Azure全局网络防火墙

Question

我在一个租户中有几个订阅。我正在尝试寻找一种方法来避免开放互联网访问新的Web应用程序。

我可以为该应用程序创建一个网络安全组，并从那里控制访问。但是我正在考虑更多……“全球”。租赁级别或订阅级别（如果无法使用全局级别）。

可以设置类似的东西吗？

Answer 1

1. 网络安全组只能应用于子网级别（甚至不能应用于vnet），您可以应用于NIC，但更低级别
2. NSG不适用于WebApp
3. 对于WebApp，您需要使用web.config来控制访问权限
4. 至少在Azure中，非常确定没有办法以集中方式完成想要实现的目标

Answer 2

仅强调一下，VNet Integration使您的Web应用程序可以访问虚拟网络中的资源，但不会授予从虚拟网络对Web应用程序的私有访问权限。私有站点访问是指使您的应用程序只能从私有网络（例如从Azure虚拟网络内部）访问。专用站点访问仅在配置了内部负载均衡器（ILB）的ASE中可用。有关使用ILB ASE的详细信息，请从此处的文章开始：https://docs.microsoft.com/en-us/azure/app-service/environment/create-ilb-ase

您将使用VNet集成的一种常见情况是，允许从Web应用访问在Azure虚拟网络中的虚拟机上运行的数据库或Web服务。借助VNet集成，您无需在VM上公开应用程序的公共端点，而可以使用私有的非Internet可路由地址。 参考：https://docs.microsoft.com/en-us/azure/app-service/web-sites-integrate-with-vnet