Azure VM无法连接求助：入站端口规则异常及相关故障排查

问题梳理 #

• 原DenyAllInbound规则阻断RDP连接，手动添加覆盖规则失败；Azure自动生成的RDP规则仅生效一次后失效
• 已尝试：重启VM、新建VM、高优先级RDP规则、修改端口（误解RDP仅支持3389）
• 此前VM因未告知的区域变更导致延迟过高已删除

分步解决方案 #

1. 修复NSG规则优先级冲突 #

• 登录Azure门户，找到目标VM关联的NSG
• 删除自动生成的RDP入站规则，手动创建新规则：
  • 优先级设为100-200区间（必须高于默认DenyAllInbound的65500优先级）
  • 源地址按需设为Any或指定IP段，端口填3389（或自定义端口），协议选TCP，动作设为允许
• 保存规则后，重启VM的网络接口（而非仅重启VM）：在VM的「网络」选项卡找到对应接口，点击「重启」

2. 验证VM内部RDP服务状态 #

• 通过Azure门户的「串行控制台」登录VM（无需RDP）：
  • 执行命令 netstat -ano | findstr :3389，确认RDP服务是否在监听目标端口
  • 运行 services.msc，找到「Remote Desktop Services」，确保其状态为「正在运行」，启动类型设为「自动」
  • 检查本地防火墙：执行 netsh advfirewall firewall show rule name="Remote Desktop"，确认入站规则已启用且端口匹配

3. 正确修改RDP端口（破除3389限制） #

RDP支持自定义端口，操作步骤：

• 串行控制台打开注册表编辑器：regedit
• 定位到 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
• 修改PortNumber的十进制值（例如3390），保存后重启VM
• 返回NSG，将手动创建的RDP规则端口更新为自定义端口，确保优先级不变

4. 规避区域变更问题 #

• 新建VM时，在创建页面确认区域选项，若支持则勾选「固定区域」，或确保资源组与VM区域一致
• 若存在延迟问题，使用VM门户「连接」选项卡中的网络测试工具，检测到不同区域的延迟，选择最优区域重新部署

额外排查项 #

• 确认VM公IP为静态：动态IP重启后可能变更，导致RDP连接地址失效
• 检查Azure防火墙或第三方安全软件：通过VM「诊断设置」查看网络流量日志，定位流量阻断源

内容的提问来源于stack exchange，提问作者Anurag Baundwal