azure - 何时选择 IP 白名单而不是 VNet 对等互连？

Question

要将两个或多个 VNet 连接在一起，可以使用 VNet 对等互连。但是，我注意到在我的组织中，有些人正在使用 NSG 将 VNet 之间的 IP 地址列入白名单。这方面有优势或最佳实践吗？

Answer 1

当您可以遵循零信任模式时，通常不建议将 IP 列入白名单。

根据您的限制和组织规则，您可能希望利用 VNet Peering与 Hub-and-Spoke topology (或不)甚至Private Link跨 PaaS(或负载均衡器后面的虚拟机)的 VNet/区域，以确保流量通过 Microsoft 主干网而不是通过 Internet 流动，IP 欺骗是一种常见的攻击。<​​/p>

我总是引用Microsoft Well-Architected Framework对于此类问题。