EnglishFrançaisDeutschEspañolItaliano日本語한국어NederlandsPortuguês (Brasil)中文 (简体)中文 (繁體, 台灣)
Skip to main content

2026 年 9 月 1 日

第一代租户 - 适用于 Microsoft Azure 中部署的 Horizon Cloud 容器中的虚拟机的默认网络安全组规则

本文档主题旨在阐明，当您使用第一代 Horizon Cloud 环境在 Microsoft Azure 订阅中创建容器，随后登录到 Microsoft Azure 门户并查看容器部署程序所创建的内容时，将看到哪些内容。在 Microsoft Azure 中部署容器期间，自动部署过程会创建一组网络安全组 （NSG），并将每个安全组与每个服务控制的容器相关虚拟机 （VM） 上的单个特定网络接口（网卡）相关联。此类容器相关虚拟机是容器的管理器虚拟机，它们是在为容器配置 Unified Access Gateway 时部署的虚拟机。

阅读此页面之前

在阅读此页面之前，请考虑以下几点。

请记住： 如 知识库文章 92424 中所述，已宣布终止提供第一代 Horizon Cloud 控制平面。第一代 Horizon Cloud 产品文档已更新，以便与该公告保持一致。

注意： 如 知识库文章 93762 中所述，Horizon 基础架构监控功能已弃用，第一代租户无法再激活或使用该功能。从 2023 年 10 月起，对此页面中以前与该弃用功能相关的信息进行了相应更新。

注意： 仅当您有权访问第一代控制平面中的第一代租户环境时，此信息才适用。如 知识库文章 92424 中所述，第一代控制平面已终止提供 （EOA）。有关详细信息，请参阅该文章。

自 2022 年 8 月起，Horizon Cloud 公开发布，并提供了自己的 使用 Horizon 控制平面指南。

您具有的环境（Horizon Cloud 还是第一代）的一个特征是，在您登录到环境并看到 Horizon Universal Console 标签后在浏览器的 URL 字段中显示的模式。对于 Horizon Cloud 环境，控制台的 URL 地址包含类似于 /hcsadmin/的部分。第一代控制台的 URL 具有不同的部分 （）。/horizonadmin/

整体介绍

容器部署程序会根据容器的 Horizon Cloud 设计和架构，将由部署程序创建的相应 NSG 与相应的网卡相关联。这些 NSG 在网卡级别使用，用来确保特定服务管理设备上的每个网卡都能够接收该服务管理的设备应接收的在该网卡的连接子网上执行标准服务和容器操作的流量，并阻止该设备不应接收的所有流量。每个 NSG 都包含一组安全规则，用于定义允许进出每个网卡的流量。

此处所述的 NSG 不同于在使用 Horizon Universal Console 创建时由容器置备的基础虚拟机、场和 VDI 桌面使用的 NSG。这些 NSG 具有不同的使用情况信息。有关这些 NSG 的信息，请参阅以下主题：

警告： 此处介绍的部署程序创建的 NSG 规则是该服务的配置要求。您绝不应删除或编辑自动创建并与容器虚拟机的网卡关联的任何 Horizon Cloud NSG。该指令包括如下操作：

  • 将这些 NSG 或 NSG 规则复制或移动到 Horizon Cloud 使用的任何子网
  • 在与容器虚拟机关联的网卡之间复制或移动这些 NSG 或 NSG 规则。

Horizon Cloud 创建的 NSG 以及其中的规则特定于特定网卡及其连接到的虚拟机，并且专用于这些网卡和虚拟机。如果对这些 NSG 或规则进行任何更改，或者尝试将其用于任何其他用途（即使在这些网卡连接到的同一子网上），都可能会导致进出这些 NSG 或规则的所需网络流量中断。该中断又可能会导致所有容器操作中断。这些 NSG 的生命周期由 Horizon Cloud 管理，并且每个 NSG 都有其特定的原因。这些原因包括：

  • 云控制平面能够与容器进行通信。
  • 管理容器的基础架构
  • 容器生命周期操作

由于这些部署程序创建的 NSG 是服务的配置要求，因此尝试更改或移动它们会被视为不支持使用 Horizon Cloud 和误用服务产品，如 Omnissa 云服务产品的 服务级别协议 中所述。

