如何在Azure中配置规则限制仅美国境内IP地址可访问业务
2026-10-18
Azure 限制仅美国IP访问的配置方案
以下提供三种不同场景下的落地配置方式，可根据你当前使用的Azure资源类型选择：
方案1：Azure Front Door 地域过滤（公网Web业务首选）
该方案在边缘节点直接拦截非法请求，无需流量到达业务服务器，同时自带防扫描、防攻击的内置规则，适合有公网域名接入的Web业务。
- 打开对应Front Door实例的配置界面，进入「安全」分类下的 WAF策略 管理页
- 新建或编辑已绑定的WAF策略，选择「自定义规则」 tab
- 新增匹配规则，优先级设置为最高（数值越小优先级越高，建议填10）
- 匹配条件配置为：
- 匹配类型：
地理位置 - 匹配变量：
RemoteAddr - 运算符：
不在 - 可选值勾选：
美国
- 匹配类型：
- 操作项选择
阻止，保存规则后关联到对应的Front Door接入端点即可生效。
额外建议：启用WAF内置的勒索软件防护、爬虫防护规则，可直接拦截已知的攻击探测请求，降低安全风险。
方案2：网络安全组(NSG)配置（适用于VM、应用网关、私有服务等资源）
该方案在VPC层面做入口拦截，适合所有部署在Azure虚拟网络内的资源。
- 打开目标资源关联的NSG配置页，进入「入站安全规则」列表
- 先新增允许规则：
- 来源：
服务标签 - 来源服务标签：
UnitedStates - 来源端口范围：
* - 目标：
任何 - 目标端口范围：填写业务实际开放的端口（如80、443、22等）
- 协议：
TCP - 操作：
允许 - 优先级：100
- 来源：
- 再新增全局拒绝规则：
- 来源：
任何 - 来源端口范围：
* - 目标：
任何 - 目标端口范围：
* - 协议：
任何 - 操作：
阻止 - 优先级：200
- 来源：
注意：如果你的资源前部署了Azure负载均衡、应用网关等中间服务，需要额外添加规则允许对应服务的健康探测IP访问，避免业务异常。
方案3：App Service 访问限制配置（仅适用于Azure App Service托管服务）
该方案是App Service原生提供的访问控制能力，无需额外购买WAF或其他服务。
- 打开目标App Service的配置页，进入「网络」分类下的 访问限制 配置页
- 点击「添加规则」，规则类型选择「国家/地区」
- 自定义规则名称，操作选择
允许，国家/地区勾选美国，优先级设置为100 - 保存规则后，系统会自动生成默认的全局拒绝规则，所有非美国IP的访问都会被直接拦截。
- 可选配置：在同一页面启用动态IP限制，设置单IP每秒请求阈值，拦截异常扫描行为。
内容的提问来源于stack exchange，提问作者Jon
相关产品推荐
相关产品推荐
