Công dụng Network Security Group (NSG) trong Azure
NSG là tài nguyên Azure chứa danh sách quy tắc bảo mật (Security Rules) cho phép/từ chối lưu lượng mạng đến (inbound) và đi (outbound) tới tài nguyên Azure (VM, VMSS, App Service Environment, AKS node, Application Gateway, v.v.).
- Áp dụng cho Subnet (toàn bộ tài nguyên trong subnet) hoặc Network Interface (NIC) (cụ thể 1 VM).
- Cung cấp giao diện thống nhất cập nhật kiểm soát truy cập cho nhiều VM cùng lúc.
- Quy tắc xử lý theo thứ tự ưu tiên (Priority: 100–4099, số nhỏ = ưu tiên cao).
- Mặc định: Allow VNet Inbound, Allow Internet Outbound, Deny All Inbound (Internet), Deny All Outbound (Internet) – có thể ghi đè.
NSG có phải Firewall không?
Khác nhau.
| Đặc điểm | NSG | Azure Firewall |
|---|---|---|
| OSI Layer | Layer 3 (Network) + Layer 4 (Transport) | Layer 3, 4, 7 (Application) |
| Chức năng | Basic stateless/stateful filtering (5-tuple) | Full L7 inspection: App ID, FQDN, TLS Inspect, IDPS, Threat Intel |
| Stateful | Có (connection tracking) | Có (full stateful) |
| SNAT/DNAT | Không (cần NAT Gateway/LB) | Có built-in |
| High Availability | Không (per region) | Có (AZ-aware, auto-scale) |
| Chi phí | Miễn phí | Trả phí (per hour + data processed) |
→ NSG = basic firewall lọc layer 3/4. Azure Firewall = managed firewall service toàn diện layer 3/4/7.
Khác biệt NSG và ASG (Application Security Group)
- NSG: Tài nguyên Azure, chứa quy tắc allow/deny dựa trên IP/CIDR/Port/Protocol.
- ASG: Đối tượng logic bên trong NSG – gom nhóm VM theo vai trò ứng dụng (ví dụ: "WebServers", "AppServers", "DBservers").
- Quy tắc NSG tham chiếu ASG làm Source/Destination thay vì IP/CIDR → dễ quản trị, scale tự động khi VM scale out/in.
Vai trò NSG trong Cloud Services
- Áp dụng cùng một posture bảo mật cho nhóm tài nguyên (cùng tier/app).
- Binding port tập trung: tất cả instance trong cluster mở cùng port → quản trị 1 chỗ.
- Micro-segmentation: tách tier (Web/App/DB) bằng NSG + ASG.
Cơ chế hoạt động Azure NSG
- Tạo NSG trong Resource Group.
- Thêm Security Rules (Inbound/Outbound): Priority, Name, Port, Protocol, Source/Destination (IP/CIDR/Service Tag/ASG), Action (Allow/Deny).
- Gán NSG cho Subnet hoặc NIC.
- Azure platform enforce quy tắc trên host/virtual switch trước khi traffic đến VM.
- Flow Log (NSG Flow Logs) → Log Analytics / Storage / Event Hub để giám sát, SIEM.
Tạo NSG trên Azure Portal
- Portal → Create a resource → Networking → Network Security Group.
- Điền: Subscription, Resource Group, Name, Region.
- Create → sau khi deploy → Settings → Inbound/Outbound security rules → Add.
- Associate: Subnets → + Associate → chọn VNet + Subnet. Hoặc Network Interfaces → + Associate → chọn NIC.
NSG có phải Firewall không? (Xác nhận lại)
NSG hoạt động như basic firewall (layer 3/4) – software-defined filtering. Azure Firewall = managed service robust, L7 inspection, threat intelligence, auto-scale, SNAT/DNAT, forced tunneling. Dùng kết hợp: NSG ở NIC/Subnet (micro-seg), Azure Firewall ở hub (perimeter, egress inspection).
Khác biệt Security Group và Firewall (AWS/Azure chung)
- Security Group (SG/NSG): Stateful, allow rules only (implicit deny), gắn vào ENI/NIC, quản trị dễ, miễn phí.
- Firewall (Azure Firewall / AWS Network Firewall): Stateful + L7, allow/deny, centralized, HA, threat intel, TLS inspect, chi phí cao.
ASG và NSG là gì?
NSG (Network Security Group): Tài nguyên kiểm soát traffic mạng trong VNet.
ASG (Application Security Group): Object logic gom VM theo vai trò app, dùng trong rule NSG thay vì IP tĩnh. Cả 2 là resource chính quản trị traffic trong VNet.
ASG trong Azure
Tính năng giúp quản trị rule NSG dễ dàng: tạo ASG "WebTier" → gán NIC của tất cả web server vào ASG này → rule NSG: Source: Internet, Destination: ASG "WebTier", Port: 443, Allow. Khi scale out VMSS, VM mới tự động nhận rule nếu gán vào ASG.
Khác biệt NSG và Application Security Group
| Tiêu chí | NSG | ASG |
|---|---|---|
| Loại | Tài nguyên enforcement (chứa rules) | Object tham chiếu (không chứa rule) |
| Cấp độ | Subnet hoặc NIC | NIC level (gán vào NIC) |
| Chức năng | Allow/Deny traffic based on 5-tuple | Grouping VM by application role |
| Scope | Inbound/Outbound subnet/NIC | Source/Destination trong rule NSG |
Khác biệt Azure Firewall và NSG
- Azure Firewall: Layer 3/4/7, managed, HA, auto-scale, Threat Intelligence, TLS Inspection, FQDN filtering, SNAT/DNAT, Force Tunneling, chi phí cao.
- NSG: Layer 3/4, basic filtering, free, gắn Subnet/NIC, không L7, không HA tự động.
- Best Practice: Dùng cả hai – NSG cho micro-segmentation (East-West), Azure Firewall cho perimeter/egress (North-South) và L7 inspection.