Nhóm bảo mật mạng (Network Security Groups - NSG) trong Azure là gì?

Tạo NSG - Các cách thực hiện

Azure Portal

1. Tìm "Network Security Groups" → Create
2. Chọn Subscription, Resource Group, Region, Name
3. Tạo xong → vào NSG → Inbound/Outbound security rules → Add quy tắc
4. Gán NSG cho Subnet hoặc NIC: Subnets / Network interfaces → Associate

Azure CLI

# Tạo NSG
az network nsg create -g MyRG -n MyNSG -l eastus

# Tạo quy tắc cho phép HTTP inbound
az network nsg rule create -g MyRG --nsg-name MyNSG -n Allow-HTTP --priority 100 \
  --source-address-prefixes Internet --destination-port-ranges 80 --protocol Tcp --access Allow --direction Inbound

# Gán cho Subnet
az network vnet subnet update -g MyRG --vnet-name MyVNet -n MySubnet --network-security-group MyNSG

Terraform

resource "azurerm_network_security_group" "example" {
  name                = "example-nsg"
  location            = azurerm_resource_group.example.location
  resource_group_name = azurerm_resource_group.example.name

  security_rule {
    name                       = "AllowHTTPInbound"
    priority                   = 100
    direction                  = "Inbound"
    access                     = "Allow"
    protocol                   = "Tcp"
    source_port_range          = "*"
    destination_port_range     = "80"
    source_address_prefix      = "Internet"
    destination_address_prefix = "*"
  }
}

Xử lý quy tắc NSG - Thứ tự ưu tiên quan trọng

Khi một gói tin đến NIC của VM trong subnet có NSG:

1. Xử lý quy tắc NSG gán cho NIC (nếu có) theo priority
2. Nếu không khớp rule nào → Xử lý quy tắc NSG gán cho Subnet theo priority
3. Nếu vẫn không khớp → Áp dụng Default Rules (Deny All Inbound/Outbound)

Best Practice: Chỉ gán NSG ở cấp Subnet. Dùng ASG để phân biệt quy tắc per-workload. Tránh gán NSG ở cả NIC và Subnet trừ khi cần thiết (phức tạp debug).

NSG vs Azure Firewall - So sánh

Best Practices cho NSG

1. Ít nhất một NSG per Subnet (Management, Web, App, Data, Gateway...)
2. Deny by default: Chỉ allow port cần thiết. Sử dụng priority cao cho Deny rules cụ thể nếu cần.
3. Dùng Service Tags thay vì IP CIDR cứng cho dịch vụ Azure.
4. Dùng ASG cho quy tắc theo workload (web→app, app→db).
5. Bật NSG Flow Logs → Log Analytics Workspace → KQL query, Alert, Workbook.
6. Test trước khi áp dụng: Dùng IP Flow Verify (Network Watcher) kiểm tra quy tắc cho phép/chặn IP:Port cụ thể.
7. Đặt tên quy tắc có ý nghĩa: Allow-HTTP-Inet-To-ASG-Web, Deny-RDP-From-Internet.
8. Giữ khoảng priority: 100, 110, 120... để dễ chèn rule mới.
9. Review định kỳ: Xóa rule không dùng, gộp rule trùng lặp.

Kết luận

NSG là khối xây dựng nền tảng cho bảo mật mạng trong Azure, cung cấp lọc gói tin stateful tại L3/L4 miễn phí, tích hợp chặt chẽ với VNet, ASG, Service Tags. Dùng NSG cho kiểm soát truy cập mạng cơ bản, phân đoạn workload. Khi cần kiểm soát L7 (FQDN, TLS inspection, IPS, Threat Intel), triển khai Azure Firewall tại Hub VNet kết hợp NSG ở Spoke VNet (Hub-Spoke topology).