Diagnostizieren von Problemen mit dem Filter für Netzwerkdatenverkehr einer virtuellen Maschine

In diesem Artikel erfahren Sie, wie Sie Probleme mit dem Netzwerkverkehr bei einem virtuellen Computer (VM) diagnostizieren. Der Prozess umfasst das Anzeigen der effektiven Sicherheitsregeln, die von der Netzwerksicherheitsgruppe (Network Security Group, NSG) angewendet werden.

Über NSGs können Sie die Typen des Datenverkehrs steuern, der bei einer VM ein- und ausgeht. Sie können eine NSG einem Subnetz in einem virtuellen Azure-Netzwerk, einer an eine VM angefügten Netzwerkschnittstelle oder beidem zuordnen. Die geltenden Sicherheitsregeln, die auf eine Netzwerkschnittstelle angewendet werden, stellen eine Aggregation der Regeln dar, die in der einer Netzwerkschnittstelle zugeordneten NSG vorhanden sind, und der Regeln des Subnetzes, in dem sich die Netzwerkschnittstelle befindet. Regeln in unterschiedlichen NSGs können manchmal miteinander in Konflikt stehen und sich auf die Netzwerkkonnektivität eines virtuellen Computers auswirken. Sie können alle effektiven Sicherheitsregeln aus NSGs anzeigen, die auf die Netzwerkschnittstellen Ihrer VM angewendet werden. Wenn Sie nicht mit virtuellen Netzwerken, Netzwerkschnittstellen oder NSG-Konzepten vertraut sind, lesen Sie Übersicht über virtuelle Netzwerke, Netzwerkschnittstelle und Übersicht über Netzwerksicherheitsgruppen.

Szenario

Sie versuchen, eine Verbindung mit einer VM über Port 80 über das Internet herzustellen, doch die Verbindung schlägt fehl. Um festzustellen, warum Sie nicht auf Port 80 über das Internet zugreifen können, können Sie die effektiven Sicherheitsregeln für eine Netzwerkschnittstelle mit dem Azure-Portal, mit PowerShell oder mit der Azure CLI anzeigen.

Die folgenden Schritte setzen voraus, dass Sie über eine VM verfügen, deren effektive Sicherheitsregeln Sie anzeigen können. Wenn Sie nicht über eine VM verfügen, stellen Sie zuerst eine Linux- oder Windows-VM zum Ausführen der Aufgaben in diesem Artikel bereit. Die Beispiele in diesem Artikel beziehen sich auf eine VM mit dem Namen myVM mit einer Netzwerkschnittstelle namens myVMVMNic. Die VM und die Netzwerkschnittstelle befinden sich in einer Ressourcengruppe mit dem Namen myResourceGroup und in der Region East US. Ändern Sie die Werte in den Schritten entsprechend für den virtuellen Computer, für den Sie das Problem diagnostizieren.

Diagnostizieren über das Azure-Portal

1. Melden Sie sich beim Azure-Portal mit einem Azure-Konto an, dem die erforderlichen Berechtigungen zugewiesen sind.

2. Geben Sie oben im Azure-Portal in das Suchfeld den Namen der VM ein. Wenn der Name der VM in den Suchergebnissen angezeigt wird, wählen Sie sie aus.

3. Erweitern Sie Netzwerk im linken Fensterbereich. Wählen Sie Netzwerkeinstellungen. Die folgenden Abbildungen zeigen die Netzwerksicherheitsgruppeneinstellungen für die Netzwerkschnittstelle des virtuellen Computers.

   

   

   Die in den vorherigen Abbildungen aufgeführten Regeln beziehen sich auf eine Netzwerkschnittstelle namens vm-1445. Sie sehen, dass es Eingehende Port-Regeln für die Netzwerkschnittstelle von zwei verschiedenen Netzwerksicherheitsgruppen gibt:

   • nsg-subnet: Verbunden mit dem Subnetz, in dem sich die Netzwerkschnittstelle befindet.
   • nsg-nic: Verbunden mit der Netzwerkschnittstelle in der VM namens vm-1445.

   Die Regel mit dem Namen DenyAllInBound verhindert eingehende Kommunikation mit der VM über Port 80 über das Internet, wie im Szenario beschrieben wird. Die Regel gibt 0.0.0.0/0 für QUELLE an, die das Internet einschließt. Keine andere Regel mit einer höheren Priorität (niedrigere Zahl) lässt den Port 80 als eingehenden Port zu. Um den Port 80 als eingehenden Port für die VM über das Internet zuzulassen, lesen Sie den Artikel Beheben eines Problems. Weitere Informationen zu Sicherheitsregeln und zu ihrer Anwendung in Azure finden Sie unter Netzwerksicherheitsgruppen.

