Quản lý Network Security Group (NSG) trên Microsoft Azure
NSG (Network Security Group) là tập hợp các quy tắc bảo mật (allow/deny) áp dụng cho tài nguyên Azure (VM, subnet, NIC) để kiểm soát lưu lượng vào/ra (inbound/outbound) dựa trên: nguồn, đích, cổng, giao thức.
1. Tạo NSG mới
- Đăng nhập Azure Portal.
- Create a resource > Networking > Network Security Group.
- Chọn Subscription, Resource Group (hoặc tạo mới), Region, Name > Create.
2. Thêm quy tắc bảo mật (Security Rules)
- Mở NSG vừa tạo > menu Inbound security rules hoặc Outbound security rules.
- Nhấp Add.
- Điền: Source/Destination (IP/CIDR/Service Tag/Application Security Group), Source/Destination Port Ranges, Protocol (TCP/UDP/Any), Action (Allow/Deny), Priority (số càng nhỏ ưu tiên cao), Name, Description.
- Nhấp Add.
3. Gán NSG cho Subnet hoặc NIC
- Subnet: Mở Subnet (trong Virtual Network) > Network Security Group > chọn NSG > Save. Quy tắc áp dụng cho tất cả tài nguyên trong subnet.
- NIC (VM): Mở VM > Networking > chọn NIC > Network Security Group > chọn NSG > Save. Dùng để giới hạn chặt chẽ hơn cho một VM cụ thể.
4. Application Security Group (ASG)
ASG cho phép gom nhóm VM theo ứng dụng (ví dụ: WebServers, DatabaseServers) và dùng ASG làm Source/Destination trong quy tắc NSG – quản lý dễ dàng hơn khi scale out.
5. NSG vs Azure Firewall
| Đặc điểm | NSG | Azure Firewall |
|---|---|---|
| Layer OSI | L3, L4 | L3, L4, L7 |
| Chức năng | Lọc gói tin dựa trên IP/Port/Protocol | Stateful, IDS/IPS, Application FQDN, Threat Intelligence |
| Phạm vi | Subnet/NIC | Mức mạng ảo (VNet), hybrid |
Lưu ý: NSG không thay thế firewall hoàn toàn. Kết hợp NSG + Azure Firewall cho bảo vệ đa lớp.