关于配置NSG规则启用Azure PostgreSQL灵活服务器高可用性的疑问

问题背景 #

尝试为Azure PostgreSQL灵活服务器启用区域冗余高可用性，对文档中NSG配置要求存在疑问：

Azure Database for PostgreSQL - 灵活服务器的高可用性功能要求能够在部署该服务器的Azure虚拟网络子网内，向目标端口5432、6432发送/接收流量，同时需要能够向Azure存储发送流量以进行日志归档。如果您创建网络安全组（NSG）来拒绝子网内Azure Database for PostgreSQL - 灵活服务器的出入流量，请确保允许子网内目标端口5432和6432的流量，并且允许以服务标签Azure Storage为目标的流量。

1. 子网内端口规则的理解是否正确？ #

你的理解是正确的。
区域冗余HA模式下，主实例和副本实例都部署在同一个子网内，两者需要通过5432（PostgreSQL默认端口）和6432（内部复制通信端口）进行数据同步。你配置的入站规则：

Source IP: [数据库子网的CIDR]
Source Port Range: *
Destination IP addresses: [数据库子网的CIDR]
Destination Port Ranges: 5432,6432
Action: Allow
Priority: [默认入站拒绝规则之前的任意编号]

完全符合需求，确保了子网内实例间的双向通信权限。

2. 是否需要配置对应出站规则？ #

不需要额外配置出站规则。
NSG是有状态的，只要允许了入站流量，对应的反向出站流量（比如主实例响应副本的请求）会自动被允许，无需单独添加出站规则来匹配这两个端口。

3. Azure Storage的流量规则方向？ #

你的猜测正确，需要配置出站规则。
日志归档是PostgreSQL服务器主动将日志文件上传到Azure存储服务，属于出站流量。配置规则时：

• 源：数据库子网的CIDR
• 目标：服务标签 AzureStorage
• 端口范围：*
• 动作：Allow
• 优先级：设置在默认出站拒绝规则之前即可

内容的提问来源于stack exchange，提问作者x3nr0s