应用程序的 Azure 子网分段

Question

我们在 Azure 中管理多个客户的大型环境，我们正在对其进行重新设计，并且我们希望在其中管理多个常见子网（如应用程序、Web 和数据库子网）内的流量。

因此，在任何公共子网（如 db）中，基本上没有两个不同的应用程序无法相互通信。

Answer 1

默认情况下，来自同一 VNet 的不同子网中的资源可以相互通信。因此，您需要使用Azure network security group 来过滤在 Azure 虚拟网络或子网中进出 Azure 资源的网络流量。

应用程序安全组使您能够将网络安全配置为应用程序结构的自然扩展，允许您对虚拟机进行分组并基于这些组定义网络安全策略。您可以大规模重复使用您的安全策略，而无需手动维护显式 IP 地址。要了解更多信息，请参阅Application security groups。

对于 Azure 应用服务或 Azure SQL 数据库等 PaaS，您可以使用 VNet Integration 访问专用网络中的 VNet 资源或使用 virtual network service endpoints and rules for servers in Azure SQL Database。

更多信息，您可能知道：

• https://docs.microsoft.com/en-us/azure/architecture/reference-architectures/dmz/secure-vnet-dmz
• https://docs.microsoft.com/en-us/azure/networking/networking-overview