Cách thay đổi Network Security Group (NSG) trên Azure

Azure Network Security Group (NSG) - Quản trị & Thay đổi

Network Security Group (NSG) là tài nguyên Azure chứa danh sách quy tắc bảo mật (Security Rules) cho phép/từ chối traffic mạng vào/ra các tài nguyên Azure (VM, Subnet, NIC). NSG hoạt động ở Layer 3/4 (Network/Transport).

Cấu trúc quy tắc NSG

Cách thay đổi NSG trên Azure Portal

Đăng nhập portal.azure.com
Tìm kiếm Network security groups > Chọn NSG cần sửa
Menu bên trái: Inbound security rules hoặc Outbound security rules
Thêm mới: Click + Add > Điền thông tin > Add
Sửa: Click tên rule > Chỉnh sửa > Save
Xóa: Click ... > Delete
Sắp xếp priority: Kéo thả hoặc chỉnh số priority

Cách thay đổi NSG bằng Azure CLI

# Tạo rule mới
az network nsg rule create \
  --resource-group myRG \
  --nsg-name myNSG \
  --name Allow-HTTP \
  --priority 100 \
  --source-address-prefixes Internet \
  --destination-port-ranges 80 \
  --protocol Tcp \
  --access Allow \
  --direction Inbound

# Cập nhật rule
az network nsg rule update \
  --resource-group myRG \
  --nsg-name myNSG \
  --name Allow-HTTP \
  --priority 110 \
  --destination-port-ranges 8080

# Xóa rule
az network nsg rule delete --resource-group myRG --nsg-name myNSG --name Allow-HTTP

Cách thay đổi NSG bằng PowerShell

# Lấy NSG
$nsg = Get-AzNetworkSecurityGroup -ResourceGroupName myRG -Name myNSG

# Thêm rule
Add-AzNetworkSecurityRuleConfig -NetworkSecurityGroup $nsg `
  -Name Allow-HTTPS -Priority 120 -SourceAddressPrefix Internet `
  -DestinationPortRange 443 -Protocol Tcp -Access Allow -Direction Inbound

# Áp dụng thay đổi
Set-AzNetworkSecurityGroup -NetworkSecurityGroup $nsg

NSG vs Azure Firewall vs ASG

Thuộc tính	Mô tả
Name	Tên quy tắc (duy nhất trong NSG)
Priority	Số 100-4096 (thấp hơn = ưu tiên cao hơn)
Source/Destination	IP CIDR, Service Tag (Internet, VirtualNetwork, AzureLoadBalancer), Application Security Group (ASG)
Protocol	TCP, UDP, ICMP, ESP, AH, * (All)
Direction	Inbound (vào) / Outbound (ra)
Port Range	Cổng đích (vd: 80, 443, 22, 3389, 1000-2000)
Action	Allow / Deny

Đặc điểm	NSG	Azure Firewall	ASG (App Security Group)
Layer	L3/L4	L3/L4/L7	Logical grouping
Stateful	Có	Có (Full stateful)	N/A
FQDN/SQL/Threat Intel	Không	Có	Không
SNAT/DNAT	Không	Có	Không
Chi phí	Miễn phí	~$1.25/hr + data	Miễn phí

Best Practice NSG

Gán NSG tại Subnet (khuyên dùng) thay vì NIC riêng lẻ
Dùng Service Tags (Internet, VirtualNetwork, AzureCloud, Storage, Sql...) thay vì hardcode IP
Dùng ASG nhóm VM theo vai trò (Web, App, DB) > Rule trỏ đến ASG
Priority: Leave gaps (100, 200, 300...) để chèn rule mới
Default rules: Không xóa, hiểu rõ DenyAllInbound/AllowVnetInbound/AllowAzureLoadBalancerInbound
Log: Bật NSG Flow Logs gửi Log Analytics/Storage để audit, anomaly detection

Lưu ý: Không thể rename NSG

Azure không hỗ trợ đổi tên NSG. Phải tạo NSG mới với tên mong muốn, copy rules, associate lại resources, rồi xóa NSG cũ.