为什么 Azure 应用程序网关需要空子网

当我尝试执行 New-AzureRmApplicationGatewayIPConfiguration 来创建应用程序网关时，出现异常：

Subnet xxx cannot be used for application gateway yyy since subnet is not empty.

当我尝试将应用程序网关添加到与后端服务器相同的子网时，我遇到了此错误。

为什么这不是一个选择？每个网关是否需要单独的子网？推荐配置是什么？

相关问题：

• 文档说，当后端服务器属于虚拟网络子网时，可以添加它们。如果应用程序网关必须位于单独的子网中，那么后端服务器如何属于应用程序网关的虚拟网络子网？
• 如何在不需要后端服务器上的公共 IP 地址的情况下配置应用程序网关？

应用程序网关本身必须位于子网中，如中所述文档 https://azure.microsoft.com/en-us/documentation/articles/application-gateway-create-gateway-arm/，因此它不是一个选项。为应用程序网关子网 (CIDR“x.x.x.x/29”) 创建较小的地址空间，这样您就不会不必要地浪费 IP 地址。

争取使用子网的多层网络拓扑是一个很好的做法。这使您能够定义路由和网络安全组（即：允许端口 80 入口、拒绝端口 80 出口、拒绝 RDP 等）来控制子网中资源的流量。网关的路由和安全组要求通常不同于虚拟网络中其他资源的路由和安全组要求。