Azure标准内部负载均衡器后端VM部分互联网访问异常求助

我来帮你一步步梳理这个问题的排查方向和解决方案，毕竟这种标准内部负载均衡器（ILB）后端VM的出站访问限制，在Azure环境里是挺常见的场景：

1. 先搞定出站SNAT的核心配置 #

你提到已经禁用了OutboundSNAT，但这里要注意：Azure标准ILB的后端VM，如果没有配置独立的出站SNAT资源，默认只能通过Azure的"默认SNAT池"访问微软自有服务（比如bing.com），这是Azure的设计限制。解决办法有两个：

• 给每个后端VM分配实例级公共IP（ILPIP）：这样VM可以直接通过自己的公共IP出站，完全绕开LB的SNAT限制
• 给ILB配置出站规则：创建一个出站规则，绑定公共IP/公共IP前缀作为前端，关联你的后端池，这样LB会为VM分配专属的SNAT端口，用于访问非微软站点的互联网流量

2. 检查NSG的出站规则是否卡了流量 #

你提到创建了NSG，那得确认NSG没有限制出站流量：

• 先看有没有优先级很高的拒绝出站规则，比如只允许访问微软服务，或者直接拒绝所有出站流量
• 确保Azure默认的AllowInternetOutBound规则没有被覆盖（默认规则优先级较低，容易被自定义规则压制）
• 可以临时加一个优先级靠前的出站规则，允许所有目标（*）、所有端口（*）的流量，测试下是不是NSG的锅

3. 验证子网路由表的配置 #

如果VM所在子网关联了自定义路由表，得检查路由是否正确：

• 确认存在默认路由（0.0.0.0/0），下一跳指向Azure的Internet网关，而不是其他虚拟设备或者无效地址
• 如果用了Azure防火墙或者第三方NVA，要确保防火墙/NVA本身允许出站访问互联网，并且路由配置把流量正确导向它

4. 排查VM操作系统层面的限制 #

有时候问题出在VM内部：

• Windows系统：检查Windows Defender防火墙，有没有出站规则阻止了非微软站点的访问；也可以临时关闭防火墙测试
• Linux系统：用iptables -L或者ufw status看看有没有出站拦截规则，必要时临时禁用防火墙验证
• 确认VM没有配置代理服务器，或者代理服务器能正常访问目标站点

5. 测试DNS解析是否正常 #

如果域名解析失败，也会导致无法访问：

• 在VM上执行nslookup www.google.co.in，看能不能拿到正确的IP地址
• 如果解析失败，检查VM的DNS服务器配置，确保用的是Azure默认DNS（或者其他能正常解析互联网域名的DNS）

内容的提问来源于stack exchange，提问作者Mangat