如何使用 Azure 门户中的设置限制对应用服务的访问

Question

我们有一个在 Azure 中作为应用服务部署的 Web 应用。我们想通过拥有一个 IP 地址白名单来限制对它的访问，这可以在某些 Azure 应用服务设置中完成，而不是在我们项目内部的 web.config 中完成。

目前，这就是我们在我们的环境中进行 IP 地址限制的方式。

生产： 我们为应用服务设置了 VNet 集成。我们将 NSG 附加到 VNet's Subnet 并且从 NSG 我们可以控制入站和出站访问。

暂存： 我们的 web.config 中有以下配置块，其中包含允许访问应用服务的白名单 IP 地址在我们的暂存服务器中。

<security>
    <ipSecurity allowUnlisted="false" denyAction="NotFound">
        <add allowed="true" ipAddress="some ip address" subnetMask="255.255.255.254"></add>
        <add allowed="true" ipAddress="some ip address" subnetMask="255.255.255.254"></add>
    </ipSecurity>
</security>

Development(local): 我们必须在本地开发机器中取消注释 <security> 配置块，因为我们真的不需要它.它会导致错误，请参见下面的屏幕截图。

这是HttpFailre_09-07-33.html

的部分内容

Module         IpRestrictionModule
Notification   BeginRequest
Handler        aspNetCore
Error Code     0x80070021
Config Error   This configuration section cannot be used at this path. This happens when the section is locked at a parent level. Locking is either by default (overrideModeDefault="Deny"), or set explicitly by a location tag with overrideMode="Deny" or the legacy allowOverride="false".

我们想从 web.config 中完全删除此 <security> 块，因为出于另一个原因，我们不希望 IP 地址达到生产。

而且，我们不允许在暂存服务器中进行 VNet 集成（管理方面的东西，呃！cost-cutting 无论如何！）。

那么有没有办法在 Azure 应用服务中限制 IP 地址？

Answer 1

So is there a way to restrict IP addresses in Azure App Service?

1.We 可以使用 web.config 来限制您提到的 IP 地址

2.We 可以从 IIS 管理器连接到 WebApp，我们可以轻松配置限制 IP。更多详细信息请参考blog.

3.We 可以使用 REST API to do that, and we could easily do it with Azure Resource Exploer(https://resources.azure.com/). We also could do that with PowerShell cmdlets detail info please refer to another 。以下是有关如何使用 azure 资源管理器执行此操作的简单步骤。

一个。打开 azure resource explorer 和 select 相应的网站配置 web 选项点击 Edit 按钮。

b。将 ipSecurityRestrictions 更改为数组值。

c。单击 Put 按钮发送请求。

Config Error This configuration section cannot be used at this path

如果我们不解锁handlers，我们需要解锁handlers，更多信息请参考另一个。以下是从 SO 线程中截取的内容。

1) In the connections tree(in IIS), go to your server node and then to your website.

2) For the website, in the right window you will see configuration editor under Management.

3) Double click on the configuration editor.

4) In the window that opens, on top you will find a drop down for sections. Choose "system.webServer/handlers" from the drop down.

5) On the right side, there is another drop down. >Choose "ApplicationHost.Config "

6) On the right most pane, you will find "Unlock Section" under "Section" heading. Click on that.

7) Once the handlers at the applicationHost is unlocked, your website should run fine.

Answer 2

VNet/subnet 可以使用 powershell Az 模块命令在 Azure 应用服务上配置类型访问限制 - Add-AzWebAppAccessRestrictionRule

https://docs.microsoft.com/en-us/powershell/module/az.websites/add-azwebappaccessrestrictionrule?view=azps-3.2.0

如何使用 Azure 门户中的设置限制对应用服务的访问

How to restrict access to an App Service using a setting inside the Azure Portal

security

web-config

azure

azure-web-app-service