问题标签 [azure-nsg]

我对 Azure 网络分析有点困惑！有人可以帮助解决这个谜吗？

我在 Azure 中的 Kubernetes 集群是私有的。它加入了 vNET，并且在任何地方都没有公开的 ip。服务配置有内部负载均衡器。应用程序网关调用内部负载均衡器。NSG 阻止从 Internet 到应用程序网关的所有入站流量。NSG 仅允许受信任的 NAT ip。

问题是 - 我看到大量互联网流量来到 vNET 上的 aks。他们当然被拒绝了！我在订阅的任何地方都没有这个公共 ip 40.117.133.149。那么，这些请求是如何到达 aks 的呢？

您可以尝试从互联网调用应用程序网关，但您不会得到任何响应！http://23.100.30.223/api/customer/FindAllCountryProvinceCities?country=United%20States&state=Washington

如果您调用 Azure 函数，您将获得成功的响应 - https://afa-aspnet4you.azurewebsites.net/api/aks/api/customer/FindAllCountryProvinceCities?country=United%20States&state=Washington

它可能是因为遵循 nsg 规则！

感谢您花时间回答我的问题。

作为对@CharlesXu 的回应，我将在 aks 网络上分享更多内容。Aks 网络由几个地址空间组成-

此外，集群中的两个节点中的任何一个都没有分配公共 IP。仅将私有 ip 分配给 vm 节点。这是 node-0- 的示例

我不明白为什么我在集群中看到对 40.117.133.149 的入站请求！

我在 Azure Subscription 的 VNET 中的 VM 中有一个 SQL Server DB。目前它没有任何开放的互联网连接。

我的应用程序团队设计了一个 Microsoft Flow 应用程序，它将读取一些电子邮件，以某种方式解析它们并将这些文件推送到 sql server 数据库（本地存储）中。

我无法向整个 Internet 打开我的 VM NSG。我需要实施哪些 NSG 规则？

对于手动触发的操作，我找不到相应的 NSG 流日志。NSG 流日志在 Azure 门户中的Network Watcher -> NSG 流日志下启用和配置。仅默认规则用于出站 NSG。

这是我正在尝试做的事情，我希望流日志会在几 (4) 分钟后出现，但事实并非如此。

1) 在应用程序网关调用 API @ https://api.aspnet4you.com/api/customer/FindAllCustomers?country=United%20States&state=Washington&city=Seattle

2）查询应用网关访问日志，大约3分钟后出现：

3) 查询 NSG 流日志但未找到结果！

4) 检查配置的存储帐户 blob，我可以在那里看到流日志，这些日志是在过去 15 分钟内生成的。

当我在 Azure Monitor（门户）中查询日志时，为什么 NSG 流日志不显示，而应用网关访问日志显示正常？

参考架构： https ://blogs.aspnet4you.com/wp-content/uploads/2019/01/app-reference-architectures-v2.png

我已经设置了一些虚拟机和一个负载平衡器，这样我们就可以拥有一个传出 IP。现在我在从我的虚拟机内部连接到互联网时遇到问题。如果我打开 Internet Explorer 并尝试访问某个网站，它会显示等待回复，然后显示“此页面无法显示”。

每个 VM 都连接到同一个子网。

该子网附加了一个 NSG，每个 VM 都是该子网的一部分。 NSG 附加到子网。

然后有一个负载平衡器允许传入 RDP，但具有不同的端口到不同的 VM。

我想我错过了 SNAT，但我不知道在哪里配置它。根据我的阅读，我正在使用第 2 级“与 VM 关联的公共负载均衡器（实例上没有实例级公共 IP 地址）”。一个子网上的多个虚拟机和一个负载均衡器共享一个 IP 地址。

我实际上去哪里设置 SNAT？还是我在这里遗漏了另一个问题？

据我研究，Azure NSG 流日志可以存储在三个不同的位置。下面我列出了这些目的地和相关的访问方法。

目的地 --> 访问方法

存储帐户 --> 通过门户/通过 powershell/通过 api

流式传输到 Event-hub --> 由第三方工具（例如 Power BI、Elastic Stack）

日志分析 --> ---

我也遇到了 Network Watcher。

我需要知道如何访问这些 Log Analytics，我是否可以使用 API，以及网络观察程序在哪里适合。

谢谢。

有谁知道是否有任何关于我必须列入白名单才能从 Azure DevOps 获取回调的 IP 列表的文档？我似乎找不到任何列表，也找不到要应用的 Azure NSG 中的任何标签。

出于安全目的，是否可以将 NSG 启用到云服务？我尝试创建一个 Vnet，但我无法将我的 NSG 添加到我创建的 vnet 中，不确定是否可以这样做。

当节点位于使用高级网络的子网中时，需要在节点和 azure kubernetes 服务的主服务器之间打开 TCP/UDP 通信的哪个端口？

出于安全原因，我们必须在通过 Azure 中的 VPN 连接到本地网络的每个子网上使用网络安全组。即使在同一子网中，该 NSG 也必须拒绝机器之间的所有隐式流量，以阻止攻击在系统之间遍历。因此，具有高级网络的 azure kubernetes 服务也是如此，它使用通过 vnet 对等连接的子网。

如果在 aks 高级网络的子网上拥有 NSG 以及使其工作需要哪些端口是受支持的方案，我们找不到答案。

我们尝试了默认的 NSG，它拒绝主机之间的内部流量，但这阻碍了我们连接到服务和节点以无错误地启动。

我正在为 Azure Stack 备份 Azure 网络安全。

我使用了 Azure Powershell 并使用该模块，我能够将现有配置导出为 CSV，并使用导出的 CSV 重新部署这些东西。我的问题是这个模块是否可以在 Azure Stack 上运行，如果不是，我正在寻找使用 Azure RM 模板来支持现有配置的帮助。

我有一个在 VM 上运行的 sql 服务器，并为该 VM 配置了 NSG。我想使用 azure 数据工厂连接到数据库。

如何设置 NSG 规则以允许数据工厂连接到 sql server