14、微软 Azure 基础设施搭建全攻略

微软 Azure 基础设施搭建全攻略

1. 网络安全组（NSGs）

NSGs 可用于在 Azure 中部署多层应用程序。这类应用程序有多个可通过互联网访问的前端服务器（如 Web 服务器），而应用服务器和后端服务器（如数据库）则需要更严格的安全措施，即不能直接从互联网访问。NSGs 可用于控制网络流量。

网络安全组由规则组成，单个规则包含 5 个元组（源 IP、源端口、目标 IP、目标端口、协议），规则有编号，编号越低，优先级越高。

每个 NSG 都有一些无法删除的默认规则，如编号为 65500 的“拒绝所有出站流量”和“拒绝所有入站流量”规则，所有默认规则的编号都在 65xxx 范围内。

网络安全组的一些特性如下：
- 每个 Azure 订阅最多可创建 100 个网络安全组。
- 每个网络安全组最多可包含 200 条规则，这是软限制，可向微软申请提高。
- 只能使用 PowerShell 和 REST API 管理网络安全组。
- 对网络安全组所做的任何更改都会立即应用到子网中的所有虚拟机。
- 只能应用于区域虚拟网络。
- 可应用于虚拟机或子网。
- 目前只能应用于虚拟机的主网卡，未来微软将支持多网卡的网络安全组。

2. 端点管理

控制每个虚拟机的入站和出站流量的另一种方法是使用端点。对于虚拟机，只能选择使用端点或网络安全组，不能两者同时使用。

为了实现虚拟机与互联网之间的网络连接，微软 Azure 使用端点。端点本质上是 Azure 防火墙中的映射或网络地址转换，用于将虚拟 IP 端口号连接到 DIP 端口号。