Azure中子网与NIC均配置NSG时，SSH连接VM是否被允许？

场景描述 #

• 虚拟机vm1关联网卡NIC1，NIC1处于子网subnet1内
• subnet1关联的NSG：包含默认允许/拒绝规则，额外添加了允许端口22入站SSH的规则
• NIC1关联的NSG：仅包含默认允许/拒绝规则，无额外自定义规则

SSH连接结果 #

该SSH连接会被拒绝。

逻辑说明 #

当子网和网卡同时绑定NSG时，流量必须同时通过两层NSG的规则校验（逻辑与关系）：

1. 子网级NSG：额外添加的规则允许了22端口的入站SSH流量，这一层校验通过
2. NIC级NSG：默认规则的最后一条是DenyAllInbound（拒绝所有入站流量），由于没有自定义添加允许22端口的规则，流量在这一层会被阻断

内容的提问来源于stack exchange，提问作者MantyQuestions