Azure 網絡安全組-多源IP地址

Question

我有一個 NSG 用於控制到我的 VM 的入站流量。 其中一條規則控制端口 5061 上的入站 TCP 流量。我們只希望流量來自一組特定的外部 IP 地址，否則流量將被丟棄。

有沒有辦法為規則的源條目定義一組 ip 地址，我可以在創建規則后輕松修改該列表？ 我認為 Azure IP 組會是答案，但這不是下拉列表中的選項。

這是我使用過的大多數防火牆設備的共同特征。

謝謝你。

Answer 1

您可以將 Azure 網絡安全組 (NSG) 與引用 Azure 虛擬網絡 (VNet) 地址空間的源地址前綴 IP 結合使用。

你可以在 VNet 中創建一個 su.net，並分配你希望允許來自該 su.net 的流量的 IP 地址。 然后，在你的NSG規則中，你可以使用su.net的源IP地址前綴作為源IP地址

Ps Azure 防火牆和 Azure 前門服務都允許您定義 IP 地址組，作為其配置的一部分。

Answer 2

遺憾的是，NSG 不提供此功能。 盡管您可以在一個 NSG 規則中指定多個源（公共或私有）IP 地址，但是當您需要更改 IP 地址列表時，您總是必須修改該特定規則，這會帶來一些不便 - 特別是如果您使用跨多個 NSG 的 IP 地址的相同列表。 像Azure Firewall 這樣的服務確實有這樣的功能，就像你提到的，第 3 方也提供這個功能。 但這些服務會帶來額外費用。