如何使用网络安全组仅允许我的网络应用程序与我的网络服务进行通信

Question

我已经掌握了所有我需要的资源。我将我的Web服务放入应用程序服务环境中，然后将NSG附加到应用程序服务环境使用的子网上。然后，我允许VNET内部的应用程序与Web服务进行通信，但它不起作用。我需要什么安全规则？

Answer 1

您可能需要一个ILB ASE，因为如果您关心的是从虚拟网络内部访问它，那么通过VIP（公共IP）公开您的App Service环境就没有意义。

从https://azure.microsoft.com/en-us/documentation/articles/app-service-environment-with-internal-load-balancer/：

的ASE可以与互联网连接的端点或在您的互联星空的IP地址进行部署。为了将IP地址设置为VNet地址，您需要使用内部负载均衡器（ILB）部署ASE。

当你的ASE配置与ILB您提供：

• 自己的域或子域。但您可以通过任何方式进行配置。
• 用于HTTPS
• DNS管理您的子

在返回的证书，你可以做的事情，如：

• 主机内联网应用，如业务线应用程序，安全地在您通过Site to Site或ExpressRoute VPN访问的云中安全地进行访问
• 云中未列出的主机应用程序n公关DNS服务器
• 创建Internet隔离后端的应用程序，你的前端应用程序可以安全地与

Answer 2

假设你有你的webapp公网（Internet）上使用，WebService的是内部的Azure的集成VM /服务。

你必须允许的流量到您的WebService，入站到特定端口您使用的是像

名称创建规则：AllowInternetInbound 优先级：AnyNumberBelowYourDenyAll 100是一个很好的例子 SOURCEIP：INTERNET使用标签选项 源端口：* DestinationIP：YourWebServiceIP 端口：YourWebServicePort或* 协议：HTTP或HTTPS 访问：允许

文档： https://azure.microsoft.com/en-us/documentation/articles/virtual-networks-nsg/

如果您发布您的应用和配置目前的方式，我们可以看看是否有任何缺失。