24、网络安全与负载均衡配置全解析

网络安全与负载均衡配置全解析

1. 网络安全组规则评估

在创建网络安全组（NSG）时，系统会自动生成一些默认的入站和出站安全规则，这些默认规则优先级较低。同时，你也可以添加自定义规则，包括入站和出站规则。NSG 规则遵循优先级原则，规则编号越小，优先级越高。

例如，若存在两条 RDP 规则，一条允许 RDP，一条禁止 RDP，优先级低（编号小）的规则将优先生效，即允许 RDP 的规则会在禁止 RDP 的规则之前生效。

当 NSG 规则过多难以手动审查，或者一个资源关联了多个 NSG，不确定哪些规则优先时，可以使用 Azure 内置的网络观察器（Network Watcher）工具，通过其 IP 流验证功能检查流量流向。更多信息可参考：https://docs.microsoft.com/en-us/azure/network-watcher/network-watcher-monitoring-overview 。

2. 实施 Azure 防火墙和 Azure Bastion

2.1 Azure 防火墙

在 Azure 网络中，NSG 被视为基础级防火墙。但有时需要对流量进行更精细控制，或者需要更智能的防火墙，这时 Azure 防火墙就发挥作用了。

Azure 防火墙可配置三种主要策略：
- 网络地址转换（NAT）规则 ：用于将防火墙的公共 IP 地址和端口转换为私有 IP 地址和端口。
- 网络规则 ：与 NSG 规则类似，但有额外功能，如可基于完全限定域名（FQDN）创建规则，而非仅使用 IP