Verkon suojausryhmät ja sovelluksen suojausryhmät

Network Security Group (NSG) toimii Azure-resurssien virtuaalisena palomuurina. Se sisältää luettelon suojaussäännöistä, jotka sallivat tai estävät saapuvan ja lähtevän verkkoliikenteen lähde-IP-osoitteen, kohde-IP-osoitteen, porttinumeron ja protokollan perusteella. NSG-ryhmiä voidaan liittää aliverkkoihin (jolloin ne vaikuttavat kaikkiin aliverkon resursseihin) tai yksittäisiin verkkoliittymiin (jolloin ne vaikuttavat yhteen näennäiskoneeseen). Kun sekä aliverkon NSG että verkkokortin NSG ovat käytössä, Azure arvioi molemmat: saapuvassa liikenteessä aliverkon NSG käsitellään ensin ja lähtevässä liikenteessä verkkokortin NSG käsitellään ensin.

Jokaisella NSG-säännöllä on seuraavat ominaisuudet: Prioriteetti — luku välillä 100–4096; pienemmät luvut arvioidaan ensin. Lähde/kohde — IP-osoite, CIDR-alue, palvelutunniste tai sovelluksen suojausryhmä. Lähde-/kohdeportti — tietyt porttinumerot tai porttialueet (esimerkiksi 80, 443, 3389 tai 1024–65535). Protokolla — TCP, UDP, ICMP tai Any. Toiminto — Allow tai Deny. Säännöt arvioidaan prioriteettijärjestyksessä, ja ensimmäinen täsmäävä sääntö ratkaisee. Jos mikään sääntö ei täsmää, käytetään oletussääntöjä: kaikki saapuva liikenne estetään ja kaikki lähtevä liikenne sallitaan.

Jokainen NSG sisältää kolme saapuvan liikenteen oletussääntöä ja kolme lähtevän liikenteen oletussääntöä, joiden prioriteetit ovat välillä 65000–65500 ja joita ei voi poistaa. Saapuvan liikenteen oletussäännöt: AllowVnetInBound (salli liikenne VNet-verkosta), AllowAzureLoadBalancerInBound (salli Azuren kuntotarkistukset), DenyAllInBound (estä kaikki muu). Lähtevän liikenteen oletussäännöt: AllowVnetOutBound, AllowInternetOutBound, DenyAllOutBound. Voit ohittaa oletukset lisäämällä sääntöjä, joiden prioriteettiluvut ovat pienempiä (100–64999) ja jotka käsitellään ennen oletussääntöjä.

Palvelutunnisteet ovat Azure-palveluiden ennalta määritettyjä IP-osoitealueiden ryhmiä. Niiden avulla voit kirjoittaa tiiviitä NSG-sääntöjä määrittämättä pitkiä luetteloita ajan mittaan muuttuvista IP-osoitteista. Yleisiä palvelutunnisteita ovat seuraavat: Internet — kaikki VNet-verkon ulkopuoliset IP-osoitteet. VirtualNetwork — kaikki VNet-verkon IP-osoitteet. AzureLoadBalancer — Azuren infrastruktuurin kuormituksen tasaajan IP-osoite. Storage — valitun alueen Azure Storage -palvelun IP-osoitteet. AzureActiveDirectory — Entra ID -päätepisteet. Microsoft ylläpitää näitä tunnisteita automaattisesti, joten NSG-sääntösi pysyvät ajan tasalla palveluiden IP-osoitteiden muuttuessa.

NSG-ryhmän liittäminen aliverkkoon kohdistaa sen säännöt kaikkiin kyseisen aliverkon resursseihin. Tämä on tehokkain tapa valvoa verkkokäytäntöjä laajassa ympäristössä. Jos esimerkiksi liität DenyRDP-NSG-ryhmän tietokerroksen aliverkkoon, yksikään kyseisen aliverkon näennäiskone ei ole käytettävissä RDP:n (portti 3389) kautta ulkopuolelta riippumatta siitä, mitä verkkokorttitason NSG-ryhmät sallivat. Tämä aliverkkotason NSG toimii ensimmäisenä puolustuslinjana jo ennen kuin liikenne saavuttaa yksittäiset näennäiskoneet, mikä pienentää verkkorajapinnan hyökkäyspinta-alaa.