   Am unteren Rand des Bildes sieht man außerdem Outbound-Portregeln. Die ausgehenden Portregeln für die Netzwerkschnittstelle werden aufgelistet.

   Obwohl in der Abbildung nur vier Eingangsregeln für jede NSG gezeigt werden, verfügen Ihre NSGs möglicherweise über mehr als vier Regeln. Auf dem Bild sehen Sie VirtualNetwork unter Source und Destination und AzureLoadBalancer unter SOURCE. Bei VirtualNetwork und AzureLoadBalancer handelt es sich um Diensttags. Diensttags stellen eine Gruppe von IP-Adresspräfixen dar und haben die Aufgabe, bei der Erstellung von Sicherheitsregeln die Komplexität zu verringern.

4. Um die effektiven Sicherheitsregeln anzuzeigen, wählen Sie die Schnittstelle in den Netzwerkeinstellungen des virtuellen Computers aus. Stellen Sie sicher, dass sich der virtuelle Computer in einem ausgeführten Zustand befindet, bevor Sie fortfahren.

5. In den Einstellungen für die Netzwerkschnittstelle klappe Hilfe aus und wähle dann Effektive Sicherheitsregeln aus.

   Das folgende Beispiel zeigt die beispielhafte Netzwerkschnittstelle VM-1445 mit ausgewählten Effektiven Sicherheitsregeln .

   

   Die aufgeführten Regeln sind mit denen aus Schritt 3 identisch, wobei es jedoch verschiedene Registerkarten für die NSG gibt, die der Netzwerkschnittstelle bzw. dem Subnetz zugeordnet sind. Wie Sie in der Abbildung sehen können, werden nur die ersten 50 Regeln angezeigt. Klicken Sie zum Herunterladen einer CSV-Datei, die alle Regeln enthält, auf Herunterladen.

6. Die vorherigen Schritte zeigten die Sicherheitsregeln für eine Netzwerkschnittstelle namens VM-1445. Was geschieht, wenn eine VM über zwei Netzwerkschnittstellen verfügt? Bei der VM in diesem Beispiel sind zwei Netzwerkschnittstellen mit ihr verbunden. Die effektiven Sicherheitsregeln können für jede Netzwerkschnittstelle unterschiedlich sein.

   Um die Regeln für die VM-nic-2-Netzwerkschnittstelle zu sehen, wählen Sie sie aus. Wie im folgenden Beispiel gezeigt, hat die Netzwerkschnittstelle für ihr Subnetz dieselben Regeln wie die VM-1445-Netzwerkschnittstelle , da beide Netzwerkschnittstellen im selben Subnetz liegen. Wenn Sie einem Subnetz eine NSG zuordnen, werden die zugehörigen Regeln auf alle Netzwerkschnittstellen im Subnetz angewendet.

   

   Im Gegensatz zur Netzwerkschnittstelle vm-1445 ist der Netzwerkschnittstelle vm-nic-2 keine Netzwerksicherheitsgruppe zugeordnet. Jede Netzwerkschnittstelle und jedes Subnetz können optional einer NSG zugeordnet werden. Den einzelnen Netzwerkschnittstellen oder Subnetzen kann die gleiche oder eine andere NSG zugeordnet werden. Sie können dieselbe Netzwerksicherheitsgruppe beliebig vielen Netzwerkschnittstellen und Subnetzen zuordnen.

Effektive Sicherheitsregeln können nicht nur über die VM angezeigt werden, sondern auch jeweils über Folgendes:

• Netzwerkschnittstelle: Erfahren Sie, wie eine Netzwerkschnittstelle angezeigt wird.
• NSG: Erfahren Sie, wie eine NSG angezeigt wird.

Mit PowerShell diagnostizieren

Sie können die nachfolgenden Befehle in Azure Cloud Shell oder über PowerShell auf Ihrem Computer ausführen. Azure Cloud Shell ist eine kostenlose interaktive Shell. Sie verfügt über allgemeine vorinstallierte Azure-Tools und ist für die Verwendung mit Ihrem Konto konfiguriert. Wenn Sie PowerShell auf Ihrem Computer ausführen, benötigen Sie das Azure PowerShell-Modul, Version 1.0.0 oder höher. Führen Sie Get-Module -ListAvailable Az auf Ihrem Computer aus, um die installierte Version zu ermitteln. Wenn Sie ein Upgrade ausführen müssen, finden Sie unter Installieren des Azure PowerShell-Moduls Informationen dazu. Wenn du PowerShell lokal benutzt, musst du auch Connect-AzAccount ausführen, um dich mit einem Konto bei Azure anzumelden, das die nötigen Berechtigungen hat].

