Azure 应用程序网关绕过

Question

我在 Azure 应用程序网关上配置了许多网站，网站物理托管在 Windows VM(IIS) 上。从应用程序网关流量传递到其中一台虚拟机中的 IIS。所有网站 A 记录都指向应用程序网关。

现在有一个新需求，我想将新网站的A记录直接指向VM，并且不希望它通过应用程序网关负载均衡器。所以基本上我不想配置监听器后端设置等，而是将 A Record 直接指向 VM。这可能吗？

我直接将新网站的A记录指向虚拟机，但不起作用。我相信在 Azure 门户上需要进行一些我不知道的设置。请指导我。

以下是现有结构以及对现有结构的新要求。

Answer 1

Azure 应用程序网关绕过

附加到虚拟机网络接口或子网的网络安全组必须允许您的网站正在使用的端口上的入站流量（通常用于 HTTP 的端口 80 和用于 HTTPS 的 443 端口）。

这可以通过以下步骤来实现。

为您的虚拟机分配公共IP地址：

在修改 NSG 之前，请确保您的虚拟机具有公共 IP 地址。如果没有，您必须创建一个并将其与虚拟机的网络接口关联。

导航到 Azure 门户：登录到您的 Azure 门户。

查找 NSG：查找与您的虚拟机关联的网络安全组。单击与虚拟机的网络接口或子网关联的相关 NSG。

要创建入站安全规则，请选择“任意”以允许来自所有 IP 地址的流量或定义特定范围以限制访问。通常，您可以将端口设置保留为“*”以指示任何端口，除非需要特定的源端口。选择“IP 地址”并输入您的虚拟机的私有 IP（如果尚未填写）。

对于 HTTP 流量，输入“80”，对于 HTTPS 流量使用“443”，或者指定应用程序使用的其他端口。选择“TCP”作为 HTTP/HTTPS 的协议。将操作设置为“允许”以允许流量。为规则分配优先级，记住数字越小表示优先级越高。确认此优先级设置低于任何现有的阻止规则，以防止冲突。

配置 NSG 后，您应该测试是否可以使用公共 IP 从 Internet 访问虚拟机。请记住，对 NSG 规则的更改可能需要几分钟才能生效。

**注意：** 确保虚拟机上的 Windows 防火墙配置为允许所需端口（通常为 80 和 443）上的入站流量。

参考：

https://learn.microsoft.com/en-us/azure/virtual-network/tutorial-filter-network-traffic

https://learn.microsoft.com/en-us/azure/virtual-network/manage-network-security-group?tabs=network-security-group-portal