Azure防火墙的网络规则是否支持FQDN入站流量过滤？

Azure防火墙入站FQDN过滤问题解答 #

• 明确结论：Azure防火墙当前仅支持在网络规则中使用FQDN过滤出站流量，不支持入站方向的源FQDN过滤能力。
• 核心原因：
  官方当前仅对出站场景做了FQDN规则的适配：出站时用户指定的是要访问的目标FQDN，防火墙可主动正向解析该域名得到对应IP后生成动态过滤规则；而入站场景下流量仅携带源IP信息，防火墙没有内置的自动对源IP做反向PTR解析、再匹配你指定的源FQDN的逻辑，因此暂不支持该能力。
• 可行替代方案：
  • 通用场景适配：可自行编写定时运行的脚本，定期解析out.example.com的公网IP，自动同步更新Azure防火墙的入站IP允许规则，适配源IP动态变化的需求，该方案对所有TCP/UDP协议均适用。
  • 若入站流量为HTTP/HTTPS协议且需要限制访问的目标域名：可额外使用Azure防火墙的应用程序规则，基于请求的Host头或SNI字段做目标域名级的入站访问控制，也可搭配Web应用防火墙（WAF）策略实现更精细化的防护。
  • 若源站点为你方可管控的资源：可选择搭建VPN或ExpressRoute私有连接，绕开公网入站的IP过滤需求，安全性更高。

内容的提问来源于stack exchange，提问作者Hamza AZIZ