Блокировать публичный доступ к внутреннему пулу в кластере сервисных структур

Question

У меня есть кластер сервисной фабрики с двумя типами узлов, Frontend и Backend. Каждый тип узла имеет одно приложение, которое прослушивает интерфейс REST. Приложение внешнего интерфейса должно быть доступно из внешнего мира, но тип узла внутреннего интерфейса должен быть доступен только из приложения внешнего интерфейса.

У каждого типа узла есть связанный Балансировщик Нагрузки, и у меня есть правила настройки, чтобы разрешить доступ к каждому из приложений, и все это прекрасно работает. Однако я хотел бы убедиться, что подсистема балансировки нагрузки разрешает использование коммуникационных узлов только для типа внутренних узлов, если они исходят от внешнего приложения. Я не вижу способа настроить это в правилах балансировки нагрузки.

Может кто-нибудь сказать мне, как запретить публичный доступ к моему бэкэнд-приложению?

Answer 1

Я считаю, что вы можете решить эту проблему с помощью групп безопасности сети.

Группа безопасности сети (NSG) содержит список правил безопасности, которые разрешают или запрещают сетевой трафик для ресурсов, подключенных к виртуальным сетям Azure (VNet).

Вот пример того, как это развернуть.

Используйте этот шаблон в качестве примера для настройки безопасного кластера с тремя узлами и для управления входящим и исходящим сетевым трафиком с помощью групп безопасности сети. Шаблон имеет Группу сетевой безопасности для каждого из VMSS, чтобы контролировать входящий и исходящий трафик VMSS.