不使用Azure Firewall时如何管控Azure VNet中发往FQDN的出站流量

以下方案均适配你团队规模小、VM非24小时运行的场景，成本远低于Azure Firewall：

方案1：网络安全组(NSG)（零额外成本，优先推荐） #

NSG是Azure原生免费的网络访问控制组件，完全覆盖你的基础管控需求：

• 支持IP段、端口、协议过滤，目前已正式支持FQDN出站规则，无需额外付费即可实现域名级别的流量管控
• 配置逻辑：
  • 为前端、后端、数据库子网分别绑定独立NSG，保留必要的入站开发访问规则
  • 前端子网NSG出站规则：仅允许到angular.js CDN对应FQDN/IP段的80、443端口访问，其余所有出站流量默认拒绝
  • 后端子网NSG出站规则：仅允许到Maven仓库对应FQDN/IP段的443端口访问，其余所有出站流量默认拒绝
• 适用场景：管控规则简单，不需要统一审计日志的开发环境

方案2：自建轻量流量网关（极低使用成本，适合复杂规则场景） #

如果需要统一管控多子网流量、保留访问日志，可采用该方案：

• 实现逻辑：在VNet内新增独立网关子网，部署1台最低配置的Linux VM（如Standard_B1s规格），通过iptables/nftables做流量过滤和SNAT，所有业务子网的默认路由指向该网关VM
• 配置要点：
  • 开启网关VM的IP转发功能，配置SNAT规则处理子网VM的出站流量
  • 配置过滤规则：仅允许前端子网IP段访问angular.js CDN、后端子网IP段访问Maven仓库，其余出站流量全部丢弃
  • 所有业务子网路由表添加默认路由0.0.0.0/0，下一跳为网关VM的内网IP
• 成本优势：可设置网关VM和开发VM同步自动开关机，非工作时间不产生费用，按需运行的月成本仅为Azure Firewall的1%左右

方案3：NSG + NAT Gateway组合（适合需要固定公网出口的场景） #

如果要求子网VM出站使用固定公网IP，可搭配NAT Gateway使用：

• NAT Gateway按使用时长和出站流量计费，按需开启的成本远低于Azure Firewall
• 流量管控逻辑仍通过NSG实现，NAT Gateway仅负责公网出口地址转换

内容的提问来源于stack exchange，提问作者Yash