Rufen Sie mit Get-AzEffectiveNetworkSecurityGroup die effektiven Sicherheitsregeln für eine Netzwerkschnittstelle ab. Das folgende Beispiel erhält die effektiven Sicherheitsregeln für eine Netzwerkschnittstelle namens vm-nic , die sich in einer Ressourcengruppe namens test-rg befindet:

$Params = @{
  NetworkInterfaceName = "vm-nic"
  ResourceGroupName    = "test-rg"
}
Get-AzEffectiveNetworkSecurityGroup @Params

Die Ausgabe wird im JSON-Format zurückgegeben. Informationen zur Ausgabe finden Sie unter Interpretieren der Befehlsausgabe. Die Ausgabe wird nur dann zurückgegeben, wenn der Netzwerkschnittstelle, dem Subnetz, in dem sich die Netzwerkschnittstelle befindet, oder beiden eine NSG zugeordnet ist. Die VM muss sich im Ausführungsstatus befinden. Eine VM verfügt möglicherweise über mehrere Netzwerkschnittstellen mit unterschiedlichen NSGs. Führen Sie den Befehl bei der Problembehandlung für jede Netzwerkschnittstelle aus.

Wenn das Konnektivitätsproblem weiterhin besteht, lesen Sie die Abschnitte Zusätzliche Diagnosen und Überlegungen.

Wenn Sie nur den VM-Namen kennen, verwenden Sie die folgenden Befehle, um alle netzwerkschnittstellen-IDs auflisten, die an die VM angefügt sind.

$Params = @{
  Name              = "vm-1"
  ResourceGroupName = "test-rg"
}
$VM = Get-AzVM @Params
$VM.NetworkProfile

Eine Ausgabe ähnlich wie im folgenden Beispiel wird angezeigt:

NetworkInterfaces
-----------------
{/subscriptions/<ID>/resourceGroups/myResourceGroup/providers/Microsoft.Network/networkInterfaces/vm-nic

In der vorherigen Ausgabe heißt die Netzwerkschnittstelle vm-nic.

Mit der Azure CLI diagnostizieren

Wenn Sie Befehle der Azure CLI zum Durchführen von Aufgaben in diesem Artikel verwenden, führen Sie die Befehle entweder in Azure Cloud Shell aus oder führen Sie sie über die Azure CLI auf Ihrem Computer aus. Für diesen Artikel ist die Azure CLI-Version 2.0.32 oder höher erforderlich. Führen Sie az --version aus, um die installierte Version zu ermitteln. Informationen zum Durchführen einer Installation oder eines Upgrades finden Sie bei Bedarf unter Installieren der Azure CLI. Wenn Sie die Azure CLI lokal ausführen, müssen Sie auch az login ausführen, um sich bei Azure mit einem Konto anzumelden, das über die erforderlichen Berechtigungen verfügt.

Rufen Sie mit az network nic list-effective-nsg die effektiven Sicherheitsregeln für eine Netzwerkschnittstelle ab. Das folgende Beispiel erhält die effektiven Sicherheitsregeln für eine Netzwerkschnittstelle namens vm-nic , die sich in einer Ressourcengruppe namens test-rg befindet:

az network nic list-effective-nsg \
  --name vm-nic \
  --resource-group test-rg

Die Ausgabe wird im JSON-Format zurückgegeben. Informationen zur Ausgabe finden Sie unter Interpretieren der Befehlsausgabe. Die Ausgabe wird nur dann zurückgegeben, wenn eine NSG der Netzwerkschnittstelle, dem Subnetz, in dem sich die Netzwerkschnittstelle befindet, oder beiden zugeordnet ist. Die VM muss sich im Ausführungsstatus befinden. Eine VM verfügt möglicherweise über mehrere Netzwerkschnittstellen mit unterschiedlichen NSGs. Führen Sie den Befehl bei der Problembehandlung für jede Netzwerkschnittstelle aus.

Wenn das Konnektivitätsproblem weiterhin besteht, lesen Sie die Abschnitte Zusätzliche Diagnosen und Überlegungen.

