Azure Cloud Service Конечная точка для виртуальной машины только для внутреннего доступа

У меня есть виртуальная машина с SQL Server. Я открываю порт 1433 на брандмауэре Windows и конечную точку на соответствующем порту переадресации облачных служб 57501 - 1433. Я не указал ACL на этой конечной точке. Я хочу, чтобы конечная точка была доступна только из определенной подсети в VNet, где существует виртуальная машина.Azure Cloud Service Конечная точка для виртуальной машины только для внутреннего доступа

Если я установил это в ACL, это не сработает - ACL, похоже, заботится об общедоступном IP-адресе клиента. Поскольку публичный IP-адрес может измениться, это не вариант.

Какой здесь подход? Обратите внимание: я не хочу напрямую подключаться к имени хоста VM, потому что я хочу использовать CNAME, который настроил для меня облачный сервис (фактическое имя компьютера Windows представляет собой случайную длинную строку).

источник

2016-02-14 Jeff

Я хотел бы предложить NSGs настройки (Network Security Groups) – opHASnoNAME

Таким образом сеть группы безопасности будет парой хорошо с облачными услугами конечных точками, даже если конечная точка URL является лобковым IP? – Jeff

NSGs применять правила входящего/исходящего трафика на уровне виртуальной машины или роли облачной службы-роли.

Примечание что правила по умолчанию NSG разрешают трафик в виртуальной сети и отправляются в Интернет. По умолчанию все остальные трафик отклоняются. Вам необходимо явно указать правила, чтобы изменить это поведение или разрешить любой другой трафик.

Вы можете создать правило NSG, как показано ниже, чтобы разрешить только трафик из определенной подсети в VNet.

Get-AzureNetworkSecurityGroup -Name "NSG-FrontEnd" ` 
| Set-AzureNetworkSecurityRule -Name rdp-rule ` 
    -Action Allow -Protocol TCP -Type Inbound -Priority 100 ` 
    -SourceAddressPrefix 192.168.1.0/24 -SourcePortRange '*' ` 
    -DestinationAddressPrefix '*' -DestinationPortRange '1433'

источник

2016-02-16 15:41:23

справа ... но когда трафик проходит через конечную точку облачного сервиса, SourceDestinationPrefix - это точка конечной точки облачного сервиса, а не интернет-подсеть VNet ... правильно? – Jeff

Да, я пропустил то, что вы пытались использовать CNAME облачной службы для доступа к SQL-серверу. Таким образом, вы просматриваете IP-адрес маршрутизации через Интернет. Это противоречит вашему требованию о доступности SQL-сервера из определенной подсети. Вместо этого вы можете настроить SQL-сервер на статический IP-адрес VNET, настроить правила NSG, чтобы разрешить доступ к подсети, и использовать статический IP-адрес для подключения из этой подсети. См. Https://azure.microsoft.com/en-us/documentation/articles/virtual-networks-reserved-private-ip/. –

Azure Cloud Service Конечная точка для виртуальной машины только для внутреннего доступа

ответ

Смежные вопросы