Nhóm bảo mật mạng (NSG) trong Azure là gì?
Nhóm bảo mật mạng (Network Security Group - NSG) là tập hợp các quy tắc bảo mật cho phép kiểm soát lưu lượng mạng đến và đi từ các tài nguyên Azure trong mạng ảo. NSG hoạt động như một tường lửa ảo cơ bản, lọc gói tin ở lớp mạng (Layer 3 và Layer 4 của mô hình OSI) dựa trên địa chỉ IP nguồn/đích, cổng và giao thức.
Vai trò chính của NSG
- Kiểm soát truy cập mạng giữa các máy ảo, subnet và tài nguyên Azure
- Cung cấp phương pháp quản lý quy tắc kiểm soát truy cập hiệu quả cho nhiều máy ảo cùng lúc
- Áp dụng được cho cả subnet trong mạng ảo và giao diện mạng (NIC) riêng lẻ
- Duy trì tư thế bảo mật nhất quán cho nhóm tài nguyên đám mây
So sánh NSG và Azure Firewall
NSG là giải pháp lọc gói tin cơ bản ở Layer 3-4, trong khi Azure Firewall là dịch vụ tường lửa được quản lý hoàn toàn, hỗ trợ lọc và phân tích ở Layer 3, 4 và 7 (lớp ứng dụng). Azure Firewall cung cấp tính năng thông tin mối đe dọa (threat intelligence), khả năng mở rộng không giới hạn và SLA 99,99% độ sẵn sàng.
Khi nào nên dùng Azure Firewall thay vì NSG?
- Cần kiểm tra gói tin sâu (deep packet inspection) ở lớp ứng dụng (Layer 7)
- Yêu cầu lọc lưu lượng dựa trên thông tin mối đe dọa (threat intelligence)
- Cần quản trị tập trung cho nhiều mạng ảo (VNet) và subscription
- Yêu cầu ghi nhật ký và giám sát chi tiết cho tuân thủ quy định
Cách tạo và quản lý NSG trong Azure
- Đăng nhập Azure Portal → Tạo tài nguyên → Mạng → Nhóm bảo mật mạng
- Chọn subscription và nhóm tài nguyên
- Đặt tên và chọn khu vực
- Sau khi tạo, cấu hình quy tắc bảo mật đến (inbound) và đi (outbound)
- Kết hợp NSG với subnet hoặc NIC của máy ảo
Tìm kiếm NSG hiện có
Trong Azure Portal, tìm kiếm "Network security groups" trong hộp tìm kiếm "Tất cả dịch vụ" để xem danh sách tất cả NSG trong subscription.
Lưu ý quan trọng
Mặc dù NSG cung cấp bảo vệ cơ bản, nhưng các doanh nghiệp thường triển khai cả NSG (cho bảo vệ trong subnet) và Azure Firewall (cho bảo vệ ranh mạng và kiểm tra lớp ứng dụng) để đạt chiến lược bảo mật đa lớp (defense in depth).