azure - 使用 Azure 防火墙的 ICMP 出站到 Internet

Question

我在 Azure 防火墙中有一条规则，基本上应该允许 ICMP 到达任何目的地。

    {
        description: 'Allow Ping to Any'
        name: 'rule-allow-ping'
        ruleType: 'NetworkRule'
        destinationAddresses: [
          '*'
        ]
        destinationPorts: [
          '*'
        ]
        ipProtocols: [
          'ICMP'
        ]
        sourceIpGroups: [
          ipVMs.id
        ]
      }

当我在内部(在 2 个对等 VNET 之间)进行 ping 操作时，它工作正常。

当我从外部 ping 通(例如 8.8.8.8)时，没有得到回复。

是否需要启用其他设置，或者它是“正常”行为(在某处记录)吗？

Answer 1

https://learn.microsoft.com/nl-nl/archive/blogs/mast/use-port-pings-instead-of-icmp-to-test-azure-vm-connectivity

Because the ICMP protocol is not permitted through the Azure load balancer, you will notice that you are unable to ping an Azure VM from the internet, and from within the Azure VM, you are unable to ping internet locations.

但是，如果您要为虚拟机提供公共(public) IP，只要您在 Azure 防火墙中创建网络安全组规则和规则以允许其入站，就可以从 Internet 对其进行 ping 操作。

即使使用公共(public) IP，但也不可能让虚拟机 ping 通互联网出站:

Also note that while an instance-level public IP lets you communicate directly to a specific VM instead of through the cloud service VIP that can be used for multiple VMs, ICMP is not permitted in that scenario either.

据我所知，这也适用于 Azure 防火墙后面的任何虚拟机。