使用Bastion连接禁用公网端口的Azure VM时遭拒绝的问题求助

错误信息 #

Issue: The target machine has denied access to this connection. If you require access, please grant access to your account on the target machine, or check your system settings.

排查与修复步骤 #

1. 账户权限与密码检查 #

• 确认连接用的本地/Azure AD账户在虚拟机上拥有管理员权限：本地账户需在本地管理员组，Azure AD账户需提前给虚拟机启用Azure AD登录，并分配「虚拟机管理员登录」或「虚拟机用户登录」角色。
• 重置账户密码：通过Azure门户进入虚拟机>「支持和故障排除」>「重置密码」，重新设置密码后重试连接，排除密码错误问题。

2. 虚拟机防火墙配置验证 #

• Windows系统：在启动诊断的命令行执行以下命令，检查RDP规则是否允许Bastion访问：

  netsh advfirewall firewall show rule name=all | findstr "RemoteDesktop"
  

  若未开放，临时关闭防火墙测试：

  netsh advfirewall set allprofiles state off
  

• Linux系统：执行命令检查SSH端口规则：

  iptables -L
  # 或使用ufw的情况
  ufw status
  

  临时关闭防火墙测试：

  ufw disable
  

  确认规则允许AzureBastion服务标签或对应IP段访问22端口。

3. 网络安全组(NSG)规则检查 #

• 检查虚拟机子网的NSG入站规则，确保存在允许AzureBastion服务标签访问3389（Windows）/22（Linux）端口的规则，优先级设为高于其他拒绝规则。

4. 操作系统登录配置 #

• Windows：检查是否启用「仅允许使用网络级别身份验证的远程桌面连接」，若启用可临时禁用（通过启动诊断命令行修改组策略）后重试。
• Linux：编辑/etc/ssh/sshd_config文件，确认AllowUsers未限制连接账户，且PasswordAuthentication设置为yes（密码登录场景），修改后重启sshd服务：

  systemctl restart sshd
  

内容的提问来源于stack exchange，提问作者NAVEEN KUMAR