如何解決Azure防火墻的非對稱路由問題

Azure 防火墻是托管的基于云的網(wǎng)絡(luò)安全服務(wù)，可保護 Azure 虛擬網(wǎng)絡(luò)資源。 它是一個服務(wù)形式的完全有狀態(tài)防火墻，具有內(nèi)置的高可用性和不受限制的云可伸縮性?？梢钥缬嗛喓吞摂M網(wǎng)絡(luò)集中創(chuàng)建、實施和記錄應(yīng)用程序與網(wǎng)絡(luò)連接策略。 Azure 防火墻對虛擬網(wǎng)絡(luò)資源使用靜態(tài)公共 IP 地址，使外部防火墻能夠識別來自你的虛擬網(wǎng)絡(luò)的流量。 該服務(wù)與用于日志記錄和分析的 Azure Monitor 完全集成。

來看下這樣的一個架構(gòu)，web服務(wù)器默認路由指向FW，web服務(wù)器前有一個standard load balancer，web服務(wù)器是它的后端池，LB上配置了80端口的規(guī)則，web服務(wù)器本身沒有公網(wǎng)IP，再這樣的架構(gòu)下，有兩個問題 

1. Web服務(wù)器是否能訪問internet

2. 在internet通過standard lb是否能訪問web服務(wù)器上的nginx

我們一個個來看，standard lb后端的服務(wù)器，默認是不能訪問internet的，那么如果它的默認路由指向Firewall呢？

經(jīng)過測試發(fā)現(xiàn)，訪問完全沒有問題

 那么，第二個問題呢，首先來看下LB的配置，其實很簡單

可以看到只是簡單配置了一個80的規(guī)則

但是測試發(fā)現(xiàn)，lb的ip一直沒辦法ping通

但是，在把指向FW的默認路由去掉之后，我們發(fā)現(xiàn)可以ping通了

這是為什么呢？其實微軟的文檔已經(jīng)給了我們解釋

這種現(xiàn)象叫非對稱路由，理解上其實很簡單，因為入站的時候是通過LB進來的，但是回去的時候因為默認路由的原因，卻要從FW出去，F(xiàn)W上沒有這個會話，就回導(dǎo)致把包丟掉

非對稱路由

非對稱路由是指數(shù)據(jù)包采用一條路徑發(fā)往目標，并采用另一條路徑返回到源。 如果子網(wǎng)的默認路由轉(zhuǎn)到防火墻的專用 IP 地址，并且使用的是公共負載均衡器，則會出現(xiàn)非對稱路由問題。 在這種情況下，將通過負載均衡器的公共 IP 地址接收傳入的負載均衡器流量，但返回路徑將通過防火墻的專用 IP 地址。 由于防火墻是有狀態(tài)的，并且無法識別此類已建立的會話，因此會丟棄返回的數(shù)據(jù)包。

這個問題其實也是可以有辦法解決的，官網(wǎng)的解釋是說，如果防火墻后邊跟的是public lb，則需要創(chuàng)建一個到防火墻public ip的UDR規(guī)則，下一條是internet，否則azure會通過默認路由發(fā)給防火墻的private ip，同時流量的入口也不能是LB，而應(yīng)該是FW

下邊我們就來試下，整個流量是這樣的FW -> Public Standard LB -> WEB

首先，先在FW上配置到LB的NAT規(guī)則

但是測試發(fā)現(xiàn)，端口連不上

 接下來再試下添加到FW 公網(wǎng)IP的路由

 這次終于訪問成功了