Azure .net：在沒有 Azure 防火牆的情況下控制到 fqdn 的流量

Question

為了開發目的，我在 Microsoft azure 上創建了一個 .net。 .net按開發分為su.nets，即后端，前端，數據庫。

任何人都可以幫助我了解如何控制來自 VM 的出站流量，以便 VM 只能根據開發要求發送流量？ 例如，前端 su.net 中的 VM 應該只將流量發送到 angular.js CDN，而不是其他任何地方； 同樣，后端的 VM 應該只將流量發送到 maven 存儲庫。

我知道這可以使用 azure 防火牆來實現，但由於我的團隊很小並且 VM 不是 24 小時使用，防火牆對我來說是一個太昂貴的選擇

Answer 1

因此，您希望能夠基於 FQDN/目標域來控制流量。 我將轉到 go，假設您主要關心的是成本，因此您可能需要自己構建一個基於 IaaS 的解決方案，或者從 Azure Marketplace 獲取一個。

您可以在 B1ls/B1s Linux VM 上設置一個開源轉發代理，例如Squid Proxy ，它相對容易設置並且非常便宜。 然后將所有請求轉發給 Squid 並管理 Squid 上的允許/拒絕列表。 但是，代理通常對 HTTPS 的支持有限。

您需要一種解決方案，它還可以攔截/解密您的流量，以識別機器嘗試連接的 FQDN。 幸運的是，Squid 代理 v3.5 及更高版本具有SslBump Peek 和 Splice ，可能有助於解決此問題。

現在，如果上述方法對您不起作用，您可能想要探索像pfsense這樣的開源防火牆，您可以再次將其安裝在 VM 上。

使用上述兩個 IaaS 解決方案的優勢在於，您可以在不使用時將它們關閉 - 按照與應用程序 VM 類似的時間表，進一步降低總體成本。