但是，您可以在 Horizon Cloud 为容器的虚拟机自动创建和管理的容器资源组外部的资源组中创建自己的 NSG 以包含您自己的组织的规则。您自己的 NSG 中的规则不能与 Horizon Cloud 的容器虚拟机管理和操作要求发生冲突。此类 NSG 应连接到容器使用的管理、租户和 DMZ 子网。在 Horizon Cloud 管理的资源组中创建自己的 NSG 时，如果这些资源组中的 NSG 与位于其他资源组中的资源相关联，则在对 Horizon Cloud 管理的资源组执行删除操作时，将导致这些 NSG 失败。

如 Microsoft Azure 文档中所述，网络安全组 （NSG） 的用途是使用安全规则筛选进出 Microsoft Azure 环境中的资源的网络流量。每个规则都有一组属性（如源、目标、端口、协议等），用于确定允许进入与 NSG 关联的资源的流量。Horizon Cloud 自动创建并与服务控制的容器虚拟机的网卡关联的 NSG 包含特定的规则，Horizon Cloud 已确定服务需要使用这些规则来管理容器、正确运行日常容器操作以及管理容器的生命周期。一般来说，在这些 NSG 中定义的每个规则都旨在为执行容器操作提供端口流量，该流量是服务实现 Horizon Cloud 订阅标准业务目的的重要组成部分，例如，向最终用户提供虚拟桌面的 VDI 用例。另请参阅 Horizon Cloud 容器的端口和协议要求。

以下部分列出了 Horizon Cloud 在这些 NSG 中定义的 NSG 规则。

有关这些 NSG 的一般事实

此列表适用于由部署程序创建并与容器相关虚拟机上的特定网卡相关联的所有 NSG。

  • 这些服务创建的 NSG 用于保护服务控制的软件设备的安全。当该服务将新软件添加到您的订阅中并且需要其他规则时，这些新规则将添加到这些 NSG 中。

  • 在 Microsoft Azure 门户中，NSG 的名称包含字符串 hcs-podUUID，其中 podUUID 是容器的标识符，但用于已部署到其自已 VNet 中的外部网关配置的 NSG 除外。在这种情况下，网关的相关 NSG 的名称包含字符串 hcs-ID，其中 ID 是该外部网关的部署 ID。

    注意： 对于使用部署到在单独订阅中预先创建的现有资源组的选项将外部网关配置部署到该订阅中的方案，网关连接器虚拟机的管理网卡上的 NSG 将以基于资源组名称的模式（而不是 模式） hcs-podUUID 进行命名。例如，如果您将该资源组 hcsgateways命名为 ，则在该资源组中，Horizon Cloud 会创建一个名为 hcsgateways-mgmt-nsg的 NSG，并将该 NSG 与网关连接器虚拟机的管理网卡相关联。

    通过从管理控制台的“容量”页面导航到容器的详细信息，可以找到这些标识符。

    注意： 当您选择让容器的外部 Unified Access Gateway 使用自定义资源组时，由部署程序创建的网关连接器虚拟机的 NSG 的名称包含该自定义资源组的名称，而不是 模式 hcs-ID。例如，如果您指定将名为 ourhcspodgateway 的自定义资源组用于容器的外部网关，则由部署程序创建并与网关虚拟机的网卡关联的 NSG 将命名为 ourhcspodgateway-mgmt-nsg。

  • NSG 与它们关联的虚拟机和网卡位于同一资源组中。例如，使用由部署程序创建的资源组将外部网关部署到容器的 VNet 中时，与外部 Unified Access Gateway 虚拟机上的网卡关联的 NSG 将位于包含 字符串 hcs-podUUID-uag 的资源组中。另请参阅 第一代租户 - 为 Microsoft Azure 中部署的容器创建的资源组。

