NSG与VNet Peering深度指南：DevOps Insiders Batch 18控制跨虚拟网络访问的完整方法

【免费下载链接】azure-aws-gcp-devsecops-mlops-batch-18Welcome to the official repository for Batch18! ‍ Here, youll find a organized collection of class notes, assignments, and code snippets generated during our sessions.项目地址https://gitcode.com/gh_mirrors/az/azure-aws-gcp-devsecops-mlops-batch-18点击查看免费下载在 DevOps Insiders Batch 18 课程仓库中你可以系统学习NSGNetwork Security Group网络安全组与VNet Peering虚拟网络对等这两个 Azure 网络核心概念掌握控制跨虚拟网络访问的完整方法。本文基于课程中的真实课堂笔记与实操实验用生活化类比和流量走查方式帮新手从零建立先隔离、再连通、全程可控的云网络思维是面向初学者的完整指南。一、为什么需要 NSG 和 VNet Peering先把两个概念放回它们该在的位置概念一句话理解类比VNetVirtual NetworkAzure 里的私有网络一栋大楼的内网Subnet子网VNet 内的隔离区间大楼的不同楼层NSG控制进出流量的安全规则集大楼的门禁 保安VNet Peering把两个 VNet 私有互联两栋大楼之间的专用通道课程在 Azure Virtual Networks 笔记 中给出了面试标准答案VNet peering connects VNets privately without internetVNet 对等让虚拟网络不经过互联网私有互通。这正是企业 Landing Zone 网络设计的第一原则。 面试高频点先规划 CIDR 再建网络。选 CIDR 前要确认现有网络清单、做重叠分析Overlap Analysis、评估未来 IP 增长——避免后期两个 VNet 地址冲突无法 peering。二、NSG云上的门禁系统端口就是房间 课程用一个非常形象的房子类比来解释 NSG见 NSG, VNet Peering Bastion 课堂笔记IP 地址 房子地址端口Port 房子里的房间22 端口 → Linux SSH 管理房间80 端口 → HTTP 网站443 端口 → HTTPS 网站3389 端口 → Windows RDP 远程桌面NSG 默认规则入站全关 出于安全考虑默认所有来自互联网的入站端口都是关闭的你必须显式配置 allow 规则才能放行流量。这就是默认拒绝Default Deny原则——NSG 不是默认放行再拦截而是默认拦截再放行这是初学者最容易误解的一点。规则评估顺序数字越小优先级越高Internet Request --- [ NSG Priority Check: 100 to 4096 ] --- VM Port 数字小的规则先评估三条关键规则评估逻辑规则按优先级数字从小到大依次评估100 先于 200一旦命中某条规则后续规则不再评估因此放行 Web 流量就创建 80 端口入站规则如优先级 100放行 SSH 管理就创建 22 端口入站规则如优先级 110。三、公共 IP 的风险为什么 Landing Zone 要最小化 Public IP ⚠️课程在 Azure Bastion 笔记 中提出了一条企业安全黄金法则一个优秀的 Landing ZonePublic IP 越少越好。当每台 VM 都挂 Public IP 时会面临三重风险持续暴露在端口扫描、自动化暴力破解和 DDoS 攻击之下管理端口22、3389对公网敞开是攻击者的首要目标用一台带 Public IP 的 Jump VM跳板机管理内网会形成单点故障SPOF——跳板机一旦失陷攻击者就能横向进入所有内部 VM。课程给出的解决方案是Azure Bastion通过 Azure Portal 浏览器以 HTTPS443 端口直接 RDP/SSH 到只有私有 IP 的 VM工作负载 VM 保持 100% 私有化彻底杜绝端口扫描。相关流量走查可参考 Azure VM Network 实操笔记。四、VNet Peering 工作原理私有骨干零互联网跳数 来自 Networking Basics 笔记 的核心结论同 Region 的两个 VNet→ 使用VNet Peering跨 Region 的两个 VNet→ 使用Global VNet Peering。课程用一个多 VNet 实验VNet 1:10.56.0.0/16VNet 2:10.57.0.0/16验证了流量行为实验结论如下表通信场景路由机制同一子网内Azure SDN 直接 L2/L3 投递零跳数同一 VNet 不同子网走 Azure 默认系统网关无需手动路由不同 VNet未 peering无法通信不同 VNet已 peering流量经微软私网骨干转发0 个互联网跳数来自公网命中 LB/Public IP → NSG 评估 → NAT 转换为 VM 私有 IP 关键认知建立 VNet Peering 之前两个 VNet 里的 VM 完全无法通信peering 建立后流量全程走微软私有骨干网不经过公共互联网。