Azure 应用程序网关 - 有什么理由让 Azure 防火墙落后？

Question

我在 Azure API 管理前面有 Azure 应用程序网关，并且可以看到，在 Internet 上的大多数可用方案中，Azure 应用程序网关和 Azure API 管理之间都有防火墙。

由于 Azure 应用程序网关本身就是一个防火墙，是否有任何理由将 Azure 防火墙置于其后面。

Answer 1

一般来说，根据经验。Azure 防火墙适用于非 Web 传入流量和所有传出流量。应用程序网关 WAF 用于传入 Web 流量。

Web 应用程序防火墙 (WAF) 是应用程序网关的一项功能，可为您的 Web 应用程序提供集中的入站保护，使其免受常见攻击和漏洞的侵害。

Azure 防火墙为非 HTTP/S 协议（例如 RDP、SSH、FTP）提供入站保护，为所有端口和协议提供出站网络级保护，并为出站 HTTP/S 提供应用程序级保护。

参考：Azure 防火墙常见问题解答

至于显示这两者的图表，这解释了它

当虚拟网络中没有 Web 应用程序时，仅使用 Azure 防火墙。

当虚拟网络中仅存在 Web应用程序时，仅使用应用程序网关，并且网络安全组 (NSG) 提供足够的输出筛选。

当您希望 Azure 应用程序网关保护 HTTP(S) 应用程序免受 Web 攻击，并希望 Azure 防火墙保护所有其他工作负载并筛选出站流量时，Azure 防火墙和应用程序网关并行，这是最常见的设计。

当您希望 Azure 防火墙检查所有流量和 WAF 以保护 Web 流量，并且应用程序需要知道客户端的源 IP 地址时，应用程序网关位于 Azure 防火墙前面。

当您希望Azure 防火墙在流量到达应用程序网关之前检查和筛选流量时，Azure 防火墙位于应用程序网关前面。

参考：Azure 虚拟网络安全