07 "description": "",
08 "order": 0
09 }
10}

A API atribui order na ordem de criação, começando em 0. A regra fica ativa no firewall.

Para adicionar a regra no Azion Console:

Abra o firewall

Acesse Azion Console > Secure > Firewalls e selecione o firewall que você criou.

Selecione a aba Rules Engine
Inicie uma regra

Selecione Rule. O drawer Create Rule abre.

Nomeie a regra

Na seção General, informe um Name. Por exemplo: Deny the test path.

Defina o critério

Na seção Criteria, o primeiro critério abre com Request Uri e starts with. Informe /deny-test como argumento dele.

Selecione o comportamento Deny

Na seção Behaviors, selecione Deny (403 Forbidden).

Selecione Save

Azion Console exibe a mensagem “Rule successfully created”. A regra aparece na lista Rules Engine com o status Active.

Vincule o firewall ao seu workload

Um firewall não tem domínio próprio. O workload carrega o domínio. O deployment dele guarda exatamente três configurações: a aplicação, o firewall e a custom page. Nomeie a aplicação que o workload atende hoje, e a custom page dele se ele usar uma, ao lado do seu firewall. Enquanto o deployment não nomear o seu firewall, a regra Deny não corresponde a nenhuma requisição.

Para vincular o firewall pela Azion CLI, crie um deployment que nomeia o seu firewall e a aplicação que o workload atende hoje. Substitua os três IDs:

Shell
01azion create workload-deployment --workload-id <workload-id> \
02 --name storefront-deployment --application-id <application-id> \
03 --firewall-id <firewall-id> --strategy-type default --active true --current true

O comando imprime o ID do deployment novo:

Created Workload Deployment with ID 123462

--current true faz dele o deployment atual do workload, que nomeia a sua aplicação e o seu firewall. Se o workload usa uma custom page, adicione --custom-page <custom-page-id> ao comando.

Para vincular o firewall pela API, envie uma requisição POST para os deployments do seu workload. O firewall vai em strategy.attributes.firewall, ao lado da aplicação que o workload atende hoje. Se o workload usa uma custom page, nomeie-a também em custom_page. Substitua os três IDs:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/workloads/<workload-id>/deployments \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data {
07 "name": "storefront-deployment",
08 "current": true,
09 "active": true,
10 "strategy": {
11 "type": "default",
12 "attributes": {
13 "application": <application-id>,
14 "firewall": <firewall-id>
15 }
16 }
17}

A resposta retorna o deployment. O strategy.attributes dele guarda a aplicação, o firewall e custom_page, que é null quando o workload não usa custom page:

JSON
01{
02 "state": "pending",
03 "data": {
04 "id": 123461,
05 "name": "storefront-deployment",
06 "current": true,
07 "active": true,
08 "strategy": {
09 "type": "default",
10 "attributes": {
11 "application": <application-id>,
12 "firewall": <firewall-id>,
13 "custom_page": null
14 }
15 },
16 "last_editor": "user@example.com",
17 "last_modified": "2026-01-01T12:00:00.000000Z",
18 "created_at": "2026-01-01T12:00:00.000000Z"
19 }
20}

O deployment atual do workload nomeia a sua aplicação e o seu firewall.

Para vincular o firewall no Azion Console:

Abra a página Workloads

Acesse Azion Console > Workloads.

Abra o seu workload

Selecione o workload que atende a sua aplicação. O formulário de edição dele abre.

Selecione o firewall

No campo Firewall de Deployment Settings, selecione o firewall que você criou. Application e Custom Page mantêm o que o workload atende hoje.

Selecione Save

O deployment do workload nomeia o seu firewall, ao lado da aplicação e da custom page dele.

Confirme que o caminho responde 403

A verificação é a mesma, qualquer que seja a interface que criou o firewall. O seu workload responde no domínio de workload dele, no formato <id>.map.azionedge.net, escrito nesta etapa como <your-workload-domain>.

Um workload recém-vinculado a um firewall pode levar vários minutos para aplicar a primeira regra, e nenhuma duração é garantida. Enquanto o vínculo se propaga, as respostas à mesma requisição alternam entre a resposta anterior e a nova. Até lá, o caminho ainda chega à sua aplicação. Envie a requisição de novo até ela responder 403. Para mais informações, consulte Propagação.

Envie uma requisição para o caminho negado:

curl -i https://<your-workload-domain>/deny-test

O firewall a recusa com 403:

Texto
01HTTP/2 403
02server: nginx
03date: Thu, 01 Jan 2026 12:00:00 GMT
04content-type: text/html; charset=utf-8
05x-content-type-options: nosniff
06x-azion-request-id: 0123456789abcdef0123456789abcdef
07x-azion-edge-location: <edge-location>
08alt-svc: h3=":443"; ma=86400

A resposta também carrega um header content-security-policy longo, omitido deste trecho. O corpo é a página de erro padrão da Azion, com o título Forbidden, e ela lista o seu endereço IP e o ID da requisição. Nenhum header nomeia o firewall ou a regra que recusou a requisição.

Requisições para qualquer outro caminho não correspondem à regra, e a sua aplicação as responde como antes. O seu firewall nega toda requisição cujo caminho começa com /deny-test.

Próximos passos

Primeiros passos com WAFCrie um rule set de WAF, aplique-o com um comportamento Set WAF e veja uma requisição com forma de injection ser recusada.Primeiros passos com Network ShieldColoque o seu próprio endereço IP em uma network list e negue essa lista em um caminho de teste.Primeiros passos com Bot ManagerExecute Bot Manager Lite a partir de uma regra Run Function e leia o score que ele dá a uma requisição.Rules Engine para FirewallCada critério, operador e comportamento que uma regra de firewall aceita, com o corpo da regra para a API e a CLI.Como Firewall funcionaO caminho que uma requisição percorre por um firewall, a ordem em que as regras dele são executadas e como uma mudança se propaga.Limites de FirewallOs limites de regras e de instâncias de função por firewall, e os limites que cada produto acrescenta.