使用 Azure 入口網站使用防火牆來限制輸出流量

當企業想要使用自己的虛擬網路進行叢集部署時，保護虛擬網路的流量變得至關重要。 本文會逐步說明如何使用 Azure 入口網站透過 Azure 防火牆保護來自 AKS 叢集上的　HDInsight 的輸出流量。

下圖說明本文中用來模擬企業案例的範例：

建立虛擬網路和子網路

1. 建立虛擬網路和兩個子網路。

   在此步驟中，設定虛擬網路和兩個子網路來明確設定輸出。

   

   

   

   重要

   • 如果您在子網路中新增 NSG，則必須手動新增某些輸出和輸入規則。 請遵循使用 NSG 來限制流量進行。
   • 請勿將子網 hdiaks-egress-subnet 與路由表產生關聯，因為 AKS 上的 HDInsight 會建立具有預設輸出類型的叢集集區，而且無法在已與路由表相關聯的子網路中建立叢集集區。

使用 Azure 入口網站在 AKS 叢集集區上建立 HDInsight

1. 建立叢集集區。

   

   

2. 建立 AKS 叢集集區上的 HDInsight 後，您可以在子網路 hdiaks-egress-subnet 中找到路由表。

   

取得在叢集集區後建立的 AKS 叢集詳細資料

您可以在入口網站中搜尋叢集集區名稱，然後移至 AKS 叢集。 例如，

取得 AKS API 伺服器詳細資料。

建立防火牆

1. 使用 Azure 入口網站建立防火牆。

   

2. 啟用防火牆的 DNS Proxy 伺服器。

   

3. 建立防火牆後，請尋找防火牆內部 IP 和公用 IP。

   

將網路和應用程式規則新增至防火牆

1. 使用下列規則建立網路規則集合。

   

2. 使用下列規則建立應用程式規則集合。

   

在路由表中建立路由，以將流量重新導向至防火牆

在路由表中新增路由，以將流量重新導向至防火牆。

建立叢集

在先前的步驟中，我們已將流量路由傳送至防火牆。

下列步驟會提供每個叢集類型所需特定網路和應用程式規則的詳細資料。 您可以參考叢集建立頁面，以根據您的需求建立 Apache Flink、Trino 和 Apache Spark 叢集。

重要

建立叢集之前，請務必新增下列叢集特定規則以允許流量。

Trino

1. 將下列規則新增至應用程式規則集合 aksfwar。

   

2. 將下列規則新增至網路規則集合 aksfwnr。

   

   注意

   根據您的需求，將 Sql.<Region> 變更為您的區域。 例如：Sql.WestEurope

Apache Flink

1. 將下列規則新增至應用程式規則集合 aksfwar。

   

Apache Spark

1. 將下列規則新增至應用程式規則集合 aksfwar。

   

2. 將下列規則新增至網路規則集合 aksfwnr。

   

   注意

   1. 根據您的需求，將 Sql.<Region> 變更為您的區域。 例如：Sql.WestEurope
   2. 根據您的需求，將 Storage.<Region> 變更為您的區域。 例如：Storage.WestEurope

解決對稱路由問題

下列步驟可讓我們依叢集負載平衡器輸入服務要求叢集，並確保網路回應流量不會流向防火牆。

將路由新增至路由表以將回應流量重新導向至用戶端 IP 再到網際網路，然後您便可以直接連線到叢集。

如果您無法連線到叢集且設定了 NSG，請遵循使用 NSG 來限制流量以允許流量。

提示

如果您想要允許更多流量，可以透過防火牆進行設定。

如何偵錯

如果您發現叢集無法如預期運作，您可以檢查防火牆記錄，以找出哪些流量遭到封鎖。