在Azure Migrate中限制IP：WinRM端口5985能否仅对特定IP/子网开放？

完全可以限制WinRM端口5985的入站连接范围，这也是保障服务器安全的最佳实践，没必要将端口开放给全网。

针对你想仅面向Azure相关流量开放的需求，可通过以下两种核心方式实现：

• 本地Windows防火墙配置：在待发现的Windows服务器上创建入站规则，仅允许特定IP/子网访问5985端口。Azure Migrate的发现操作由其服务IP或本地部署的Migrate设备发起，你可以把这些IP加入允许列表。
• 网络层安全规则：如果服务器处于内网或通过专线连接Azure，可在边界防火墙或Azure虚拟网络的网络安全组（NSG）中设置规则，只放行来自Azure Migrate服务IP段或Migrate设备IP的5985端口入站流量。

需要注意：Azure Migrate的服务IP范围会按区域划分且定期更新，你需要获取对应部署区域的IP段来维护规则。另外，如果是使用本地Migrate设备的场景，直接限制到设备的固定IP会更精准，因为所有发现请求都是由该设备发起的。

内容的提问来源于stack exchange，提问作者Louis