Question

我的要求很简单。我需要将NSG关联到包含我的应用程序网关的子网。

将NSG关联到该子网后，我会收到连接超时错误。

根据Microsoft的文档，我为端口范围65503-65534添加了例外。

来自https://docs.microsoft.com/en-us/azure/application-gateway/application-gateway-faq

应用程序网关子网上支持网络安全组（NSG），但有以下限制：

对于Application Gateway v1 SKU的端口65503-65534和对于v2 SKU的端口65200-65535，必须在传入流量中放入例外。 Azure基础结构通信需要此端口范围。它们受到Azure证书的保护（锁定）。没有适当的证书，包括这些网关的客户在内的外部实体将无法在这些端点上发起任何更改。

无法阻止出站互联网连接。

必须允许来自AzureLoadBalancer标记的流量。

我想念什么吗？任何帮助将不胜感激。

Answer 1

这是一个适用于我的示例nsg应用程序网关排除规则：

    {
        "apiVersion": "2017-06-01",
        "name": "NameGoesHere",
        "type": "Microsoft.Network/networkSecurityGroups/securityRules",
        "location": "[resourceGroup().location]",
        "properties": {
            "description": "This rule is needed for application gateway probes to work",
            "protocol": "*",
            "destinationAddressPrefix": "*",
            "sourcePortRange": "*",
            "destinationPortRange": "65503-65534",
            "sourceAddressPrefix": "*",
            "access": "Allow",
            "priority": "literally any priority",
            "direction": "Inbound"
        }
    }

尝试将具有此规则的nsg添加到应用程序网关子网中，它将起作用。另外，请确保您没有使用NSG明确阻止从应用程序网关到后端的访问。

Answer 2

要将 NSG 关联到包含应用程序网关的子网，请允许来自

的流量

来源：'GatewayManager'，端口：任何到目的地：'GatewayManager'服务标签，目的地端口：65503-65534
必须允许来自目标子网为 Any 的 AzureLoadBalancer 标记的流量。

还有，

无法阻止出站 Internet 连接

参考：https://docs.microsoft.com/en-us/azure/application-gateway/configuration-infrastructure#network-security-groups

将NSG添加到Application Gateway子网

2 个答案: