Contoso Ltd. 在资源组 web-rg 中有一个 Web VM (appvm01)，它连接到 NIC appvm01-nic，并受 NSG nsg-web 保护。客户端报告说，从特定客户端 IP 203.0.113.45 到 VM 的私有 IP 10.2.1.4:443 的 HTTPS 流量失败。您需要确定 NSG 是允许还是拒绝该特定流量，以及哪个规则匹配。从 Azure 的 Network Watcher 功能诊断此问题的最快正确方法是什么？

Network Watcher 的 IP 流验证功能专门用于诊断 NSG 规则对特定流量流的影响。通过输入源 IP、目标 IP、端口和协议等详细信息，它能立即显示流量是被允许还是被拒绝，并指出是哪个 NSG 规则导致了该结果，包括其优先级。这比在 VM 内部运行 tcpdump 更快、更直接，因为 tcpdump 无法识别 NSG 规则。启用 NSG 流日志并等待 24 小时太耗时，且需要后续分析。Azure Monitor Network Insights 流图提供拓扑视图，但不能直接验证特定流量流的 NSG 允许/拒绝状态和匹配规则。