将入站流量限制为仅通过 Azure 负载均衡器

Question

请有人建议如何将端口 80/443 上的访问限制为某些 Azure VM，以便它们只能通过与 Azure 负载均衡器关联的公共 IP 地址进行访问。

我们当前的设置有负载平衡规则，将流量从 80=>80 和 443=>443 上的公共 IP 传递到 2 个虚拟机的后端池。我们在端口 80 上设置了健康探测。会话持久性设置为客户端 IP，浮动 IP 已禁用。

我认为答案是拒绝（通过网络安全组）访问 80/443 上的互联网（服务标签）。然后添加规则以允许相同端口上的服务标记 (AzureLoadBalancer)。但这似乎没有效果。对此进行了更多阅读后，似乎 AzureLoadBalancer 标签仅允许运行状况探测访问，而不是专门用于来自该负载均衡器的入站流量。

我也尝试添加规则以允许负载均衡器的公共 IP 地址，但同样没有效果。

我想知道是否需要开始研究 Azure 防火墙？并以某种方式限制访问 到通过它的入站流量？

我能让虚拟机响应这些端口的唯一方法是添加规则以允许从任意到任意的 80/443....

Answer 1

阅读您的问题后，我的理解是您有一个公共负载均衡器，并且后端虚拟机也有与之关联的实例级公共 IP，因此可以直接入站访问虚拟机。但您希望确保仅通过负载均衡器限制对 VM 的直接入站访问。

实现此目的的简单解决方案是取消关联 VM 的实例级公共 IP，这将使 LB 公共 IP 作为您的 VM 的唯一联系点。 请记住，LB 不是代理，它只是转发流量的第 4 层资源，因此，您的后端 VM 仍然会看到客户端的源 IP 而不是 LB IP，因此，您仍然需要允许使用“Any”作为源的 NSG 级别的流量。

但是，如果您的要求是启用 Azure VM 的出站连接，同时避免 SNAT 耗尽，我建议您创建 NAT 网关，您可以在其中为 SNAT 分配多个公共 IP 地址并从 VM 中删除公共 IP。此设置将确保入站访问仅由公共负载均衡器提供，出站访问由 NAT 网关提供，如下所示：

参考：https://docs.microsoft.com/en-us/azure/virtual-network/nat-gateway/nat-gateway-resource#nat-and-vm-with-standard-public-load-balancer

https://docs.microsoft.com/en-us/azure/virtual-network/nat-gateway/tutorial-nat-gateway-load-balancer-public-portal

您还可以在 Azure 负载均衡器中为 RDP/SSH 连接到单个实例配置端口转发。 参考：https://docs.microsoft.com/en-us/azure/load-balancer/manage#-add-an-inbound-nat-rule

https://docs.microsoft.com/en-us/azure/load-balancer/tutorial-load-balancer-port-forwarding-portal