Hub/Spoke/AppGw场景下，如何配置NSG保护App Service私有端点？

核心问题分析 #

你遇到的问题根源在于NSG规则的匹配逻辑、方向设置以及默认规则的处理方式：当直接禁用VNet间流量的默认规则时，显式允许规则可能因优先级或规则顺序不生效，同时需确保流量路径和DNS解析正确。

具体解决方案 #

• 调整NSG规则的优先级与方向
  私有端点所在的Spoke子网NSG需配置入站允许规则，优先级要高于任何拒绝VNet流量的规则：

  • 规则优先级设为100（数值越小优先级越高）
  • 源地址指定为Hub中应用网关所在子网的完整CIDR（比如10.0.1.0/24）
  • 目标地址可设为私有端点的IP或子网CIDR；端口指定为App Service的访问端口（通常是443）
  • 协议选择TCP，动作设为允许

• 用自定义规则覆盖默认VNet规则，而非直接禁用
  不要修改默认的AllowVnetInBound规则（优先级65000），而是添加两条自定义规则：

  1. 高优先级（如100）的入站允许规则，仅放行应用网关子网的流量
  2. 次高优先级（如200）的入站拒绝规则，拒绝所有其他VNet来源的流量
     规则匹配时会先执行允许规则，再拦截其他VNet流量，避免默认规则冲突

• 确认NSG的绑定对象
  确保NSG直接关联到私有端点所在的Spoke子网，而非App Service的其他资源子网。私有端点会占用子网内的IP地址，子网级NSG直接管控其入出站流量。

• 验证DNS解析与路由路径

  • 检查App网关是否能将App Service的域名解析到私有端点的私有IP：可在App网关实例内执行nslookup <your-app-service-name>.azurewebsites.net，确认返回Spoke VNet内的IP
  • 确认Hub与Spoke VNet peering的路由配置，确保App网关的出站流量直接通过peering到达Spoke，未被用户定义路由（UDR）强制导向Azure Firewall或其他路径

额外安全建议 #

• 可将私有端点的IP加入NSG规则的目标地址，进一步缩小允许范围，而非使用整个子网CIDR
• 定期通过Azure Monitor的NSG流量日志排查规则匹配情况，确认流量是否命中预期的允许规则

内容的提问来源于stack exchange，提问作者2d1b