Azure - 没有公共(public) IP 的应用程序网关

Question

我正在尝试在 Azure 上部署我的应用程序。目前，我在一个子网 s1 中部署了一个应用程序网关，在后端池中我有 Linux VM。根据要求，我不能使用任何公共(public) IP，因此我在应用程序网关上仅使用私有(private) IP。由于我们在部署应用程序时需要 Internet 连接，因此我尝试将 NSG 连接到允许入站“Internet”的应用程序网关的子网。当我将 NSG 连接到应用程序网关子网时，后端运行状况显示为运行状况不佳，并出现错误:

“无法连接到服务器。检查是否有任何 NSG/UDR/防火墙阻止对服务器的访问。检查应用程序是否在正确的端口上运行。”

我尝试添加 MSFT 文档 https://learn.microsoft.com/en-us/azure/application-gateway/configuration-overview#allow-application-gateway-access-to-a-few-source-ips 中指定的规则但这没有帮助。所以我的问题是:

1. 我还需要在应用程序网关子网上的 NSG 中添加其他内容吗？
2. 使用 NSG 上的入站规则允许互联网访问是一个好的策略吗？ (入站规则 -> 服务标签 -> Internet)。有没有其他方法可以在部署时访问互联网？ PS:我根本不允许使用公共(public)IP。

非常感谢!

Answer 1

您可以使用公共(public) IP 和专用 IP 部署应用程序网关。您所需要做的就是使用私有(private)前端 IP 创建监听器并保留公共(public) IP。

由于公共(public) IP 未附加到任何监听器，因此任何人都无法通过应用程序网关的公共(public) IP 从 Internet 访问您的站点。

当 AppGW 需要启动到 Internet 的出站时，它会使用该公共(public) IP。

注意:在 V2 部署中不能仅使用私有(private) IP 作为前端，并且可以在 V1 SKU 中仅使用私有(private)前端 IP 来部署应用程序网关。