无法通过VPN从现场专用IP网络访问Azure密钥库。IP专用地址范围被禁止

Question

我有Azure虚拟网络，子网通过VPN连接到现场网络。所有内容都使用10.0.0.0专用地址空间进行寻址。通信正在与其他专用endpoint一起工作。我已经用私有endpoint和防火墙创建了密钥库。防火墙配置如下：

• 允许访问：专用endpoint和选定网络
• 虚拟网络：只能列出Azure子网（我需要从内部访问）
• 防火墙:IPv4 CIDR只允许公共IP。10.0.0.0地址空间被禁止。

如何从现场网络访问密钥库？Azure门户不允许我添加密钥、秘密或证书。消息是：防火墙已打开，您的客户端IP地址未被授权访问此密钥存储库。

当试图添加我的内部地址范围时，我会发出一条消息：在properties.networkacls.iprules[0]中找到无效值。值:10.99.0.0/16属于禁止的范围10.0.0.0-10.255.255.255（专用IP地址）

Answer 1

如果您希望从具有专用endpoint的内部网络访问密钥存储库，则既不需要将内部专用IP地址（IP网络规则只允许用于公共IP地址）列入白名单，也不需要将密钥存储库防火墙中的任何虚拟网络列入白名单。您可以确认密钥存储库防火墙配置正确

以下语句也适用于防火墙设置：

• 私有链接功能不需要在密钥库防火墙设置中指定任何“虚拟网络”。即使在密钥库防火墙设置中没有指定虚拟网络，使用密钥库专用IP地址的所有请求（请参见下一节）也必须工作。
• 私有链接功能不需要在密钥存储库防火墙设置中指定任何IP地址。同样，所有使用密钥库私有IP地址的请求都必须工作，即使防火墙设置中没有指定IP地址。

您只需确保您的客户机正在使用私有endpoint访问Azure密钥库，还可以验证DNS解析。密钥存储库主机名（例如：fabrikam.vault.azure.net）应该解析为IP地址（例如:10.1.2.3)。

如果从本地计算机上的Azure门户读取或列出密钥。这实际上不使用私有endpoint，您只需通过Azure门户访问或管理密钥库。在这种情况下，您需要查找本地客户端的公共IP，然后将其添加到Azure密钥库的防火墙中。