Wenn Sie nur den VM-Namen kennen, verwenden Sie die folgenden Befehle, um alle netzwerkschnittstellen-IDs auflisten, die an die VM angefügt sind.

az vm show \
  --name vm-1 \
  --resource-group test-rg

In der zurückgegebenen Ausgabe finden Sie Informationen wie etwa im folgenden Beispiel:

"networkProfile": {
    "additionalProperties": {},
    "networkInterfaces": [
      {
        "additionalProperties": {},
        "id": "/subscriptions/<ID>/resourceGroups/test-rg/providers/Microsoft.Network/networkInterfaces/vm-nic",
        "primary": true,
        "resourceGroup": "test-rg"
      },

Im vorherigen Ausgabe heißt die Netzwerkschnittstelle vm-nic

Befehlsausgabe interpretieren

Unabhängig davon, ob Sie PowerShell oder die Azure CLI zum Diagnostizieren eines Problems verwendet haben, erhalten Sie eine Ausgabe mit den folgenden Informationen:

• NetworkSecurityGroup: Die ID der Netzwerksicherheitsgruppe.
• Zuordnung: Gibt an, ob die Netzwerksicherheitsgruppe mit einem NetworkInterface oder Subnetz verbunden ist. Wenn sich der Zuordnungsstatus der NSG direkt vor dem Ausführen des Befehls ändert, warten Sie einige Sekunden, bis die Ausgabe das Update wiedergibt.
• EffectiveSecurityRules: Eine Erläuterung der einzelnen Eigenschaften finden Sie unter Erstellen einer Sicherheitsregel. Regelnamen mit vorangestellten defaultSecurityRules/ sind Standardsicherheitsregeln, die in jeder NSG vorhanden sind. Regelnamen, die mit securityRules/ eingeleitet werden, sind benutzerdefinierte Regeln. Regeln, die ein Diensttag angeben (z.B. Internet, VirtualNetwork und AzureLoadBalancer für die Eigenschaften destinationAddressPrefix oder sourceAddressPrefix), weisen auch Werte für die Eigenschaft expandedDestinationAddressPrefix auf. Die Eigenschaft expandedDestinationAddressPrefix listet alle Adresspräfixe auf, die durch das Service Tag dargestellt werden.

Doppelte Regeln werden in der Ausgabe angezeigt, wenn eine NSG sowohl mit der Netzwerkschnittstelle als auch mit dem Subnetz verknüpft ist. Standardregeln und alle benutzerdefinierten Regeln, die zwischen den NSGs gemeinsam verwendet werden, verursachen diese Duplikate.

Die Regel mit dem Namen defaultSecurityRules/DenyAllInBound verhindert eingehende Kommunikation mit der VM über Port 80 über das Internet, wie im Szenario beschrieben wird. Keine andere Regel mit einer höheren Priorität (niedrigere Zahl) lässt den eingehenden Port 80 aus dem Internet zu.

Ein Problem beheben

Sie können das im scenario beschriebene Problem mithilfe des Azure portals, PowerShell oder des Azure CLI diagnostizieren. Die Lösung besteht darin, eine Netzwerksicherheitsregel mit den folgenden Eigenschaften zu erstellen:

Nach der Regelerstellung ist Port 80 eingehend aus dem Internet zugelassen, da seine Priorität höher ist als die Standardregel DenyAllInBound. Wenn NSGs sowohl der Netzwerkschnittstelle als auch dem Subnetz zugeordnet sind, erstellen Sie dieselbe Regel in beiden NSGs. Erfahren Sie, wie Sie eine Sicherheitsregel erstellen.

Windows-Verwaltungsszenarien, die RPC/DCOM erfordern

Windows Management Instrumentation (WMI) und Distributed Component Object Model (DCOM) verwenden Remote Procedure Call (RPC). Der Client verbindet sich zunächst mit dem RPC Endpoint Mapper am TCP-Port 135. Der Endpoint Mapper leitet den Client dann zu einem dynamisch zugewiesenen TCP-Port weiter. Bei aktuellen Windows-Standardeinstellungen ist der dynamische TCP-Bereich 49152-65535. Verifizieren Sie den konfigurierten Bereich auf der Ziel-Windows-VM, bevor Sie die Regel erstellen; wenn der Host einen angepassten Bereich verwendet, verwenden Sie diesen verifizierten Bereich, anstatt 49152-65535 anzunehmen.

