azure - 是否仍然无法从 Azure 中的 VM 执行跟踪路由

Question

在 2022 年的今天，仍然不可能从 Azure 中的 Linux VM 执行跟踪路由吗？我已配置 NSG，以便允许 ICMP 和 UDP 流量。

Answer 1

Ping 没有公共(public) IP 的虚拟机

Azure 中没有公共(public) IP 的 VM 使用由结构管理的 Azure 负载均衡器通过 NAT 地址访问 Internet。由于 Azure 负载均衡器不允许使用 ICMP 协议(protocol)，因此您会注意到无法从 Internet 对 Azure VM 执行 ping 操作，并且在 Azure VM 内部也无法对 Internet 位置执行 ping 操作。

要测试连接性，我们建议您执行端口 ping 操作。虽然 Ping.exe 使用 ICMP，但其他工具(例如 PsPing、Nmap 或 Telnet)允许您测试与特定 TCP 端口的连接。

https://learn.microsoft.com/en-us/archive/blogs/mast/use-port-pings-instead-of-icmp-to-test-azure-vm-connectivity

使用公共(public) IP 对虚拟机执行 Ping 操作

我确实想指出，互联网上有一些文章说您可以 Ping 一个 Azure 虚拟机，这些文章有一个共同点，但他们并没有真正详细说明这一点，它是这个。如果分配了 Azure 公共(public) IP (pip)，则可以对 VM 执行 ping 操作。这是因为使用 pip 时，您会绕过 Azure 负载均衡器来实现 Internet 连接。

您需要在 NSG 上允许 ICMP，并确保虚拟机没有阻止 ICMP 的主机级防火墙。

跟踪

Azure 中不允许通过 UDP 进行跟踪，但您可以使用 NMap 等可以通过 TCP 进行跟踪路由的工具来解决此问题。

C:\Users\test>nmap -sS -p 80 -Pn --traceroute www.google.com
Starting Nmap 7.92 ( https://nmap.org ) at 2022-02-21 15:26 Coordinated Universal Time
Nmap scan report for www.google.com (172.253.122.147)
Host is up (0.0020s latency).
Other addresses for www.google.com (not scanned): 172.253.122.104 172.253.122.103 172.253.122.99 172.253.122.106 172.253.122.105
rDNS record for 172.253.122.147: bh-in-f147.1e100.net

PORT   STATE SERVICE
80/tcp open  http

TRACEROUTE(使用端口 80/tcp)跳点 RTT 地址1 ... 2627 2.00 毫秒 bh-in-f147.1e100.net (172.253.122.147)

Nmap 完成:9.65 秒内扫描 1 个 IP 地址(1 个主机)