我是否需要使用 azure waf 和 Web 应用程序指向站点 vpn答案

【问题标题】：Do i need point to site vpn with azure waf and web app我是否需要使用 azure waf 和 Web 应用程序指向站点 vpn
【发布时间】：2019-08-27 04:18:05
【问题描述】：

我一直在搞砸 Azure，试图让 Web 应用程序启动并运行。我的计划是创建一个 WAF 并将其背后的 Web 应用程序放置在一个单独的子网中，然后使用服务端点技术将 Web 应用程序指向一个数据库。

我几乎立即停止了我的工作，我发现如果我想在 Web 应用程序前使用 WAF，我必须在 Web 应用程序中配置网络，但是当我选择 vnet 时，它说不已为所选 VNET 配置网关。

我的问题是我是否必须使用点到站点 VPN 才能使此设置正常工作？我认为它会像

INTERNET ---> VNET ----> 子网 ----> WAF -----> 子网 -----> Web 应用程序 ----> 服务端点 ------>数据库

但似乎并非如此。我并不热衷于必须在我们网络中可能想要访问此网站的每台机器上安装客户端证书（它目前是内部的）。我想我正在寻找两全其美。可从互联网访问，但在其前面放置 WAF 之类的东西会更加舒适，以弥补所述应用程序中可能存在的任何安全缺陷。

谢谢

【问题讨论】：

标签： azure azure-web-app-service web-application-firewall azure-webapps

【解决方案1】：

据我所知，除非您使用应用服务环境（隔离），否则您无法在 VNet 中部署 Web 应用。 App VNet integration 做不到。它允许您安全地访问 VNet 中的资源。例如，您在专用 VNet 中的 Azure VM 上有一个数据库。如果此数据库不公开可用，则无法从 Azure Web 应用程序访问此数据库，但可以通过应用程序 VNet 集成访问它。

VNet service endpoints 是另一个不同的服务。终结点允许您将关键的 Azure 服务资源保护到您的虚拟网络。如果您在 VNet 中启用此类服务端点，例如 Azure SQL 数据库（不同于 Azure VM 上的数据库），这意味着只有这些授权 VNet 中的资源才能访问您的 SQL 数据库，除非您在数据库的防火墙。

在这种情况下，您可以将面向公众的 Azure 应用程序网关放置在 Web 应用程序服务的高层，然后将 Azure 应用程序网关公共 IP 添加到 IP restriction of the web app.这将限制通过 Azure Web 访问 Web 应用程序互联网上的应用程序网关。此外，您可以控制 Azure 应用网关子网 NSG 中的网络入站和出站。如果要将 NSG 添加到应用网关子网级别，请参阅 Network security groups on the Application Gateway subnet。如果您只想创建一个 WAF 并将其背后的网络应用程序站点化，我认为这些就足够了。

此外，如果您想让 Web 应用私下访问 Azure SQL 数据库。您可以在 ASE 中部署 Web 应用，然后为 Azure SQL 数据库启用 VNet 服务终结点。 App VNet 集成不需要将其与服务端点一起使用。

【讨论】：

这就是我最终要做的。但我刚刚遇到了这个答案。所以我有一个只有 WAF 的 vnet。App 服务不在 vnet 中。应用服务具有仅允许从 WAF 访问的限制策略。这目前正在工作。后续步骤： - 需要创建一个 Azure SQL DB 并允许 Web 应用与之对话。希望我能以某种方式限制仅来自网络应用程序的访问。 - 需要弄清楚如何让为 azurewebsites.net 域注册的 SSL 证书与 Web 应用程序网关一起工作，因为目前我有 CNAME 条目并且只能通过 http 工作。
Need to create an Azure SQL DB and allow the web app to talk to it. 为此，由于 Azure SQL DB 服务可以通过 IP 地址或子网限制网络访问，您可以将 Web 应用程序可能的出站 IP 地址列入白名单或将 Web 应用程序部署在 ASE 中。最后一个问题不同，我建议发布一个新问题。

【解决方案2】：

如果您想将 Azure WAF 与 Azure 应用服务（多租户）一起使用，您只需确保在请求中提供主机标头即可。

如果您希望在 VNet 上运行 Azure Web 应用程序，则需要在应用程序服务环境（隔离）上运行您的 Azure Web 应用程序。此版本的 Azure Web App 价格更高，但允许您将 NSG 应用到 VNet 以完全控制对您的 Web 应用程序的访问。我个人认为带有 Azure 应用服务（多租户）的 WAF 应该可以满足您的需求。

我们在此处记录了所有内容：

https://docs.microsoft.com/en-us/azure/application-gateway/application-gateway-web-app-overview

https://docs.microsoft.com/en-us/azure/application-gateway/configure-web-app-portal

【讨论】：