Für jede NSG, die mit dem Subnetz oder der Netzwerkschnittstelle der Ziel-VM verknüpft ist, erstellen Sie beide Zulassungsregeln für eingehenden Datenverkehr. Ersetzen Sie <management-source-prefix> durch das genehmigte Managementnetzwerk, den Host oder den Dienst und ersetzen Sie <target-vm-nic-or-subnet-prefix> durch die Ziel-VM, die NIC oder das Subnetz-Ziel. Ersetzen Sie <priority-rpc-endpoint-mapper> und <priority-rpc-dynamic> durch unterschiedliche, ungenutzte ganzzahlige Prioritäten zwischen 100 und 4096. Beide Regeln sind erforderlich, weil ein TCP-135-Only-Test erfolgreich sein kann, während die nachfolgende dynamische RPC-Verbindung blockiert wird.

Weitere Informationen zu diesem WMI/DCOM-Flow finden Sie unter Beheben von NSG-Fehlkonfigurationen, die den Datenverkehr in Azure Virtual Network blockieren. Für die Details zu Windows-Port und RPC siehe Serviceübersicht und Anforderungen an Netzwerkports, Fehlerbehebung einer entfernten WMI-Verbindung und Arbeiten mit dynamischen RPC-Ports und Firewalls.

az network nsg rule create \
  --resource-group <resource-group> \
  --nsg-name <nsg-name> \
  --name Allow-RpcEndpointMapper \
  --priority <priority-rpc-endpoint-mapper> \
  --source-address-prefixes <management-source-prefix> \
  --source-port-ranges '*' \
  --destination-address-prefixes <target-vm-nic-or-subnet-prefix> \
  --destination-port-ranges 135 \
  --access Allow \
  --protocol Tcp \
  --direction Inbound

az network nsg rule create \
  --resource-group <resource-group> \
  --nsg-name <nsg-name> \
  --name Allow-RpcDynamic \
  --priority <priority-rpc-dynamic> \
  --source-address-prefixes <management-source-prefix> \
  --source-port-ranges '*' \
  --destination-address-prefixes <target-vm-nic-or-subnet-prefix> \
  --destination-port-ranges 49152-65535 \
  --access Allow \
  --protocol Tcp \
  --direction Inbound

Der 49152-65535 Wert in der dynamischen Regel ist nur der Standardwert. Wenn du einen angepassten Bereich auf der Ziel-Windows-VM überprüft hast, ersetze ihn in dieser Regel.

$managementSourcePrefix = "<management-source-prefix>"
$targetDestinationPrefix = "<target-vm-nic-or-subnet-prefix>"
$rpcEndpointMapperPriority = 300
$rpcDynamicPriority = 310

$networkSecurityGroup = Get-AzNetworkSecurityGroup `
  -Name "<nsg-name>" `
  -ResourceGroupName "<resource-group>"

Add-AzNetworkSecurityRuleConfig `
  -Name "Allow-RpcEndpointMapper" `
  -Description "Allow RPC Endpoint Mapper from approved management source" `
  -NetworkSecurityGroup $networkSecurityGroup `
  -Access Allow `
  -Protocol Tcp `
  -Direction Inbound `
  -Priority $rpcEndpointMapperPriority `
  -SourceAddressPrefix $managementSourcePrefix `
  -SourcePortRange "*" `
  -DestinationAddressPrefix $targetDestinationPrefix `
  -DestinationPortRange "135"

Add-AzNetworkSecurityRuleConfig `
  -Name "Allow-RpcDynamic" `
  -Description "Allow RPC dynamic ports from approved management source" `
  -NetworkSecurityGroup $networkSecurityGroup `
  -Access Allow `
  -Protocol Tcp `
  -Direction Inbound `
  -Priority $rpcDynamicPriority `
  -SourceAddressPrefix $managementSourcePrefix `
  -SourcePortRange "*" `
  -DestinationAddressPrefix $targetDestinationPrefix `
  -DestinationPortRange "49152-65535"

Set-AzNetworkSecurityGroup -NetworkSecurityGroup $networkSecurityGroup

Wenn Azure eingehenden Datenverkehr verarbeitet, verarbeitet es Regeln im dem Subnetz zugeordneten NSG (wenn ein zugeordnetes NSG vorhanden ist), und verarbeitet dann die Regeln in der NSG, die der Netzwerkschnittstelle zugeordnet ist. Wenn der Netzwerkschnittstelle und dem Subnetz eine NSG zugeordnet ist, muss der Port in beiden NSGs geöffnet sein, damit der Datenverkehr die VM erreicht. Um Probleme mit der Verwaltung und der Kommunikation einfacher beheben zu können, wird empfohlen, eine NSG einem Subnetz zuzuordnen statt einzelnen Netzwerkschnittstellen. Wenn VMs in einem Subnetz verschiedene Sicherheitsregeln erfordern, können Sie die Netzwerkschnittstellen zu Mitgliedern einer Anwendungssicherheitsgruppe (ASG) machen und eine ASG als Quelle und Ziel einer Sicherheitsregel angeben. Weitere Informationen finden Sie unter Anwendungssicherheitsgruppen.

