Добавить NSG в подсеть шлюза приложений

Мое требование простое. Мне нужно связать NSG с подсетью, содержащей шлюз приложения.

Как только я связываю NSG с этой подсетью, я получаю ошибку тайм-аута соединения.

Согласно документации Microsoft, я добавил исключение для диапазона портов 65503-65534.

С https://docs.microsoft.com/en-us/azure/application-gateway/application-gateway-faq

Группы безопасности сети (NSG) поддерживаются в подсети шлюза приложений со следующими ограничениями:

Исключения должны быть введены для входящего трафика через порты 65503-65534 для SKU Application Gateway v1 и порты 65200 - 65535 для SKU v2. Этот диапазон портов необходим для связи инфраструктуры Azure. Они защищены (заблокированы) сертификатами Azure. Без надлежащих сертификатов внешние субъекты, включая клиентов этих шлюзов, не смогут инициировать какие-либо изменения в этих конечных точках.

Исходящее интернет-соединение не может быть заблокировано.

Трафик из тега AzureLoadBalancer должен быть разрешен.

Я что-то пропустил? Любая помощь будет принята с благодарностью.

Источник

2 ответа

Решение

Это пример правила исключения шлюза приложений NSG, которое работает для меня:

    {
        "apiVersion": "2017-06-01",
        "name": "NameGoesHere",
        "type": "Microsoft.Network/networkSecurityGroups/securityRules",
        "location": "[resourceGroup().location]",
        "properties": {
            "description": "This rule is needed for application gateway probes to work",
            "protocol": "*",
            "destinationAddressPrefix": "*",
            "sourcePortRange": "*",
            "destinationPortRange": "65503-65534",
            "sourceAddressPrefix": "*",
            "access": "Allow",
            "priority": "literally any priority",
            "direction": "Inbound"
        }
    }

попробуйте добавить nsg с этим правилом в подсеть шлюза приложения, оно будет работать. также убедитесь, что вы явно не блокируете доступ от шлюза приложения к бэкэнду с помощью NSG.

Источник

Чтобы связать NSG с подсетью, содержащей шлюз приложений, разрешите трафик из

  1. из источника: 'GatewayManager', порт: любой в пункт назначения: сервисный тег 'GatewayManager', порт назначения: 65503-65534
  2. Трафик из тега AzureLoadBalancer с подсетью назначения Any должен быть разрешен.

Также,

  1. Исходящее подключение к Интернету не может быть заблокировано

Ссылка: https://docs.microsoft.com/en-us/azure/application-gateway/configuration-infrastructure#network-security-groups

Источник
Другие вопросы по тегам