azure - Hub/Spoke/AppGw 场景可以应用哪些 NSG 规则？

Question

我在 Spoke Vnet 中部署了一个 AppService(带有专用端点)。前面是一个 AppGw(在 Hub Vnet 中)。

似乎无法使用 Azure 防火墙控制 AppGw 出站流量。因此，我想直接在我拥有专用端点的 Spoke Vnet 中使用 NSG 来控制它。 (我只想允许绿线)

但是，我不知道应该制定什么规则。一旦我在 NSG 中禁用 VNET 到 VNET 流量，即使我将显式规则从 AppGw 放置到专用终结点，我的 AppGw 也无法再与专用链接通信。

如何保护对我的专用端点的访问？

Answer 1

我试图了解您的设置并收集了以下几点:

• 从 AppGw 到应用服务的连接通过链接服务进行
  • 猜测应用服务尚未与 VNet 集成(1)

It seems that it's not possible to control the AppGw outbound traffic with the Azure Firewall.

如果您未将 VNet 与应用服务集成，则所有传出流量都将使用(共享)公共(public) IP，并且应用服务没有对​​集线器或分支 VNet 的任何传出访问权限。这需要对您的设置进行更多说明。

如果您使用 VNet 集成，那么您将获得诸如启用区域虚拟网络集成时，您的应用程序通过虚拟网络进行出站调用的功能。

那么您应该能够执行以下操作:

• 单独的链接服务子网和应用服务 VNet 集成子网
• 将所有传出流量从应用服务 VNet 集成子网发送到防火墙

(1) https://learn.microsoft.com/en-us/azure/app-service/overview-vnet-integration