五、企业级方法Hub-and-Spoke 控制跨 VNet 访问 ️这是整个课程最重要的架构思想来自 Landing Zone 架构笔记 与 Landing Zone 答疑课笔记Hub VNet中枢集中部署 Azure Firewall、Azure Bastion、VPN/ExpressRoute 网关Spoke VNet辐条各环境/各应用的 VNet通过 VNet Peering只与 Hub 对等流量规则Spoke 与 Spoke 之间的流量必须经过 Hub 中的 Azure Firewall实现集中包检查、零信任策略与威胁检测。经典面试题Spoke 之间能直接 Peering 吗❌不能。企业 Hub-and-Spoke 设计中Spoke 永远不直接互联。所有跨 Spoke 流量必须穿过 Hub 防火墙——这是集中化治理Governance的底线。这也是控制跨虚拟网络访问的完整方法的精髓Peering 负责通NSG Hub 防火墙负责控。网络九大支柱Networking 位列其中完整清单见 Landing Zone 支柱笔记。六、用 Terraform 把 NSG 与网络结构落地 课程配套的可运行代码位于 monolithic_landing_zone 目录采用模块 多环境结构azurerm_virtual_network 模块定义 VNet 与 CIDRazurerm_subnet 模块定义 Frontend/Backend 子网azurerm_virtual_machine 模块包含 NIC 与 NSG 安全规则配置preprod 环境入口组合各模块并关联 LB/App Gateway 后端池。在 Axion 实战项目代码 中也能看到 NSGsecurity_rule在 VM 模块内的声明式写法——规则即代码可版本管理、可复用。七、NSG 与 VNet Peering 高频面试问题清单 ✅以下问题整理自课程的 TopicWiseQuestions.md 题库建议自测什么是 Hub-and-Spoke 架构为什么用它Hub 和 Spoke 之间如何通信如何启用 Spoke 到 Spoke 通信VNet Peering 有哪些限制如何突破答案方向非传递性、CIDR 重叠不可 peering、Virtual WAN 扩展什么时候用 Azure Virtual WANNSG 入站规则与出站规则的区别如何定位是 NSG 还是 Firewall 拦了流量的问题完整解释 Internet → Hub → Firewall → Spoke 的入站流量链路。更多高级准备内容可参考 面试准备要点笔记。八、学习路径建议 阶段学什么对应资料第 1 步VNet / Subnet / CIDR 基础AzureVirtualNetworks 笔记第 2 步NSG 规则与默认拒绝NSG,VnetPeering,BastionInitial 笔记第 3 步多 VNet 实验与流量走查AzureVMNetwork 笔记第 4 步Hub-and-Spoke 企业架构Bastion 与 Hub-Spoke 笔记第 5 步Terraform 落地monolithic_landing_zone 代码第 6 步面试冲刺TopicWiseQuestions 题库一句话总结NSG 管住门端口级访问控制默认拒绝VNet Peering 打通路私网互联零互联网跳数Hub-and-Spoke 防火墙守住道集中化治理——三者结合就是 DevOps Insiders Batch 18 控制跨虚拟网络访问的完整方法。赞分享【免费下载链接】azure-aws-gcp-devsecops-mlops-batch-18Welcome to the official repository for Batch18! ‍ Here, youll find a organized collection of class notes, assignments, and code snippets generated during our sessions.项目地址https://gitcode.com/gh_mirrors/az/azure-aws-gcp-devsecops-mlops-batch-18点击查看免费下载相关推荐Azure Entra ID入门指南DevOps Insiders Batch 18统一管理企业身份与访问控制的5个步骤Azure Entra ID入门指南DevOps Insiders Batch 18统一管理企业身份与访问控制的5个步骤 Azure Entra ID 是 AAzure RBAC实战教程DevOps Insiders Batch 18用最小权限原则安全配置VM访问Azure RBAC实战教程DevOps Insiders Batch 18用最小权限原则安全配置VM访问 本文基于 DevOps Insiders Batc上云还是本地部署DevOps Insiders Batch 18深度对比Cloud与On-Premises的核心取舍上云还是本地部署DevOps Insiders Batch 18深度对比Cloud与On Premises的核心取舍 在 DevOps Insiders Ba上一篇让AI放心改代码claude-delegator的read-only与workspace-write沙箱双模式安全机制详解下一篇一篇教程把蚂蚁的模型写成昆仑万维开源模型的信息传播正在制造集体幻觉创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考