Azure 网络安全组和应用程序网关

Question

我有下一个 azure 设置：

1. 具有自己的 vnet 的应用程序网关平衡器。

2. 应用程序网关后端池中的两个虚拟机，它们有自己的 vnet 和应用于虚拟机的网络安全组。

主要问题： 如何指示网络安全组仅允许来自应用程序网关的 http/https 流量？

我试过的：

a) 在源标记为 AzureBalancer 的网络安全组中添加入站规则。不管用 。探针告诉我 vm 处于不健康状态。

b) 我已经对两个 vnet 进行了对等连接，并且我添加了一个具有源标记 VirtualNetwork 的入站规则。同上，探测器告诉我虚拟机处于不健康状态。

c) 我在 nsg 中添加了一个入站规则，只允许来自应用程序网关的公共 ip 的流量。这工作正常，探测器看到虚拟机处于健康状态。

唯一的问题是应用网关的公网ip地址是动态的，不能设为静态。
因此，当 ip 更改时，我的规则将不起作用。

我很想知道如何使这个设置工作。

我在 azure 文档站点上看到的所有示例都包含一个具有多个子网的 vnet。

Answer 1

如果应用程序网关子网上有 NSG，则应在应用程序网关子网上为入站流量打开端口范围 65503-65534。这些端口是后端运行状况 API 工作所必需的。我已经从本文档中逐字复制了上述句子：https : //docs.microsoft.com/en-us/azure/application-gateway/application-gateway-diagnostics ...因为我遇到了同样的问题。将上述内容添加到我的 NSG 后，我的运行状况检查探针起作用了。