Falls weiterhin Probleme mit der Kommunikation bestehen, lesen Sie die Abschnitte Überlegungen und „Zusätzliche Diagnosen“.

Überlegungen

Beachten Sie bei der Problembehandlung von Verbindungsproblemen die folgenden Punkte:

• Die Standardsicherheitsregeln blockieren den eingehenden Zugriff über das Internet und lassen nur eingehenden Datenverkehr über das virtuelle Netzwerk zu. Um eingehenden Datenverkehr aus dem Internet zuzulassen, fügen Sie Sicherheitsregeln mit einer höheren Priorität als der der Standardregeln hinzu. Erfahren Sie mehr über Standardsicherheitsregeln oder wie Sie eine Sicherheitsregel hinzufügen.

• Für peered virtuelle Netzwerke erweitert sich standardmäßig das VIRTUAL_NETWORK Service Tag automatisch um Präfixe für peered virtuelle Netzwerke. Um Probleme im Hinblick auf Peerings virtueller Netzwerke zu beheben, können Sie diese Präfixe in der Liste ExpandedAddressPrefix anzeigen. Weitere Informationen hierzu finden Sie unter Peering virtueller Netzwerke und Diensttags.

• Azure zeigt nur effektive Sicherheitsregeln für eine Netzwerkschnittstelle an, wenn eine NSG der Netzwerkschnittstelle oder dem Subnetz der VM zugeordnet ist. Darüber hinaus muss sich der virtuelle Computer im ausgeführten Zustand befinden.

• Wenn die Netzwerkschnittstelle oder das Subnetz keine zugehörige NSG hat, bleiben alle Ports für eingehenden und ausgehenden Zugriff offen, wenn eine VM eine öffentliche IP-Adresse hat. Diese Konfiguration ermöglicht uneingeschränkten Zugriff auf und von überall aus. Um den virtuellen Computer zu schützen, wenden Sie eine NSG auf das Subnetz an, das die Netzwerkschnittstelle hostet, wenn sie über eine öffentliche IP-Adresse verfügt.

Weitere Diagnosen

• Um anhand eines Schnelltests festzustellen, ob Datenverkehr an eine oder von einer VM zugelassen wird, verwenden Sie die Funktion IP flow verify von Azure Network Watcher. IP flow verify gibt Aufschluss darüber, ob Datenverkehr zugelassen oder abgelehnt wird. Wenn der Datenverkehr abgelehnt wird, können Sie mit der Überprüfung des IP-Flusses feststellen, durch welche Sicherheitsregel der Datenverkehr abgelehnt wird.
• Wenn keine Sicherheitsregeln vorhanden sind, die dazu führen, dass die Netzwerkkonnektivität eines virtuellen Computers fehlschlägt, kann das Problem auf folgende Ursachen zurückzuführen sein:
  • Firewallsoftware, die im Betriebssystem des virtuellen Computers ausgeführt wird
  • Es sind Routen für virtuelle Appliances oder den On-Premises-Datenverkehr konfiguriert. Der Internetdatenverkehr kann über erzwungenes Tunneling an Ihr On-Premises-Netzwerk umgeleitet werden. Wenn Sie das Tunneln von Internetdatenverkehr zu einer virtuellen Appliance oder lokal erzwingen, können Sie möglicherweise keine Verbindung mit dem virtuellen Computer aus dem Internet herstellen. Um zu erfahren, wie Sie Routingprobleme diagnostizieren, die möglicherweise den ausgehenden Datenverkehrsfluss der VM beeinträchtigen, lesen Sie auch Diagnostizieren eines Problems mit der Weiterleitung von Netzwerkdatenverkehr virtueller Computer.

Nächste Schritte

• Erfahren Sie mehr über alle Aufgaben, Eigenschaften und Einstellungen für eine Netzwerksicherheitsgruppe und für Sicherheitsregeln.
• Erfahren Sie mehr über Standardsicherheitsregeln, Diensttags und die Verarbeitung von Sicherheitsregeln für eingehenden und ausgehenden Datenverkehr in Azure für eine VM.