Network Security Group (NSG) là gì?
NSG là tường lửa phân tán (distributed firewall) của Azure, chứa tập quy tắc Allow/Deny cho traffic inbound/outbound dựa trên: nguồn/đích (IP/CIDR/Service Tag/Application Security Group), cổng, giao thức, ưu tiên (priority 100-4096).
Quy tắc mặc định (Default Rules) của Azure NSG
| Tên quy tắc | Hướng | Ưu tiên | Hành động | Mô tả |
|---|
| AllowVNetInBound | Inbound | 65000 | Allow | Cho phép traffic trong cùng VNet |
| AllowAzureLoadBalancerInBound | Inbound | 65001 | Allow | Health probe Azure LB |
| DenyAllInBound | Inbound | 65500 | Deny | Chặn tất cả inbound còn lại |
| AllowVNetOutBound | Outbound | 65000 | Allow | Cho phép traffic ra trong VNet |
| AllowInternetOutBound | Outbound | 65001 | Allow | Cho phép ra Internet |
| DenyAllOutBound | Outbound | 65500 | Deny | Chặn tất cả outbound còn lại |
Quy tắc mặc định không thể xóa, chỉ ghi đè bằng quy tắc ưu tiên cao hơn (số nhỏ hơn).
Chỉnh sửa NSG trên Azure Portal
- Tìm Network security groups → chọn NSG cần sửa.
- Menu Settings > Inbound security rules hoặc Outbound security rules.
- Nhấn + Add để tạo quy tắc mới (ghi đè default) hoặc Edit quy tắc tùy chỉnh hiện có.
- Điền: Source/Destination (Any, IP Addresses, Service Tag, ASG), Service (HTTP, HTTPS, RDP, Custom), Port ranges, Protocol, Action (Allow/Deny), Priority (100-4096), Name, Description.
- Nhấn Add / Save.
Application Security Group (ASG) – Quản trị quy tắc theo ứng dụng
- Tạo ASG: Create a resource > Application security group → đặt tên, region, resource group.
- Gán ASG cho NIC của VM: VM → Networking → Application security groups → Add ASG vừa tạo.
- Trong NSG rule: Source/Destination chọn Application security group → chọn ASG.
- Lợi ích: Không cần quản lý IP, tự động áp dụng khi scale VM.
Security Group trên AWS (EC2/VPC)
- Stateful (khác NSG stateless): Allow inbound tự động allow response outbound.
- Default SG: Allow all traffic giữa các instance cùng SG; Deny all inbound từ ngoài.
- Chỉnh sửa: EC2 Console → Security Groups → chọn SG → Edit inbound/outbound rules → Save rules.
- Quota: 2500 SG/VPC, 60 rules/SG (mặc định), có thể tăng quota.
So sánh NSG (Azure) vs Security Group (AWS)
| Đặc điểm | Azure NSG | AWS Security Group |
|---|
| Stateful | Không (Stateless) | Có (Stateful) |
| Áp dụng cấp | Subnet & NIC | ENI (Instance level) |
| Priority | Có (100-4096) | Không (đánh giá tất cả allow) |
| Service Tag | Có (AzureCloud, AzureLoadBalancer...) | Không (dùng Prefix List) |
| ASG / SG grouping | Application Security Group | Security Group referencing SG |
| Default rules | 6 quy tắc ẩn, không xóa | 1 SG default cho VPC |
Giới hạn NSG Azure
- Tối đa 5.000 NSG/subscription (mặc định), 1.000 rules/NSG (mặc định 200, tăng qua support ticket).
- Một NIC/subnet chỉ gán 1 NSG.
Best Practices
- Dùng ASG thay vì IP tĩnh cho workload động.
- Áp dụng NSG ở cấp Subnet cho quản trị tập trung, NIC cho exception.
- Luôn đặt quy tắc Deny All cuối (priority cao) – mặc định đã có.
- Ghi log NSG flow logs → Log Analytics / Sentinel để phát hiện bất thường.
- Test quy tắc mới trong môi trường dev/staging trước production.
- Document mọi quy tắc custom: mục đích, owner, review date.
