《Windows Azure Platform 系列文章目录》
Azure Virtual Desktop在创建完毕后，用户通过Web Portal：https://rdweb.wvd.azure.cn/arm/webclient/index.html。可以通过浏览器访问任意资源。
如果我们想限制AVD虚拟机可访问的网站地址，我们可以结合Azure Firewall来进行限制。
实现原理说明：
在Azure AVD虚拟网络所在的子网，设置路由，当AVD的虚拟机访问的地址是0.0.0.0/0 ，即所有流量，都指向到Azure Firewall的内网IP地址，进行流量清洗
1.首先我们准备一个虚拟网络
- subnet-1，创建Windows Server域控制器
- subnet-2，创建AVD虚拟机
- AzureFirewallSubnet，创建Azure防火墙
2.创建Azure资源，如防火墙等，记录下Azure防火墙的内网IP地址 (172.0.2.4)。如下图：
3.创建Azure路由表，与subnet-2关联(即AVD所在的虚拟网络子网)。如下图：
4.配置路由表的路由，指向到Internet (0.0.0.0/0)的流量，都指向到Azure防火墙的内网IP地址 (172.0.2.4)
5.配置Azure 防火墙的规则，具体请参考：
https://docs.microsoft.com/en-us/azure/firewall/protect-azure-virtual-desktop
首先配置network rules
| Name | Source type | Source | Protocol | Destination ports | Destination type | Destination |
|---|---|---|---|---|---|---|
| Rule Name | IP Address | AVD所在虚拟网络子网的subnet ip | TCP | 80 | IP Address | 169.254.169.254, 168.63.129.16 |
| Rule Name | IP Address | AVD所在虚拟网络子网的subnet ip | TCP | 443 | Service Tag | AzureCloud, WindowsVirtualDesktop |
| Rule Name | IP Address | AVD所在虚拟网络子网的subnet ip | TCP, UDP | 53 | IP Address | * |
| Rule name | IP Address | AVD所在虚拟网络子网的subnet ip | TCP | 1688 | IP address | 23.102.135.246 |
==========================================我是分隔符=======================================
==========================================这里介绍配置Firewall白名单==========================
6.我们假设只能访问*.baidu.com，具体的配置如下：
| Name | Source type | Source | Protocol | Destination type | Destination |
|---|---|---|---|---|---|
| Rule Name | IP Address | AVD所在虚拟网络子网的subnet ip | Https:443 | FQDN Tag | WindowsVirtualDesktop, WindowsUpdate, Windows Diagnostics, MicrosoftActiveProtectionService |
| Rule Name | IP Address | AVD所在虚拟网络子网的subnet ip | Http:80,Https:443 | FQDN Tag | *.baidu.com |
请注意上面的Action为Allow，具体截图如下：
7.通过web portal访问avd: https://rdweb.wvd.azure.cn/arm/webclient/index.html
当我们在avd环境里，访问百度的子域名 (www.baidu.com 或者cloud.baidu.com) 都是允许的
但是访问其他网站，比如qq.com, bing.com, sina.com等，都是拒绝访问的
==========================================我是分隔符=======================================
==========================================这里介绍配置Firewall黑名单==========================
8.如果要设置黑名单的话，需要在Application Rule设置如下：
- Priority ID为200的优先生效，首先拒绝访问qq和baidu
- Priority ID为1000的其次生效，允许访问所有网站
具体配置如下：
9.我们在AVD环境里，验证效果如下。不能访问baidu和qq，但是可以访问其他网站
- 配置Azure 防火墙的规则，具体请参考：
https://docs.microsoft.com/en-us/azure/firewall/protect-azure-virtual-desktop