白名單與Azure網絡安全組的特定IP地址

我試圖限制對虛擬機上的端點的訪問僅限於特定的外部IP地址。經過研究，我發現Azure上的網絡安全組可能是合適的。我創建了一個網絡安全組，並將其連接到我的虛擬網絡的子網。白名單與Azure網絡安全組的特定IP地址

我再創造，我認爲應該只允許一個特定的IP地址訪問這兩個規則：

的規則如下：

- Source: IP Addresses 
- Source IP address range: * 
- Source port range: * 
- Destination: * 
- Destination port range: * 
- Protocol: Any 
- Action Deny 
- Priority: 1000 
- Name: Deny-All

- Source: IP Addresses 
- Source IP Address Range: XX.XXX.XXX.XX 
- Source Port Range: * 
- Destination: Any 
- Destination Port Range: * 
- Protocol: Any 
- Action: Allow 
- Priority: 700 
- Name: Allow-Specific

然而，當我嘗試從指定的IP地址訪問我似乎被阻止的端點。有誰知道我是否忘記了一步或做錯了什麼。 NSG阻止訪問，但我似乎無法得到白名單工作。

我檢查了NSG日誌，但不幸的是我無法檢查源IP地址是什麼。也許可能源IP地址在流水線的某處發生了變化，並在達到NSG規則之前被更改。

來源

2017-10-20 Brian Delaney

好吧，您的允許有問題，流量與規則不匹配，並且被拒絕 – 4c74356b41

嘗試在Azure門戶中使用Network Watcher，這提供了多種診斷網絡問題的方法。另外，你確定你沒有在你試圖訪問的虛擬機上運行防火牆嗎？您可以在添加規則之前到達VM嗎？ – P2l

Hi @ P2l，感謝您的評論。我相信它不是一個防火牆問題，因爲當我將允許規則中的「源IP地址範圍」更改爲「任何」時，我可以訪問我的端點。我還嘗試檢查NSG日誌以檢查這些請求上的源IP地址是什麼，但不幸的是日誌似乎沒有包含此信息。 –

它似乎是與這個問題在否認所有規則。我沒有意識到，已經有一個否定所有規則建成NSG已經。出於某種原因，當我刪除了自定義Deny-All規則但保留了Allow-Specific時，我能夠訪問白名單IP上的端點。

我不確定爲什麼會出現這種情況，如果有人有更多的反饋，我很樂意聽到它。

來源

2017-10-24 18:06:21

據我所知，這不是一個「拒絕所有規則」問題。因爲該規則的優先級較低。它不會影響優先級爲700的規則。當您測試它時，是否確保您的服務正在偵聽？爲了測試，您可以再次添加規則，我想您也可以從XX.XXX.XXX.XX訪問您的服務。 –

白名單與Azure網絡安全組的特定IP地址

回答

相關問題