【Explanation】Azure Security — Network Security Group & Application Security Group

9 min readMay 18, 2024

--

Network-level segmentation

以常見的網路層保護當作例子，Azure 有 Segmentation patterns 在設計網路架構的時候，有一個很重要的原則是 Zero Trust，必須要確保資源與資源的溝通，是在明確的允許規則放行，否則一律都要 Deny All 來防止資源不會被未經授權的人存取或攻擊，儘可能 leverage 這些 Cloud Native 的方案作一個縱深防禦的機制，而 Network Security Group 與 Application Security Group 就是今天要說明的主題。

Network Security Group

網絡安全組（Network Security Group，NSG）是 Azure 虛擬網路上的類似防火牆的服務，可套用於虛擬機器的 NIC（網路介面）或 VNet 子網路。可用於設定流量進出虛擬網絡的安全性。NSG 透過規則來允許或拒絕特定的網絡流量通過，以保護資源不被未經授權存取或攻擊。像是在 Azure 建立 VM 完成後，接續就是設定網路安全性群組 NSG 限制來源 IP 位址與決定開啟哪些服務埠號，避免網路上的惡意攻擊。

NSG 產品定位說明

NSG 是在 SDN（軟體定義網路）上運作的第四層狀態防火牆，Azure 的 NSG 定位上與 GCP VPC 中的 Firewall rule 比較接近；而 Azure Firewall 定位上為中央管理型式的網路工具，從 OSI7 層中的 L3 至 L7 都可以有管理的能力，類似於 GCP 的 Cloud Armor，以下比較 NSG vs Firwall

Azure Firewall 與 NSG 滿常結合一起使用增強防禦能力，NSG 提供對 VNet 的精細控制，例如允許僅從授權的內部電腦透過 SSH 存取特定子網路。 Azure 防火牆可作為集中式 Gateway，監控所有傳入和傳出流量，同時提供增強的威脅防禦

預設安全性規則

Azure 會在您建立的每個網路安全性群組中，建立下列預設規則（紅框）

Inbound 三條預設規則

AllowVNetInBound

AllowAzureLoadBalancerInBound

DenyAllInbound

Outbound 三條預設規則

AllowVnetOutBound、

AllowInternetOutBound

DenyAllOutBound

Archietcture

NSG 可應用兩種資源：子網、網路介面（NIC），下圖顯示了一個虛擬網路，其中 VM1 和 VM2 位於 Subnet1 中，VM3 位於 Subnet2 中。此虛擬網路將 NSG1 應用於子網路 1，並將 NSG2 應用於 Subnet2。此外，還可以將 NSG2 應用到應用了 NSG1 的子 Subnet1 中的 VM1 的 NIC。

Azure 建議將 NSG 與子網路或網路介面關聯，除非有特定原因。不建議兩者同時關聯。與子網路關聯的 NSG 中的規則可能與與網路介面關聯的 NSG 中的規則發生衝突，導致可能需要進行故障排除的意外通訊問題。

**https://learn.microsoft.com/en-us/azure/virtual-network/network-security-group-how-it-works**

Rules

包含優先順序、來源或目的地、通訊協定、方向、連接埠範圍、動作。

此外來源或目的地也可以使用 servcie tag，根據預設，servcie tag 會反映整個雲端的範圍。某些服務標籤也會將對應的 IP 範圍限定為指定的區域，以提供更精細的控制。例如，服務標籤 Storage 代表整個雲端的 Azure 儲存體，而 Storage.WestUS 則會將範圍縮小為僅限來自美國西部區域的儲存體 IP 位址範圍。

其他限制