Azure NSG 专用 IP 配置(白名单)Vnet 到 Vnet 通信

Question

我遇到了这样的情况:我想为其他 Vnet(定义了私有(private) IP 范围)打开我的 Vnet(比如 Vnet1)，我正在考虑使用 NSG 规则并允许其他 Vnet 的私有(private) IP 范围(比如 Vnet2， Vnet3)到托管我的 API 网关的入口点子网(在 Vnet1 中)。我有两个问题:

1. 我认为使用私有(private) IP 地址并允许它们使用 NSG(Vnet 1/子网 1)应该是可行的？我不是在寻找 Vnet 的对等/s2s vpn，因为两者都属于不同的团队，而 Vnet2/Vnet3 只是想使用 Api 网关访问 Vnet1 的 API。

2. 是否存在我们预见到的任何安全问题，我认为公开是安全的，因为这些是私有(private) IP，无法从互联网访问。

请告诉我关于可行性和安全性的意见。

谢谢Xslguy

Answer 1

为了帮助其他可能遇到相同情况的人，只需提取评论中的有用信息并写下我的答案即可。

Azure VNet 是 Azure 云专用于订阅的逻辑隔离。 VNet 对等互连允许两个 VNet 之间的流量仅通过 Microsoft 的专用网络进行路由。如果 VNET 尚未对等互连，则 vnet1 将不会使用私有(private) IP 而是使用 vnet2 中资源的公共(public) IP 连接到 vnet2 中的资源。在这种情况下，我们需要限制附加到子网的 NSG 中的入站规则的源公共(public) IP。通过 VNet 对等互连，您还可以通过使用附加到子网的 NSG 中的入站规则的源专用 IP 来限制从一个子网到另一子网的访问。

来自Security rules :

If you specify an address for an Azure resource, specify the privateIP address assigned to the resource. Network security groups areprocessed after Azure translates a public IP address to a private IPaddress for inbound traffic, and before Azure translates a private IPaddress to a public IP address for outbound traffic.