security - 如何保护部署到虚拟网络的Azure角色？

我正在尝试在代理后面放置一个Web角色。我将代理作为Web角色（代理角色），以及代理要保护的另一个Web角色（安全角色）。代理是接受传入流量，对其进行身份验证，然后阻止它或将其传递给Web角色。角色部署到单个虚拟网络。

一种选择是仅在安全角色上打开内部端点，并与具有输入端点的代理角色一起部署（如所述here ）。通过这种方式，代理角色可以公开访问，而安全角色则不可以访问。但是，代理角色可以将经过身份验证的流量传递到安全角色上的内部端点。

此选项的问题是：

最初看起来另一种选择是在虚拟网络中部署这些角色的多个子网。代理角色将位于一个子网中，安全角色将位于另一个子网中。然后，使用ACL保护对放置安全角色的子网的访问。问题是ACL仅适用于虚拟机，而不是here所述的角色。

另一种选择是拥有两个虚拟网络，一个用于代理角色，另一个用于安全角色。但是，无法确保包含安全角色的虚拟网络只能由包含代理角色的虚拟网络访问。虚拟网络网关概念似乎只适用于内部部署到云通信，而不适用于虚拟网络之间的通信。