  • Horizon Cloud 可以根据需要添加新规则或修改这些规则，以确保服务的可维护性。

  • 在容器更新过程中，将保留 NSG 和规则。它们不会被删除。

  • Horizon Cloud 规则从优先级 1000 开始，并且优先级通常以 100 为增量递增。Horizon Cloud 规则结束时的规则优先级为 3000。

  • AllowAzureInBound源 IP 地址 168.63.129.16 的规则允许 NSG 接受来自 Microsoft Azure 平台的入站通信，如 Microsoft Azure 文档主题什么是 IP 地址 168.63.129.16 中所述。所有与容器相关的虚拟机都是 Microsoft Azure 中的虚拟机。如该 Microsoft Azure 文档主题中所述，其 IP 地址 168.63.129.16 可帮助执行 Microsoft Azure 云平台为其云中的所有虚拟机执行的各种虚拟机管理任务。例如，此 IP 地址有助于虚拟机中的虚拟机代理与 Microsoft Azure 平台通信，以发出虚拟机处于就绪状态的信号。

  • 在 Unified Access Gateway 实例的 NSG 中， AllowPcoipUdpInBound 将为任何端口设置规则，因为 PCoIP 流量使用 4173+ 范围内的可变端口号，这样就无法将流量限制到一组特定的端口。

  • 创建 NSG 时，Microsoft Azure 会在每个 NSG 中自动创建一些默认规则。在创建的每个 NSG 中，Microsoft Azure 都会创建一些优先级为 65000 和更高级别的入站和出站规则。由于此类 Microsoft Azure 默认规则是由 Microsoft Azure 自动创建的，因此本文档主题中未对其进行介绍。有关这些默认规则的详细信息，请参阅 Microsoft Azure 文档主题 默认安全规则。

  • 在这些 NSG 中定义的每个规则都旨在为执行容器操作提供端口流量，该流量是服务实现 Horizon Cloud 订阅标准业务目的的重要组成部分，例如，向最终用户提供虚拟桌面的 VDI 用例。另请参阅 Horizon Cloud 容器的端口和协议要求。

  • 在编辑您的容器以指定用于场和 VDI 桌面分配的其他租户子网时，将更新容器管理器虚拟机和 Unified Access Gateway 虚拟机网卡上与租户子网相关的 NSG 中的规则以包含这些额外的租户子网。

  • 如果您提交支持请求，并且 Horizon Cloud 支持团队确定为该请求提供服务的方式是部署临时 jump box 虚拟机，则此临时 jump box 在其临时 jump box 资源组中具有一个 NSG。在支持团队完成后删除 jump box 的资源组时，将删除该 NSG。

容器管理器虚拟机的部署程序创建的 NSG

容器管理器虚拟机具有两个网卡，一个网卡连接到管理子网，另一个网卡连接到租户子网。部署程序会为这两个网卡各创建一个特定的 NSG，并将每个 NSG 与相应的网卡相关联。

  • 管理网卡具有名称中包含字符串 hcs-podUUID-mgmt-nsg的 NSG。
  • 租户网卡具有名称中包含字符串 hcs-podUUID-tenant-nsg的 NSG。

