azure - 规则仅代表 Azure 防火墙的 Azure IP

Question

我们可以在 Azure 中创建防火墙规则以仅允许来自 Azure 数据中心的连接吗？

Answer 1

严格来说，这是不可能的。

从根本上来说，Azure 并不驻留在单个 IP 地址范围内，每个 Azure 区域也不驻留在单个 IP 地址范围内。事实上，每个区域都分为多个地址范围，这些地址范围不一定是并发的。定义单个防火墙规则(涵盖整个 Azure 基础结构)的能力需要在 Azure 中进行一些工作来定义和维护保存所有这些值的变量。

可能值得指出的是，Azure 确实已经为 Internet 和 VirtualNetwork 提供了类似的解决方案，这些解决方案应用于 default NSG rules 。由于 Azure 内(但在虚拟网络之外)的大部分基础设施本质上是 Internet，因此为所有 Azure IP 设置此类变量将使用户可以选择在不知情的情况下开放其资源任何类型的恶意事件。

根据您想要实现的具体目标，Azure 确实提供了 Service Endpoints 形式的解决方法。 。此功能最近已离开预览阶段，并允许用户在某些 PaaS 之间创建安全规则。资源和您的虚拟网络。目前，此功能仅限于Azure 存储、Azure SQL 数据库和Azure SQL 数据仓库。

为所有 Azure IP 范围实现防火墙规则的一种极其草率的方法是手动输入所需区域的地址范围，可以下载 here 。然而，由于前面提到的安全缺陷，我们强烈建议不要这样做，而且这些 IP 范围并不完全静态，因此如果 Microsoft 编辑某些地址范围，很容易被发现。