Azure VMSS关联应用网关与负载均衡器后无外网连接及NAT规则配置咨询

一、能不能同时给VMSS配置Application Gateway和负载均衡器？ #

肯定可以！不过你碰到的出站互联网连接丢失问题，大多是因为出站路由冲突或者SNAT配置不当导致的：

• 当VMSS关联了公共负载均衡器后，默认情况下实例的出站流量会走LB的公共IP做SNAT。但如果之前已经有Application Gateway在处理入站流量，很可能出现路由优先级“打架”的情况，或者子网的路由表没配置好，导致出站流量被阻断。
• 要是你用的是内部负载均衡器，它本身不带出站SNAT能力，这时候实例得靠其他方式（比如子网的公共IP前缀、NAT网关）才能访问外网。

怎么恢复出站连接？ #

给你几个实操步骤：

1. 检查VMSS子网的路由表：
   • 别让路由表把所有出站流量都强制导向Application Gateway（除非你本来就想这么干）。App Gateway一般只负责入站到VMSS的流量，出站流量应该走默认路由或者专门的NAT网关。
2. 用NAT网关替代LB的SNAT：
   • 给VMSS所在的子网关联一个NAT网关，指定公共IP作为出站的SNAT地址。这样既能避免LB和App Gateway的SNAT冲突，又能保证实例正常访问外网。
3. 调整负载均衡器的出站规则：
   • 如果用的是公共LB，可以手动配置出站规则，明确允许的出站端口和目标，别让它阻断必要的互联网访问。同时注意不要让LB的出站规则覆盖App Gateway的入站路由逻辑。

二、不用额外LB，还有啥方式创建NAT规则？ #

如果不想同时维护App Gateway和LB，或者想简化配置，有两个更合适的方案来实现VMSS实例的端口转发：

1. 直接在Application Gateway里配置入站NAT规则 #

App Gateway本身就支持入站NAT规则，完全不需要额外创建负载均衡器：

• 操作路径：打开你的Application Gateway → 左侧菜单选「规则」→ 点击「添加」→ 选择「NAT规则」类型
• 配置的时候可以指定前端端口、后端目标（VMSS实例）以及要转发的后端端口，这样就能实现端口转发到VMSS的特定实例，还不会影响原来的App Gateway入站流量和VMSS的出站连接。

2. 用Azure Bastion做管理级访问（如果只是为了远程管理） #

如果你的NAT规则只是用来远程管理VMSS实例（比如RDP、SSH），完全不用搞LB或者App Gateway NAT，直接用Azure Bastion就好：

• Bastion可以通过Azure门户直接连接到VMSS的任何实例，不需要把实例的端口暴露到公网，安全性高很多。
• 另外，也可以给VMSS开启「为每个实例分配公共IP」（在VMSS的IP配置里设置），每个实例会有独立的公网IP，你可以直接通过这个IP加端口访问，但这种方式安全性差，不建议生产环境用。

内容的提问来源于stack exchange，提问作者user1097128