既然Azure NSG是有状态的，为何应用程序负载均衡器文档建议不限制出站访问？

虽然Azure NSG是有状态的（允许入站连接对应的反向出站流量自动通行），但应用网关自身存在一些主动发起的出站需求，这些流量并非来自入站连接的响应：

• 应用网关需要定期连接Azure内部服务完成组件更新、健康状态上报等管理操作；
• 当配置了自定义健康探测、后端池域名解析、外部身份认证（如Azure AD）等功能时，网关需主动发起出站请求来实现这些功能；
• 高级功能如Web应用防火墙的规则库更新、日志导出至外部存储等，也依赖不受限制的出站访问。

如果通过NSG手动限制出站流量，即便有状态规则允许响应式出站，也会阻断这些网关主动发起的必要请求，进而导致应用网关功能异常或无法正常运行。文档强调保留默认允许出站的规则，正是为了保障这些网关自身的关键操作不受影响。

内容的提问来源于stack exchange，提问作者Dr. Software