启用WAF的Azure应用网关：客户端请求先经WAF还是NSG过滤？

客户端发起的请求会先经过网络安全组（NSG）过滤，之后才进入Web应用程序防火墙（WAF）处理。

具体逻辑：

• NSG属于网络层防护（OSI 3-4层），一般绑定在应用网关所在的子网或其网络接口上，优先对流量做基础的访问控制，比如拦截非授权IP段、不符合规则的端口请求，把明显不符合网络准入要求的流量直接挡在外面。
• WAF是应用层防护（OSI 7层），属于应用网关的组件，只有当请求通过NSG的过滤后，才会抵达应用网关，由WAF执行HTTP/HTTPS层面的精细化防护，比如识别并拦截SQL注入、XSS攻击、恶意请求路径等应用层威胁。

内容的提问来源于stack exchange，提问作者Sathish Mugithe