Nhóm bảo mật mạng Azure (NSG) là gì?

Nhóm bảo mật mạng (Network Security Group - NSG) trong Azure là một dịch vụ bảo mật mạng cơ bản cho phép bạn lọc lưu lượng mạng đến và đi từ các tài nguyên Azure. Mỗi NSG chứa một tập hợp các quy tắc bảo mật xác định cách thức lưu lượng được phép truy nhập hoặc rời khỏi các tài nguyên Azure như máy ảo, subnet, và giao diện mạng.

NSG trong Azure hoạt động như thế nào?

NSG giám sát và kiểm soát lưu lượng mạng đến và đi từ các dịch vụ Azure của bạn. Một NSG có thể được áp dụng cho một subnet trong Mạng ảo (Virtual Network), cung cấp một giao diện chuẩn hóa để cập nhật kiểm soát truy cập trên nhiều máy ảo cùng lúc. Các quy tắc trong NSG được xử lý theo thứ tự ưu tiên (priority) từ thấp đến cao.

NSG có phải là tường lửa (firewall) không?

Không hoàn toàn. NSG hoạt động ở lớp 3 (Network) và lớp 4 (Transport) của mô hình OSI, trong khi Azure Firewall hoạt động ở lớp 4 và lớp 7 (Application). NSG giống như một tường lửa cơ bản lọc lưu lượng ở lớp mạng, còn Azure Firewall là dịch vụ toàn diện, mạnh mẽ hơn với nhiều tính năng nâng cao như phân tích lưu lượng lớp ứng dụng, threat intelligence, và quản lý tập trung.

Khác biệt giữa NSG và ASG (Application Security Group) trong Azure

NSG (Network Security Group): Là tài nguyên Azure dùng để thực thi và kiểm soát lưu lượng mạng thông qua các quy tắc allow/deny.
ASG (Application Security Group): Là đối tượng logic bên trong NSG, cho phép nhóm các máy ảo theo vai trò ứng dụng (ví dụ: Web, Database, App) để dễ dàng quản lý quy tắc bảo mật theo nhóm thay vì địa chỉ IP riêng lẻ.

ASG giúp đơn giản hóa quản lý quy tắc NSG khi môi trường mở rộng.

Cách tạo Network Security Group trong Azure

Đăng nhập Azure Portal.
Chọn Tạo tài nguyên (Create a resource) > Mạng (Networking) > Nhóm bảo mật mạng (Network Security Group).
Điền thông tin: Subscription, Resource group (chọn có sẵn hoặc tạo mới), Tên NSG, Region.
Nhấn Xem lại + tạo (Review + create) sau đó Tạo (Create).

Sau khi tạo, bạn có thể liên kết NSG với subnet hoặc giao diện mạng (NIC) và cấu hình quy tắc bảo mật inbound/outbound.

Tóm tắt các khái niệm chính

Khái niệm	Mô tả
Quy tắc bảo mật (Security Rules)	Xác định nguồn, đích, cổng, giao thức, hành động (Allow/Deny), và độ ưu tiên.
Inbound/Outbound	Lưu lượng vào/ra tài nguyên.
Mặc định (Default Rules)	Azure tự tạo các quy tắc mặc định (cho phép VNet, Azure Load Balancer, từ chối tất cả còn lại).
Liên kết (Association)	NSG có thể gắn với Subnet hoặc NIC.