Network Security Group (NSG) là gì?
Network Security Group (NSG) trong Microsoft Azure là tài nguyên chứa danh sách quy tắc bảo mật (Security Rules) cho phép hoặc từ chối lưu lượng mạng đi vào (Inbound) và đi ra (Outbound) các tài nguyên Azure (VM, Subnet, NIC, Scale Set, App Service Environment...). NSG hoạt động ở Layer 3 (Network) và Layer 4 (Transport) của mô hình OSI.
Cấu trúc quy tắc NSG (Security Rule)
Mỗi quy tắc gồm các thuộc tính:
- Name: Tên duy nhất trong NSG.
- Priority: 100–4099 (số nhỏ = ưu tiên cao). Quy tắc mặc định có priority 65000+.
- Source / Destination: IP CIDR, Service Tag (Internet, VirtualNetwork, AzureLoadBalancer...), Application Security Group (ASG).
- Protocol: TCP, UDP, ICMP, ESP, AH, * (tất cả).
- Direction: Inbound / Outbound.
- Port Range: Cổng đơn (80), dải (100-200), * (tất cả).
- Action: Allow / Deny.
- Description: Mô tả ý định quy tắc.
Áp dụng NSG: Nic vs Subnet
- Gán cho Subnet: Áp dụng cho TẤT CẢ tài nguyên trong subnet (VM, Scale Set, AKS node...). Quản trị tập trung, nhất quán.
- Gán cho NIC (Network Interface): Áp dụng cho một VM cụ thể. Ưu tiên cao hơn Subnet NSG (xử lý trước).
- Best Practice: Gán NSG ở cấp Subnet cho môi trường chung, chỉ gán NIC khi cần ngoại lệ đặc thù.
Xử lý lưu lượng: Thứ tự ưu tiên
- Inbound: NIC NSG (nếu có) → Subnet NSG (nếu có) → Default Rules.
- Outbound: NIC NSG (nếu có) → Subnet NSG (nếu có) → Default Rules.
Quy tắc AllowVNetInBound, AllowAzureLoadBalancerInBound, DenyAllInBound là mặc định (priority 65000+).
NSG so với Azure Firewall
| Tiêu chí | NSG | Azure Firewall |
|---|---|---|
| Layer OSI | L3, L4 | L3, L4, L7 (Application) |
| Stateful | Có | Có (Full stateful) |
| Threat Intelligence | Không | Có (Microsoft Threat Intelligence) |
| FQDN Filtering | Không | Có (SQL, Storage, Wildcard FQDN) |
| SNAT/DNAT | Không | Có (Source/Destination NAT) |
| Logging | NSG Flow Logs (NSG Flow Logs → Storage/Log Analytics) | Structured logs (Log Analytics, Event Hub, Storage) |
| HA / Scale | Tự động (managed) | Tự động scale, Zone redundancy (99.99%) |
| Chi phí | Miễn phí | Phí theo giờ + dữ liệu xử lý |
| Use case | Micro-segmentation, East-West traffic, Basic filtering | Perimeter security, North-South, App-layer inspection, Compliance |
NSG so với ASG (Application Security Group)
- NSG: Tài nguyên chứa quy tắc, gán cho Subnet/NIC.
- ASG: Đối tượng logic nhóm các VM theo vai trò (ví dụ:
asg-web,asg-db,asg-app). - Kết hợp: Trong quy tắc NSG, dùng ASG làm Source/Destination thay vì IP CIDR → Quản trị dễ dàng khi scale out VM.
Tạo NSG qua Azure Portal
- Portal → Create a resource → Tìm Network Security Group → Create.
- Subscription, Resource Group, Name, Region.
- Create → Vào NSG vừa tạo → Inbound/Outbound security rules → Add.
- Điền quy tắc → Add.
- Gán NSG: Subnets → + Associate → Chọn VNet + Subnet. Hoặc Network interfaces → + Associate.
Best Practices NSG
- Đặt tên quy tắc có ý nghĩa:
Allow-HTTP-Inbound-WebTier,Deny-RDP-From-Internet. - Dùng Service Tags (Internet, VirtualNetwork, AzureCloud, Storage, Sql...) thay vì IP CIDR cứng — tự động cập nhật dải IP Azure.
- Dùng ASG cho workload động (VMSS, AKS).
- Tuân thủ Least Privilege: Mặc định Deny All, chỉ Allow cần thiết.
- Bật NSG Flow Logs → gửi Log Analytics Workspace → Query/KQL, Alert, Workbook.
- Test quy tắc với IP Flow Verify (Network Watcher) trước khi áp dụng production.
- Không mở RDP/SSH (3389/22) ra Internet → Dùng Azure Bastion, Just-in-Time VM Access, VPN/ExpressRoute.
Khi nào dùng Azure Firewall thay vì NSG?
- Cần kiểm tra lớp ứng dụng (L7): HTTP host header, SQL TDS, TLS SNI.
- Cần Threat Intelligence-based filtering (chặn IP độc biết từ Microsoft).
- Cần SNAT/DNAT cho outbound/inbound công khai.
- Cần logging cấu trúc sẵn sàng cho SIEM/Sentinel.
- Môi trường production quy mô lớn, yêu cầu HA cross-zone.
Kết luận
NSG là "tường lửa phân phối" (distributed firewall) miễn phí, mạnh ở micro-segmentation East-West trong VNet. Azure Firewall là "tường lửa biên" (perimeter firewall) có phí, mạnh ở North-South, L7 inspection, Threat Intel. Kiến trúc tốt: Cả hai cùng dùng — NSG cho subnet/VM, Azure Firewall cho hub VNet / Azure Firewall Manager (central policy).