在您的 Microsoft Azure 环境中，这些 NSG 驻留在名称中包含字符串 hcs-podUUID的容器资源组中。

容器管理器虚拟机的管理网卡上由部署程序创建的 NSG 规则
方向优先级名称端口协议源目的地操作规则的用途
入站1000允许 SshInBound22任意管理子网:任意允许如果在稳定状态操作期间，您提交了一个支持请求，并且 Horizon Cloud 支持团队确定解决该请求的方法是部署一个 jump box 虚拟机，以便使用 SSH 与容器管理器虚拟机进行通信，则此 NSG 规则支持这种用例。在进行任何紧急访问之前，都将需要向您申请相关权限。生存周期较短的 jump box 虚拟机会使用 SSH 通过虚拟机的端口 22 与容器管理器虚拟机进行通信。日常容器操作无需使用容器管理器虚拟机的端口 22。
入站1100允许 AzureInBound任意任意168.63.129.16任意允许用于使虚拟机接受来自 Microsoft Azure 平台的入站通信，如前面的“常规事实”部分和 Microsoft Azure 文档主题 IP 地址 168.63.129.16 是什么中所述。
入站1200允许 HttpsInBound443任意管理子网:任意允许用于确保云控制平面能够与容器管理器的 REST API 端点进行安全通信。
入站1300允许 ApacheGeodeInBound10334 - 10336, 41000-41002, 41100-41102, 42000-42002任意管理子网:任意允许这些端口用于在容器管理器虚拟机之间复制用户会话和与文件共享相关的信息。
入站1400AllowTelegrafInBound9172任意管理子网:任意允许已弃用此 NSG 曾由 Horizon 基础架构监控功能使用，该功能已弃用，如知识库文章 93762 中所述。
入站1500AllowAgentJmsInBound4001, 4002任意管理子网:任意允许已弃用此 NSG 曾由 Horizon 基础架构监控功能使用，该功能已弃用，如知识库文章 93762 中所述。
入站3000DenyAllInBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的入站流量。
容器管理器虚拟机的租户网卡上的部署程序创建的 NSG 规则
方向优先级名称端口协议源目的地操作用途
入站1000允许 HttpsInBound 80 443 元TCP虚拟网络任意允许此规则提供了一个非典型场景，在该场景中，您可能已告知内部最终用户（例如，在企业网络上，通过 VPN）将其客户端连接到已映射到容器的 Microsoft Azure 负载均衡器的 FQDN。这种情况有时称为直接容器连接。对于向容器管理器发送的登录身份验证请求，Horizon Client 和 Horizon Web Client 使用端口 443。为了便于可能在客户端中键入 HTTP 而不是 HTTPS 的用户使用轻松重定向，该流量会到达端口 80 并自动重定向到端口 443。
入站1100AllowAgentHttpsInBound 3443 8443TCP租户子网任意允许 基础虚拟机、桌面虚拟机和场 RDSH 虚拟机中的 App Volumes Agent 使用入站连接到该网卡的端口 3443，以访问在容器管理器中运行的 App Volumes Manager 服务。 Unified Access Gateway 实例使用入站连接到该网卡的端口 8443 来检查容器管理器。网关实例使用此端点来确认是否已将新的客户端连接请求发送到容器管理器。
入站1110AllowGatewayBrokeringHttpsInBound8443TCP虚拟网络任意允许为了保持代码一致性和便于维护，容器部署程序始终将此规则写入此 NSG。 在容器的外部网关部署在其自身独立于容器的 VNet 中的部署中，此规则支持来自外部网关的 Unified Access Gateway 实例的入站流量，以便向容器管理器进行检查。网关实例使用此端点来确认是否已将新的客户端连接请求发送到容器管理器。
入站1120允许 HttpsInBound8443TCP管理子网:任意允许该功能计划在未来版本中发布。
入站1200AllowAgentJmsInBound 4001 、4002TCP租户子网任意允许 基础虚拟机、桌面虚拟机和场 RDSH 虚拟机中的 Horizon Agent 使用这些端口。 端口 4001 用于 Java 消息服务（JMS，非 SSL），虚拟机中的代理使用该端口在证书指纹验证和交换过程中与容器进行通信，从而与容器建立安全的 SSL 连接。 在虚拟机和容器管理器之间协商并交换密钥后，代理将使用端口 4002 创建安全的 SSL 连接。 注意： 稳定状态操作需要 4001 和 4002。有时，代理可能需要为容器重新设置密钥。
入站1210允许路由器 JmsInBound4101TCP租户子网任意允许为容器启用高可用性 （HA） 时，此流量是容器管理器虚拟机（节点 1 和节点 2）之间的 JMS 路由
入站1300AllowAgentUdpInBound5678UDP租户子网任意允许清单版本为 1600 及更高版本的容器已弃用此端口。在该服务的 2019 年 9 月版本中，自容器清单版本 1600 起，DaaS Agent 已合并到 Horizon Agent 中。以前，此端口 5678 和 UDP 协议用于支持使用 DaaS Agent。
入站1400允许 AzureInBound任意任意168.63.129.16任意允许用于使虚拟机接受来自 Microsoft Azure 平台的入站通信，如前面的“常规事实”部分和 Microsoft Azure 文档主题 IP 地址 168.63.129.16 是什么中所述。
入站3000DenyAllInBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的入站流量。

