如何用Azure WAF保护本地非Azure服务器？能否将其加入Azure虚拟网络？

一、能否将本地服务器加入Azure虚拟网络？ #

可以，主流实现方式有三种：

• 站点到站点VPN（Azure VPN Gateway）：在本地部署VPN设备，与Azure VPN Gateway建立IPsec隧道，将本地服务器所在网段纳入Azure VNet的地址空间规划，实现本地与Azure VNet的网络连通。
• Azure ExpressRoute：通过运营商提供的专用物理线路，将本地网络直接连接到Azure，提供低延迟、高带宽的专用连接，适合对网络稳定性要求高的场景。
• Azure Arc 服务器：将本地服务器注册到Azure Arc后，可通过Azure Arc的网络集成功能，将服务器逻辑关联到Azure VNet，这种方式基于代理实现网络连通，无需搭建传统VPN隧道。

二、能否通过Azure WAF保护这台非云部署的服务器？ #

可以，但需要结合集成WAF功能的Azure Application Gateway实现，步骤如下：

1. 先通过上述任意一种方式，完成本地服务器与Azure VNet的网络连通。
2. 在Azure VNet中部署带WAF功能的Azure Application Gateway，将后端池配置为本地服务器的私有IP（或Azure Arc注册后的服务器资源）。
3. 修改网站域名的DNS解析，将原本指向本地服务器公网IP的记录，改为指向Azure Application Gateway的公网IP。所有互联网访问流量会先经过Application Gateway上的WAF过滤，再转发到本地服务器。

注意事项 #

• 需确保本地服务器与Azure Application Gateway之间的网络延迟在可接受范围内，避免影响网站访问体验。
• 配置Application Gateway的后端健康探测规则，确保能正常检测本地服务器的运行状态，避免流量转发异常。
• 若使用Azure Arc方式，需确保本地服务器能稳定与Azure Arc服务通信，并配置相应的网络安全策略，允许Application Gateway到本地服务器的业务流量。

内容的提问来源于stack exchange，提问作者Andrei Golubkov