为 Azure Bastion 配置 NSG 规则

AzureBastionSubnet

使用以下步骤为 AzureBastionSubnet 配置 NSG 规则。

1. 登录到 Azure 门户。

2. 转到 网络安全组 并选择与 AzureBastionSubnet 关联的 NSG。

3. 在左侧选择 “入站安全规则 ”，然后选择“ + 添加 ”以创建以下入口规则：

   • 来自 Internet 的入口（端口 443）： 从 Internet 服务标记启用端口 443 入站。 AzureBastionSubnet 上不需要端口 3389 和 22。 源可以是 Internet 或指定的一组特定的公共 IP 地址。
   • 来自 GatewayManager 的入口（端口 443）： 从 GatewayManager 服务标记启用端口 443 入站。 这允许控制平面（网关管理器）与 Bastion 主机通信。
   • 来自 VirtualNetwork 的入口（端口 8080,5701）： 启用从 VirtualNetwork 服务标记到 VirtualNetwork 服务标记的端口 8080 和 5701 入站。 这使 Azure Bastion 的内部组件能够相互通信。
   • 来自 AzureLoadBalancer 的入口（端口 443）： 从 AzureLoadBalancer 服务标记启用端口 443 入站。 这使 Azure 负载均衡器能够检测用于运行状况检查的连接性。

   

4. 在左侧选择 “出站安全规则 ”，然后选择“ + 添加 ”以创建以下出口规则：

   • 流出目标 VM（端口 3389、22）： 启用通过专用 IP 在端口 3389 和 22 上向目标 VM 子网的出站流量。 如果将自定义端口功能用于标准 SKU，请改为允许发到 VirtualNetwork 服务标记的出站流量。
   • 流出到 VirtualNetwork （端口 8080， 5701）： 启用从 VirtualNetwork 服务标记到 VirtualNetwork 服务标记的端口 8080 和 5701 出站端口。 这使 Azure Bastion 的内部组件能够相互通信。
   • 出站到 AzureCloud（端口 443）： 启用到 AzureCloud 服务标签的端口 443 出站。 这允许 Bastion 连接到由世纪互联运营的 Azure 公共终结点，用于存储诊断日志和计量日志。
   • 流出到 Internet（端口 80）： 为会话验证、Bastion Shareable Link 和证书验证启用端口 80 出站到 Internet 。

   

目标 VM 子网

使用以下步骤为包含目标虚拟机的子网配置 NSG 规则。

1. 在 Azure 门户中，转到 网络安全组 并选择与目标 VM 子网关联的 NSG。

2. 选择 “入站安全规则”，然后选择“ + 添加 ”以创建以下规则：

   • 来自 AzureBastionSubnet 的入口（端口 3389,22）： 打开 RDP/SSH 端口（分别为 3389 和 22），如果使用标准或高级 SKU 的自定义端口功能，则通过专用 IP 在目标 VM 子网上入站。 如果没有此规则，Bastion 即使配置正确，也无法访问 VM。 最佳做法是，将源范围限定为 AzureBastionSubnet IP 地址范围，以便只有 Bastion 才能打开这些端口，而不是更广泛的 Internet。

使用以下脚本为 Azure Bastion 创建所有必需的 NSG 规则。

# Connect to Azure Account
Connect-AzAccount -Environment AzureChinaCloud
# Get the Network Security Group details
$resourceGroupName = Read-Host ("Enter the name of the Resource Group")
$nsgName = Read-Host ("Enter the name of the Network Security Group")
# Ingress and Egress rules
$rules = @(
    @{
        Name = "AllowHttpsInbound"
        Priority = 120
        Direction = "Inbound"
        Access = "Allow"
        SourceAddressPrefix = "Internet"
        SourcePortRange = "*"
        DestinationAddressPrefix = "*"
        DestinationPortRange = "443"
        Protocol = "TCP"
    },
    @{
        Name = "AllowGatewayManagerInbound"
        Priority = 130
        Direction = "Inbound"
        Access = "Allow"
        SourceAddressPrefix = "GatewayManager"
        SourcePortRange = "*"
        DestinationAddressPrefix = "*"
        DestinationPortRange = "443"
        Protocol = "TCP"
    },
    @{
        Name = "AllowAzureLoadBalancerInbound"
        Priority = 140
        Direction = "Inbound"
        Access = "Allow"
        SourceAddressPrefix = "AzureLoadBalancer"
        SourcePortRange = "*"
        DestinationAddressPrefix = "*"
        DestinationPortRange = "443"
        Protocol = "TCP"
    },
    @{
        Name = "AllowBastionHostCommunication"
        Priority = 150
        Direction = "Inbound"
        Access = "Allow"
        SourceAddressPrefix = "VirtualNetwork"
        SourcePortRange = "*"
        DestinationAddressPrefix = "VirtualNetwork"
        DestinationPortRange = 8080,5701
        Protocol = "Tcp"
    }
    @{
        Name = "AllowSshRdpOutbound"
        Priority = 100
        Direction = "Outbound"
        Access = "Allow"
        SourceAddressPrefix = "*"
        SourcePortRange = "*"
        DestinationAddressPrefix = "VirtualNetwork"
        DestinationPortRange = 22,3389
        Protocol = "Tcp"
    },
    @{
        Name = "AllowAzureCloudOutbound"
        Priority = 110
        Direction = "Outbound"
        Access = "Allow"
        SourceAddressPrefix = "*"
        SourcePortRange = "*"
        DestinationAddressPrefix = "AzureCloud"
        DestinationPortRange = "443"
        Protocol = "TCP"
    },
    @{
        Name = "AllowBastionCommunication"
        Priority = 120
        Direction = "Outbound"
        Access = "Allow"
        SourceAddressPrefix = "VirtualNetwork"
        SourcePortRange = "*"
        DestinationAddressPrefix = "VirtualNetwork"
        DestinationPortRange = 8080,5701
        Protocol = "Tcp"
    },
    @{
        Name = "AllowHttpOutbound"
        Priority = 130
        Direction = "Outbound"
        Access = "Allow"
        SourceAddressPrefix = "*"
        SourcePortRange = "*"
        DestinationAddressPrefix = "Internet"
        DestinationPortRange = "80"
        Protocol = "Tcp"
    }
 )
foreach ($rule in $rules) {
    $nsgRule = New-AzNetworkSecurityRuleConfig -Name $rule.Name `
        -Priority $rule.Priority `
        -Direction $rule.Direction `
        -Access $rule.Access `
        -SourceAddressPrefix $rule.SourceAddressPrefix `
        -SourcePortRange $rule.SourcePortRange `
        -DestinationAddressPrefix $rule.DestinationAddressPrefix `
        -DestinationPortRange $rule.DestinationPortRange `
        -Protocol $rule.Protocol
 # Get the details of the Network Security Group and Add rules to the group
    $nsg = Get-AzNetworkSecurityGroup -ResourceGroupName $resourceGroupName -Name $nsgName
    $nsg.SecurityRules.Add($nsgRule)
    Set-AzNetworkSecurityGroup -NetworkSecurityGroup $nsg
}