Azure Netzwerk-Sicherheitsgruppe und Application Gateway

Question

Ich habe das nächste azur Setup:

1. Application Gateway Balancer mit einer eigenen vnet.

2. Zwei vms im Back-End-Pool des Application-Gateways, die über ihr eigenes vnet und eine Netzwerksicherheitsgruppe auf das vms angewendet haben.

Hauptproblem: Wie kann ich die Netzwerksicherheitsgruppe anweisen http/https-Datenverkehr vom Anwendungs-Gateway nur erlauben?

Was ich versucht:

a) hinzugefügt eingehende Regel in Netzwerk-Sicherheitsgruppe mit Source-Tag zu. Funktioniert nicht . Sonden sagen mir, dass die VMs in einem ungesunden Zustand sind.

b) Ich habe die beiden vnets angeschaut und eine Eingangsregel hinzugefügt, die das Quell-Tag VirtualNetwork enthält. Wie oben, Sonden, die mir sagen, dass die vms in einem ungesunden Zustand sind.

c) Ich habe eine Eingangsregel in NSG hinzugefügt, um den Datenverkehr nur von der öffentlichen IP des Anwendungs-Gateways zuzulassen. Dies funktioniert gut, Sonden sehen die vms in einem gesunden Zustand.

Das einzige Problem ist, dass die öffentliche IP-Adresse des Anwendungs-Gateways dynamisch ist und nicht statisch gemacht werden kann.
Also wenn die IP ändern wird meine Regel nicht funktionieren.

Ich bin neugierig, um herauszufinden, wie diese Einrichtung funktioniert.

Alle Beispiele, die ich auf der azure-Dokumentationsseite gesehen habe, sind mit einem einzelnen vnet mit mehreren Subnetzen.

Answer 1

Das einzige Problem ist, dass die öffentliche IP-Adresse der Anwendung Gateway ist dynamisch und es kann nicht statisch gemacht werden.

Sie haben Recht, denn jetzt, wir kann nicht Satz Anwendungs-Gateway Öffentlichkeit zu statisch.

Und wir können nicht NSG eingehenden Regeln mit Anwendungs-Gateway FQDN hinzuzufügen.

Als Abhilfe können wir internen IPs als Back-End-Pool-Mitglieder, verbinden sie mit vnet peering oder VPN gateway verwenden.

Answer 2

Wenn ein NSG im Application Gateway-Subnetz vorhanden ist, sollten die Portbereiche 65503-65534 im Application Gateway-Subnetz für eingehenden Datenverkehr geöffnet werden. Diese Ports sind erforderlich, damit die Back-End-Health-API funktioniert. Ich habe den obigen Satz wörtlich aus diesem Dokument kopiert: https://docs.microsoft.com/en-us/azure/application-gateway/application-gateway-diagnostics ... als ich in das gleiche Problem lief. Nach dem Hinzufügen der oben genannten zu meiner NSG funktionierten meine Health-Check-Sonden.