应用服务器 (app-db-01) 无法通过 TCP 9000 访问外部分析服务。团队怀疑是 NSG 规则阻止了出站流量，但路径中有多个 NSG（子网和 NIC 级别）和 Azure Firewall。哪个 Network Watcher 工件将显示聚合的有效安全规则，并允许您识别阻止该 NIC 流量的具体规则（名称和优先级）？

Network Watcher 的 IP 流验证工具是诊断此问题的最佳选择。它允许您模拟特定五元组（源 IP、目标 IP、协议、源端口、目标端口）的流量，并立即报告流量是允许还是拒绝，以及导致该结果的具体 NSG 规则（包括名称和优先级）。这直接解决了识别阻止流量的规则的需求。 Azure Firewall 不会代表 VM 执行 NSG 规则；NSG 规则在 NIC 和子网级别独立应用。因此，检查防火墙诊断日志不会显示 NSG 规则信息。“有效路由”边栏选项卡显示路由信息，而不是安全规则。NSG 流日志可以显示流量信息，但需要时间来收集和分析，并且不会像 IP 流验证那样直接指出阻止流量的具体规则名称和优先级。