NetScaler VPX

微软 Azure 上 NetScaler VPX 实例的网络体系结构

June 8, 2026

投稿者:

C C

在 Azure Resource Manager (ARM) 中，NetScaler VPX 虚拟机 (VM) 驻留在虚拟网络中。可以在虚拟网络的给定子网中创建单个网络接口，并将其附加到 VPX 实例。您可以使用网络安全组筛选 Azure 虚拟网络中 VPX 实例的入站和出站网络流量。网络安全组包含安全规则，这些规则允许或拒绝流向 VPX 实例的入站网络流量或从 VPX 实例流出的出站网络流量。有关详细信息，请参阅安全组。

网络安全组筛选发往 NetScaler VPX 实例的请求，VPX 实例将这些请求发送到服务器。来自服务器的响应以相反的路径返回。网络安全组可以配置为筛选单个 VPX VM，或者通过子网和虚拟网络，可以在部署多个 VPX 实例时筛选流量。

NIC 包含网络配置详细信息，例如虚拟网络、子网、内部 IP 地址和公共 IP 地址。

在 ARM 上，最好了解以下用于访问部署了单个 NIC 和单个 IP 地址的 VM 的 IP 地址：

公共 IP (PIP) 地址是直接在 NetScaler® VM 的虚拟 NIC 上配置的面向 Internet 的 IP 地址。这允许您从外部网络直接访问 VM。
NetScaler IP（也称为 NSIP）地址是 VM 上配置的内部 IP 地址。它不可路由。
虚拟 IP 地址 (VIP) 是通过使用 NSIP 和端口号配置的。客户端通过 PIP 地址访问 NetScaler 服务，当请求到达 NetScaler VPX™ VM 的 NIC 或 Azure 负载均衡器时，VIP 会转换为内部 IP (NSIP) 和内部端口号。
内部 IP 地址是 VM 从虚拟网络地址空间池中获取的专用内部 IP 地址。此 IP 地址无法从外部网络访问。此 IP 地址默认为动态，除非您将其设置为静态。来自 Internet 的流量根据网络安全组上创建的规则路由到此地址。网络安全组与 NIC 集成，以选择性地将正确类型的流量发送到 NIC 上的正确端口，这取决于 VM 上配置的服务。

下图显示了流量如何通过在 ARM 中预置的 NetScaler VPX 实例从客户端流向服务器。

客户端到服务器的流量流

通过网络地址转换的流量流

您还可以为 NetScaler VPX 实例（实例级别）请求公共 IP (PIP) 地址。如果您在 VM 级别使用此直接 PIP，则无需定义入站和出站规则来拦截网络流量。来自 Internet 的入站请求直接在 VM 上接收。Azure 执行网络地址转换 (NAT) 并将流量转发到 VPX 实例的内部 IP 地址。

下图显示了 Azure 如何执行网络地址转换以映射 NetScaler 内部 IP 地址。

通过 NAT 的流量流

在此示例中，分配给网络安全组的公共 IP 为 140.x.x.x，内部 IP 地址为 10.x.x.x。定义入站和出站规则时，公共 HTTP 端口 80 被定义为接收客户端请求的端口，相应的私有端口 10080 被定义为 NetScaler VPX 实例侦听的端口。客户端请求在公共 IP 地址 (140.x.x.x) 上接收。Azure 执行网络地址转换，将 PIP 映射到端口 10080 上的内部 IP 地址 10.x.x.x，并转发客户端请求。

注意：

高可用性中的 NetScaler VPX VM 由外部或内部负载均衡器控制，这些负载均衡器上定义了入站规则以控制负载均衡流量。外部流量首先由这些负载均衡器拦截，然后根据配置的负载均衡规则进行分流，这些规则在负载均衡器上定义了后端池、NAT 规则和运行状况探测。

端口使用指南

您可以在创建 NetScaler VPX 实例时或在虚拟机预配后，在网络安全组中配置更多入站和出站规则。每个入站和出站规则都与一个公共端口和一个私有端口相关联。

在配置网络安全组规则之前，请注意以下有关可使用的端口号的准则：

NetScaler VPX 实例保留以下端口。当使用公共 IP 地址处理来自互联网的请求时，您不能将这些端口定义为私有端口。

端口 21、22、80、443、8080、67、161、179、500、520、3003、3008、3009、3010、3011、4001、5061、9000、7000。

但是，如果您希望面向互联网的服务（例如 VIP）使用标准端口（例如端口 443），则必须使用网络安全组创建端口映射。然后，标准端口将映射到在 NetScaler 上为此 VIP 服务配置的不同端口。

例如，VIP 服务可能在 VPX 实例上的端口 8443 上运行，但被映射到公共端口 443。因此，当用户通过公共 IP 访问端口 443 时，请求将被定向到私有端口 8443。
公共 IP 地址不支持端口映射动态打开的协议，例如被动 FTP 或 ALG。
高可用性不适用于使用与 VPX 实例关联的公共 IP 地址 (PIP) 的流量，而不是在 Azure 负载均衡器上配置的 PIP。

注意：

在 Azure 资源管理器中，NetScaler VPX 实例与两个 IP 地址相关联——一个公共 IP 地址 (PIP) 和一个内部 IP 地址。外部流量连接到 PIP，而内部 IP 地址或 NSIP 是不可路由的。要在 VPX 中配置 VIP，请使用内部 IP 地址和任何可用的空闲端口。不要使用 PIP 配置 VIP。

本产品文档的官方版本为英语版本。任何非英语版本仅为方便您而提供，可能包括机器翻译的内容。有关详细信息，请参阅 Cloud Software Group home 上的“机器翻译免责声明”。

NetScaler Secure Deployment Guide

微软 Azure 上 NetScaler VPX 实例的网络体系结构

June 8, 2026

投稿者:

C C

June 8, 2026

投稿者:

C C

NetScaler Secure Deployment Guide