外部 Unified Access Gateway 虚拟机的部署程序创建的 NSG

外部 Unified Access Gateway 配置的每个虚拟机具有三 （3） 个 NIC，一个 NIC 连接到管理子网，一个 NIC 连接到租户子网，还有一个 NIC 连接到 DMZ 子网。部署程序会为这三个网卡各创建一个特定的 NSG，并将每个 NSG 与相应的网卡相关联。

  • 管理网卡具有名称中包含字符串 hcs-ID-uag-management-nsg的 NSG。
  • 租户网卡具有名称中包含字符串 hcs-ID-uag-tenant-nsg的 NSG。
  • DMZ 网卡具有一个名称中包含字符串 hcs-ID-uag-dmz-nsg的 NSG。

在您的 Microsoft Azure 环境中，这些 NSG 的名称包含 字符串 hcs-ID-uag ，其中 ID 是显示在控制台中容器详细信息页面上的容器 ID，除非将外部网关部署到其自身的 VNet（不同于容器的 VNet）中。如果外部网关部署在其自身的 VNet 中，则 ID 是容器详细信息页面上显示的 部署 ID 值。

外部 Unified Access Gateway 虚拟机的管理 NIC 上的部署程序创建的 NSG 规则
方向优先级名称端口协议源目的地操作用途
入站1000允许 HttpsInBound9443TCP管理子网:任意允许便于服务使用其管理界面配置网关的管理设置。如 Unified Access Gateway 产品文档中所述，其管理界面位于端口 9443/TCP。
入站1100允许 AzureInBound任意任意168.63.129.16任意允许用于使虚拟机接受来自 Microsoft Azure 平台的入站通信，如前面的“常规事实”部分和 Microsoft Azure 文档主题 IP 地址 168.63.129.16 是什么中所述。
入站1200允许 SshInBound22任意管理子网:任意允许便于 Horizon Cloud 支持团队在需要时对虚拟机执行紧急访问以进行故障排除。在进行任何紧急访问之前，都将需要向您申请相关权限。
入站3000DenyAllInBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的入站流量。
出站3000DenyAllOutBound任意任意任意任意拒绝由部署程序添加，用于拒绝来自此网卡的出站流量。
外部 Unified Access Gateway 虚拟机的租户 NIC 上的部署程序创建的 NSG 规则
方向优先级名称端口协议源目的地操作用途
入站1000允许 AzureInBound任意任意168.63.129.16任意允许用于使虚拟机接受来自 Microsoft Azure 平台的入站通信，如前面的“常规事实”部分和 Microsoft Azure 文档主题 IP 地址 168.63.129.16 是什么中所述。
入站1400AllowPcoipUdpInBound任意UDP租户子网任意允许此规则支持用于 Unified Access Gateway 与 Horizon Agent 配合使用的标准配置。桌面和 场虚拟机中的 Horizon Agent 使用 UDP 将 PCoIP 数据发送回 Unified Access Gateway 实例。
入站3000DenyAllInBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的入站流量。
