停止到 Azure WebApp 的直接流量，只允许通过 CDN 的流量答案

【问题标题】：Stop direct traffic to Azure WebApp and only allow traffic through CDN停止到 Azure WebApp 的直接流量，只允许通过 CDN 的流量
【发布时间】：2019-03-25 10:39:35
【问题描述】：

当我在 web 应用前面放置 CDN 或 Azure Front Door 之类的东西时，如何阻止流量直接访问 .azurewebsite.net 域名？

【问题讨论】：

如果您使用Azure Traffic Manager，它将使用命名空间xxx.trafficmanager.net 创建一个端点，这将调用.azurewebsite.net
我还没有尝试过，但我猜如果您只想在通过映射到您的 Web 应用程序的自定义域请求时提供内容，您会使用相同的逻辑。如果我没记错的话，你需要添加一个重定向规则来阻止这种情况的发生。
例如，如果我使用 cloudflare 作为 WAF，我只需要允许通过 Cloudflare 访问我的 web 应用程序的流量。

标签： azure azure-web-app-service azure-cdn azure-front-door

【解决方案1】：

我相信下面的文章深入讨论了如何设置 Azure Web 应用程序以及如何将 Azure Front Door 与它一起使用。它突出显示 myappfrontend.azurefd.net 如何成为应用程序的前端，然后仅当满足条件时才会将请求重定向到后端 (.azurewebsites.net)。第二篇文章重点介绍了如何设置自定义域以在必要时与 Azure Front Door 一起使用。请查看以下信息，如果您有任何更直接的问题，请告诉我们。

设置完成后，您可以开发重新路由规则，将请求从 .azurewebsites.net 定向到您的自定义域，这将确保所有请求都由 Azure Front Door 处理。

<system.webServer>
 <rewrite>
    <rules>
      <rule name="Redirect rule for azurewebsites.net to domain.com" patternSyntax="Wildcard" stopProcessing="true">
        <match url="*" />
        <conditions>
          <add input="{HTTP_HOST}" pattern="whateverappdavid.azurewebsites.net" />
        </conditions>
        <action type="Redirect" url="http://therealdavids.com/{R:0}" />
      </rule>
    </rules>
  </rewrite>
</system.webServer>

【讨论】：

我担心FAQ 下的这个声明：Front Door 的后端 IP 空间可能会在以后发生变化，但是，我们会确保在此之前，我们会与 Azure 集成IP 范围和服务标签。我们建议您订阅 Azure IP 范围和服务标签以进行任何更改或更新。是否有安全的方法来确保 AFD 地址不会意外更改？我看不到“订阅”范围文档中的更改的方法

【解决方案2】：

更新

也许，您可以使用 REST API 来检索 Verizon 的入网点 (POP) 服务器的 IP 集。然后使用此 IP 列表强制对您的源服务器的请求仅来自有效的 Verizon POP。

参考：Retrieve the current Verizon POP list for Azure CDN

【讨论】：

嗨南希。那不是我要问的。我在问如何只允许 AzureWebApp 的流量通过 CDN，而不是直接访问 .azurewebsite.net 域。 Azure FrontDoor 说他们是 WAF。或者，如果我使用的是 Azure App Gateway。所有流量都需要通过，而不仅仅是通过域名的隐蔽性来确保安全。
@user1609050，也许，您可以限制从 POP 请求到源服务器的 IP 范围。检查我的更新。
惊讶的 Azure 在销售其中一些前端解决方案作为 DDoS 和 WAF 保护时没有解决方案。