Azure Network：如何配置NSG阻止子网间通信？
2026-8-8
用NSG阻止10.2.3.0与10.2.4.0子网间通信的配置方法
核心思路
给两个子网各自绑定（或已绑定）的NSG添加高优先级的拒绝规则，覆盖默认的同VNet允许流量规则，从而阻断彼此间的通信。
具体操作步骤
对10.2.3.0子网的NSG配置
添加以下四条规则（优先级设为100，比默认规则的65500高即可）：
- 出站拒绝规则：
- 源：
10.2.3.0/24（按实际子网掩码调整，比如/16就填/16） - 目标：
10.2.4.0/24 - 协议/端口：选「所有」（要完全阻断就选所有，按需也可指定特定端口）
- 动作：拒绝
- 源：
- 入站拒绝规则：
- 源：
10.2.4.0/24 - 目标：
10.2.3.0/24 - 协议/端口：所有
- 动作：拒绝
- 源：
对10.2.4.0子网的NSG配置
对称添加规则，同样设优先级100：
- 出站拒绝规则：
- 源：
10.2.4.0/24 - 目标：
10.2.3.0/24 - 协议/端口：所有
- 动作：拒绝
- 源：
- 入站拒绝规则：
- 源：
10.2.3.0/24 - 目标：
10.2.4.0/24 - 协议/端口：所有
- 动作：拒绝
- 源：
重点提醒
- 优先级是关键：拒绝规则优先级必须高于NSG默认的「允许同VNet内所有流量」规则（默认优先级65500），否则拒绝规则不会生效。
- 子网掩码要准确：别填错掩码，不然规则范围会出错，导致要么没阻断彻底，要么误拦其他流量。
- 配置后必测：用两个子网里的机器互相ping、访问服务，确认通信确实被阻断。
内容的提问来源于stack exchange，提问作者One Developer
相关产品推荐
相关产品推荐