出站1000允许 HttpsOutBound 电话：443 8443TCP任意租户子网允许 此规则支持 Unified Access Gateway 实例与容器管理器虚拟机进行通信，以便向容器管理器发送新的客户端连接请求。
出站1100允许 BlastOutBound22443任意任意租户子网允许此规则支持在桌面或场虚拟机中向 Horizon Agent 发起 Horizon Client Blast Extreme 会话的用例。
出站1200AllowPcoipOutBound4172任意任意租户子网允许此规则支持在桌面虚拟机中向 Horizon Agent 发起 Horizon Client PCoIP 会话的用例。
出站1300允许 USB 出站32111TCP任意租户子网允许此规则支持 USB 重定向流量的用例。USB 重定向是桌面或场虚拟机中的一个代理选项。该流量使用端口 32111 在桌面或场虚拟机中向 Horizon Agent 发起最终用户客户端会话。
出站1400允许 MmrOutBound9427TCP任意租户子网允许此规则支持多媒体重定向 （MMR） 和客户端驱动程序重定向 （CDR） 流量的用例。这些重定向是桌面或场虚拟机中的代理选项。该流量使用端口 9427 在桌面或场虚拟机中向 Horizon Agent 发起最终用户客户端会话。
出站1500允许所有出站绑定任意任意任意租户子网允许在支持多个用户会话的虚拟机中运行时，Horizon Agent 会为会话的 PCoIP 流量选择不同的端口。由于无法提前确定这些端口，因此 NSG 规则会命名特定端口以允许提前定义流量。因此，与优先级为 1200 的规则类似，该规则支持与此类虚拟机建立多个 Horizon Client PCoIP 会话的用例。
出站3000DenyAllOutBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的出站流量。
外部 Unified Access Gateway 虚拟机的 DMZ NIC 上的部署程序创建的 NSG 规则
方向优先级名称端口协议源目的地操作用途
入站1000允许 HttpsInBound 80 443 元TCPInternet任意允许此规则为外部最终用户提供来自 Horizon Client 和 Horizon Web Client 的入站流量，以向容器管理器发送登录身份验证请求。默认情况下，Horizon Client 和 Horizon Web Client 使用端口 443 发送此请求。为了便于可能在客户端中键入 HTTP 而不是 HTTPS 的用户使用轻松重定向，该流量会到达端口 80 并自动重定向到端口 443。
入站1100允许 BlastInBound 电话：443 8443任意Internet任意允许此规则支持 Unified Access Gateway 实例接收来自外部最终用户的 Horizon Client 的 Blast 流量。
入站1200允许 PcoipInBound4172任意Internet任意允许此规则支持接收来自外部最终用户 Horizon Client 的 PCoIP 流量的 Unified Access Gateway 实例。
入站1300允许 AzureInBound任意任意168.63.129.16任意允许用于使虚拟机接受来自 Microsoft Azure 平台的入站通信，如前面的“常规事实”部分和 Microsoft Azure 文档主题 IP 地址 168.63.129.16 是什么中所述。
入站3000DenyAllInBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的入站流量。

内部 Unified Access Gateway 虚拟机的部署程序创建的 NSG

内部 Unified Access Gateway 配置的每个虚拟机具有两 （2） 个 NIC，一个 NIC 连接到管理子网，另一个 NIC 连接到租户子网。部署程序会为这两个网卡各创建一个特定的 NSG，并将每个 NSG 与相应的网卡相关联。

  • 管理网卡具有名称中包含字符串 hcs-podUUID-uag-management-nsg的 NSG。
  • 租户网卡具有名称中包含字符串 hcs-podUUID-uag-tenant-nsg的 NSG。

在您的 Microsoft Azure 环境中，这些 NSG 驻留在名称中包含字符串 hcs-podUUID-uag-internal的容器资源组中。

内部 Unified Access Gateway 虚拟机的管理 NIC 上的部署程序创建的 NSG 规则
方向优先级名称端口协议源目的地操作用途
入站1000允许 HttpsInBound9443TCP管理子网:任意允许便于服务使用其管理界面配置网关的管理设置。如 Unified Access Gateway 产品文档中所述，其管理界面位于端口 9443/TCP。
入站1100允许 AzureInBound任意任意168.63.129.16任意允许用于使虚拟机接受来自 Microsoft Azure 平台的入站通信，如前面的“常规事实”部分和 Microsoft Azure 文档主题 IP 地址 168.63.129.16 是什么中所述。
入站1200允许 SshInBound22任意管理子网:任意任意便于 Horizon Cloud 支持团队在需要时对虚拟机执行紧急访问以进行故障排除。在进行任何紧急访问之前，都将需要向您申请相关权限。
入站3000DenyAllInBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的入站流量。
出站3000DenyAllOutBound任意任意任意任意拒绝由部署程序添加，用于拒绝来自此网卡的出站流量。
内部 Unified Access Gateway 虚拟机的租户 NIC 上的部署程序创建的 NSG 规则
方向优先级名称端口协议源目的地操作用途
入站1000允许 AzureInBound任意任意168.63.129.16任意允许用于使虚拟机接受来自 Microsoft Azure 平台的入站通信，如前面的“常规事实”部分和 Microsoft Azure 文档主题 IP 地址 168.63.129.16 是什么中所述。
入站1100允许 HttpsInBound 80 443 元TCP虚拟网络任意允许此规则为内部最终用户提供来自 Horizon Client 和 Horizon Web Client 的入站流量，以向容器管理器发送登录身份验证请求。默认情况下，Horizon Client 和 Horizon Web Client 使用端口 443 发送此请求。为了便于可能在客户端中键入 HTTP 而不是 HTTPS 的用户使用轻松重定向，该流量会到达端口 80 并自动重定向到端口 443。
入站1200允许 BlastInBound 电话：443 8443任意虚拟网络任意允许此规则支持接收来自内部最终用户 Horizon Client 的 Blast 流量的 Unified Access Gateway 实例。
入站1300允许 PcoipInBound4172任意虚拟网络任意允许此规则支持接收来自内部最终用户 Horizon Client 的 PCoIP 流量的 Unified Access Gateway 实例。
入站1400AllowPcoipUdpInBound任意UDP租户子网任意允许此规则支持用于 Unified Access Gateway 与 Horizon Agent 配合使用的标准配置。桌面和 场虚拟机中的 Horizon Agent 使用 UDP 将 PCoIP 数据发送回 Unified Access Gateway 实例。
入站3000DenyAllInBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的入站流量。
出站1000允许 HttpsOutBound 电话：443 8443TCP任意租户子网允许 此规则支持 Unified Access Gateway 实例与容器管理器虚拟机进行通信，以便向容器发送新的客户端连接请求。
出站1100允许 BlastOutBound22443任意任意租户子网允许此规则支持在桌面或场虚拟机中向 Horizon Agent 发起 Horizon Client Blast Extreme 会话的用例。
出站1200AllowPcoipOutBound4172任意任意租户子网允许此规则支持在桌面虚拟机中向 Horizon Agent 发起 Horizon Client PCoIP 会话的用例。
出站1300允许 USB 出站32111TCP任意租户子网允许此规则支持 USB 重定向流量的用例。USB 重定向是桌面或场虚拟机中的一个代理选项。该流量使用端口 32111 在桌面或场虚拟机中向 Horizon Agent 发起最终用户客户端会话。
出站1400允许 MmrOutBound9427TCP任意租户子网允许此规则支持多媒体重定向 （MMR） 和客户端驱动程序重定向 （CDR） 流量的用例。这些重定向是桌面或场虚拟机中的代理选项。该流量使用端口 9427 在桌面或场虚拟机中向 Horizon Agent 发起最终用户客户端会话。
出站1500允许所有出站绑定任意任意任意租户子网允许在支持多个用户会话的虚拟机中运行时，Horizon Agent 会为会话的 PCoIP 流量选择不同的端口。由于无法提前确定这些端口，因此 NSG 规则会命名特定端口以允许提前定义流量。因此，与优先级为 1200 的规则类似，该规则支持与此类虚拟机建立多个 Horizon Client PCoIP 会话的用例。
出站3000DenyAllOutBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的出站流量。

将外部网关部署在其自身的 VNet 中时，网关连接器虚拟机的部署程序创建的 NSG

网关连接器虚拟机具有单个网卡。此网卡将连接到外部网关的 VNet 管理子网。部署程序会创建一个 NSG，并将该 NSG 专门与该网卡相关联。默认情况下，部署程序为网关连接器的管理网卡创建的 NSG 与部署程序为容器管理器虚拟机创建的 NSG 具有相同的规则。

外部网关连接器虚拟机的管理网卡上的部署程序创建的 NSG 规则
方向优先级名称端口协议源目的地操作用途
入站1000允许 SshInBound22任意管理子网:任意允许如果在稳定状态操作期间，您提交了一个支持请求，并且 Horizon Cloud 支持团队确定解决该请求的方法是部署一个 jump box 虚拟机，以便使用 SSH 与此网关连接器虚拟机进行通信，则此 NSG 规则支持这种用例。在进行任何紧急访问之前，都将需要向您申请相关权限。生存周期较短的 jump box 虚拟机会使用 SSH 通过虚拟机的端口 22 与此网关连接器虚拟机进行通信。日常容器操作不要求在网关连接器虚拟机上使用端口 22。
入站1100允许 AzureInBound任意任意168.63.129.16任意允许用于使虚拟机接受来自 Microsoft Azure 平台的入站通信，如前面的“常规事实”部分和 Microsoft Azure 文档主题 IP 地址 168.63.129.16 是什么中所述。
入站1200允许 HttpsInBound443任意管理子网:任意允许用于确保云控制平面能够与网关连接器的 REST API 端点进行安全通信。
入站1300允许 ApacheGeodeInBound10334 - 10336, 41000-41002, 41100-41102, 42000-42002任意管理子网:任意允许这些端口用于在容器管理器虚拟机和网关连接器虚拟机之间复制用户会话和与文件共享相关的信息。
入站1400AllowTelegrafInBound9172任意管理子网:任意允许已弃用此 NSG 曾由 Horizon 基础架构监控功能使用，该功能已弃用，如知识库文章 93762 中所述。
入站1500AllowAgentJmsInBound4001, 4002任意管理子网:任意允许已弃用此 NSG 曾由 Horizon 基础架构监控功能使用，该功能已弃用，如知识库文章 93762 中所述。
入站3000DenyAllInBound任意任意任意任意拒绝由部署程序添加，用于限制此网卡中流向前述行项的入站流量。

临时 jump box 虚拟机的部署程序创建的 NSG

如果您提交支持请求，并且 Horizon Cloud 支持团队确定为该请求提供服务的方式是部署临时 jump box 虚拟机，则此临时 jump box 在其临时 jump box 资源组中具有一个 NSG。在支持团队完成此类工作后删除 jump box 的资源组时，将删除该 NSG。在进行任何紧急访问之前，都将需要向您申请相关权限。

服务在临时 Jump Box 虚拟机的管理网卡上创建的 NSG 规则
方向优先级名称端口协议源目的地操作用途
入站100允许 SSHInBound22任意管理子网:管理子网:允许用于与 Horizon Cloud 支持团队调查您的服务请求时所涉及的服务管理的设备的 SSH 通信。生存周期较短的 jump box 虚拟机使用 SSH 和端口 22 进行通信。 注意： 如果云控制平面无法访问容器，支持团队可能会部署具有公用 IP 的紧急 jump box，以建立对容器的访问。该场景将要求此规则具有 Source=Any 和 Destination=Any。
出站100AllowSSHOutbound22TCP管理子网:管理子网:允许便于 jump box 虚拟机执行其设计的功能。
出站101允许 HttpsOutbound443TCP管理子网:任意允许便于 jump box 虚拟机下载特定的外部软件组件（如 Microsoft Azure CLI（命令行界面）），以执行其设计的功能。
出站102允许 HttpOutbound80TCP管理子网:任意允许便于 jump box 虚拟机下载特定的外部软件组件（如 Ubuntu 软件更新），以执行其设计的功能。
出站103允许出站9443TCP管理子网:管理子网:允许便于 jump box 虚拟机使用网关的管理界面执行与网关管理设置相关的设计的功能。
出站104允许 DnsOutbound53任意管理子网:任意允许用于 jump box 虚拟机访问 DNS 服务。
出站105允许HttpProxy出站任意TCP任意任意允许在容器部署配置为使用具有不同于 80 的代理端口的代理时，临时 jump box 部署程序会在该 NSG 中创建该规则。此规则在此类代理环境中支持临时 jump box。 当容器部署配置未指定任何代理或指定具有代理端口 80 的代理时，此规则不会显示在此 NSG 中。
出站1000DenyAllOutBound任意TCP任意任意拒绝使用 TCP 限制此网卡中流向前述行项的出站流量。

此页面对您有帮助吗?

对本主题提供反馈

本主题对您有帮助吗?

请勿填写任何个人信息或机密信息。

正在生成链接…