Azure 中的預設輸出存取

在 Azure 中,在未定義明確輸出連線的虛擬網路中建立的虛擬機會指派預設輸出公用 IP 位址。 此IP位址會啟用從資源到因特網的輸出連線。 此存取稱為預設輸出存取。

明確輸出連線的範例包括虛擬機:

  • 在與 NAT 閘道相關聯的子網內建立。

  • 在已定義輸出規則的標準負載平衡器的後端集區中。

  • 在基本公用負載平衡器的後端集區中。

  • 具有明確關聯公用IP位址的虛擬機。

Diagram of explicit outbound options.

如何提供預設輸出存取?

用於存取的公用 IPv4 位址稱為預設輸出存取 IP。 此 IP 是隱含的,且屬於 Microsoft。 此IP位址可能會有所變更,不建議依賴其生產工作負載。

何時提供預設的輸出存取?

如果您在 Azure 中部署虛擬機,而且沒有明確的輸出連線,則會指派預設的輸出存取 IP。

Diagram of decision tree for default outbound access.

重要

在 2025 年 9 月 30 日,新部署的默認輸出存取將會淘汰。 如需詳細資訊,請參閱官方公告。 建議您使用下一節所討論的其中一種明確連線形式。

  • 預設保護

    • 根據預設,不建議使用零信任網路安全性準則,將虛擬網路開啟至因特網。
  • 明確與隱含

    • 建議在授與虛擬網路中資源的存取權時,具有明確的連線方法,而不是隱含的方法。
  • IP 位址遺失

    • 客戶不擁有預設的輸出存取IP。 此 IP 可能會變更,而且任何與其相依性可能會在未來造成問題。

使用預設輸出存取時將無法運作的一些組態範例:

  • 當您在同一個 VM 上有多個 NIC 時,請注意,所有 NIC 的預設輸出 IP 不會一致相同。
  • 相應增加/減少虛擬機擴展集時,指派給個別實例的默認輸出IP可能會而且通常會變更。
  • 同樣地,默認輸出IP在虛擬機擴展集中的VM實例之間並不一致或有串連。

如何轉換至公用連線的明確方法(以及停用預設輸出存取權)。

有多種方式可以關閉預設輸出存取。 下列各節說明您可用的選項。

重要

私人子網目前為公開預覽狀態。 它在沒有服務等級協議的情況下提供,不建議用於生產工作負載。 可能不支援特定功能,或可能已經限制功能。 如需詳細資訊,請參閱 Microsoft Azure 預覽版增補使用條款

利用私人子網參數

  • 建立子網為 Private 可防止子網上的任何虛擬機利用預設輸出存取來連線到公用端點。

  • 建立私人子網的參數只能在建立子網期間設定。

  • 私人子網上的 VM 仍然可以使用明確的輸出連線來存取因特網。

    注意

    沒有明確的輸出方法,某些服務將無法在私人子網的虛擬機上運作(例如 Windows 啟用和 Windows 更新。

新增私人子網功能

  • 從 Azure 入口網站,確定在建立子網作為 虛擬網絡 建立體驗的一部分時,會選取啟用私人子網的選項,如下所示:

Screenshot of Azure portal showing Private subnet option.

  • 使用 PowerShell 使用 New-AzVirtualNetworkSubnetConfig 建立子網時,請使用 DefaultOutboundAccess 選項並選擇 [$false]

  • 使用 CLI 建立具有 az network vnet subnet create 的子網時,請使用 --default-outbound 選項並選擇 “false”

  • 使用 Azure Resource Manager 範本,將參數的值 defaultOutboundAccess 設定為 “false”

新增明確的輸出連線方法

  • 使 NAT 閘道與虛擬機器的子網路產生關聯。

  • 使設定的標準負載平衡器與輸出規則產生關聯。

  • 使標準公用 IP 與任何虛擬機器網路介面產生關聯 (如果有多個網路介面,具有標準公用 IP 的單一 NIC 會防止虛擬機器的預設輸出存取)。

使用彈性協調流程模式進行 虛擬機器擴展集

重要

當負載平衡器後端集區由IP位址設定時,將會因為持續發生已知問題而使用預設的輸出存取。 針對具有要求輸出需求的預設組態和應用程式,請將 NAT 閘道與負載平衡器後端集區中的 VM 產生關聯,以保護流量。 深入了解現有的 已知問題

NAT 閘道是具有明確輸出連線的建議方法。 防火牆也可用來提供此存取權。

限制

  • Windows 啟用和 Windows 更新 需要公用連線。 建議設定明確的公用輸出連線形式。

  • 默認的輸出存取IP不支援分散的封包。

  • 默認輸出存取IP不支援ICMP Ping。

下一步

如需 Azure 和 Azure NAT 閘道中輸出連線的詳細資訊,請參閱: