如何使用NSG保护Azure SQL私有终结点？

Question

问题

入站安全规则 mssql-vpn-deny 不会阻止从VPN用户到SQL专用终结点的流量。我可以远程登录到1433，然后通过SSMS连接到SQL Server实例。

但是，入站安全规则 ssh-vpn-deny 成功阻止了与SQL专用终结点在同一子网上的VM的流量。

场景

• 2个VNET：对等资源-vnet，vpn-vnet，VNET
• 2个子网：aks子网，sql子网
• 1个SQL专用终结点：sql-pe，sql子网中的IP
• 1个NSG：restrict-sql-nsg，与sql-subnet关联
• 1个入站安全规则：mssql-vpn-deny，端口1433 |源10.191.1.0/24 |任何目的地拒绝
• 1个测试入站安全规则：ssh-vpn-deny，端口22 |源10.191.1.0/24 |任何目的地拒绝
• vpn用户IP：10.191.1.2

AKS（aks子网中的IP地址）中的Pod必须与sql-pe（sql-subnet中的IP地址）通信。

必须允许连接VPN的用户访问aks子网中的IP。

VPN连接的用户必须被拒绝访问sql-subnet中的IP。

问题排查

我在sql-subnet上部署了VM。我创建了入站安全规则（端口22 |源10.191.1.0/24 |目标任意|拒绝）。我无法通过SSH进入虚拟机。当我将规则更改为“ allow”时，我成功地将SSHG SSH到了虚拟机中。