Application Security Group (ASG) -ryhmien avulla voit ryhmitellä Azure-näennäiskoneiden verkkoliittymät sovelluksen roolin eikä IP-osoitteen perusteella. Voit esimerkiksi luoda ASG-ryhmät nimillä webServers, appServers ja dbServers ja määrittää kunkin näennäiskoneen verkkokortin sopivaan ASG-ryhmään. Sen jälkeen voit kirjoittaa NSG-sääntöihin: Salli liikenne ryhmästä webServers ryhmään appServers portissa 8080 — määrittämättä IP-osoitteita. Kun lisäät näennäiskoneita tai poistat niitä, päivität vain niiden ASG-jäsenyyden, ja kaikki NSG-säännöt kohdistuvat automaattisesti oikein ilman sääntömuutoksia.

Kun ASG-ryhmät on määritetty ja näennäiskoneet liitetty niihin, voit kirjoittaa NSG-sääntöjä, joissa ASG-ryhmiä käytetään lähteenä tai kohteena. Tämä lähestymistapa on paljon helpommin ylläpidettävä kuin IP-osoitteisiin perustuvat säännöt seuraavista syistä: IP-osoitteiden hallintaa ei tarvita — sinun ei tarvitse tietää näennäiskoneiden IP-osoitteita, sillä ASG-jäsenyys hoitaa yhdistämisen. Dynaaminen skaalaus — uudet näennäiskoneet perivät oikeat säännöt automaattisesti, kun ne lisätään oikeaan ASG-ryhmään. Semanttinen selkeys — säännöt ovat helposti ymmärrettäviä (webServers → appServers portissa 8080) epäselvien IP-alueiden sijaan. ASG-ryhmät ovat erityisen hyödyllisiä dynaamisissa ympäristöissä, joissa näennäiskoneita lisätään tai korvataan usein.

NSG-liikennevirtalokit tallentavat tietoja kaikesta NSG:n kautta kulkevasta IP-liikenteestä, kuten lähde- ja kohde-IP-osoitteesta, portista, protokollasta, siitä sallittiinko vai estettiinkö liikenne, sekä siirretyistä tavuista. Liikennevirtalokit kirjoitetaan Azure Storage -tilille JSON-muodossa, ja niitä voidaan visualisoida Azure Network Watcherin Traffic Analytics -työkalulla. Liikennevirtalokit ovat erittäin hyödyllisiä yhteysongelmien vianmäärityksessä (miksi tämä liikenne estetään?), tietoturvatutkimuksissa ja vaatimustenmukaisuusraportoinnissa, jossa tarvitaan näyttöä liikennemalleista.

Kolme yleistä yhteysongelmia aiheuttavaa NSG-virhettä: Arviointijärjestyksen unohtaminen — jos prioriteetin 100 Deny-sääntö on käytössä ja Allow-säännölläsi on prioriteetti 200, liikenne estetään, koska pienemmät prioriteettiluvut käsitellään ensin. Azuren kuntotarkistusten estäminen — Load Balancerin kuntotarkistukset tulevat IP-osoitteesta 168.63.129.16; tämän lähteen estäminen saa kuormituksen tasaajan taustajärjestelmät näyttämään viallisilta, jolloin ne lakkaavat vastaanottamasta liikennettä. Aliverkon ja verkkokortin NSG-ryhmien päällekkäiset määritykset — liikenteen on läpäistävä molemmat NSG-arvioinnit. Aliverkon NSG:ssä liikenteen salliva sääntö ei siis riitä, jos verkkokortin NSG estää liikenteen.

NSG-ryhmät ja Azure Firewall täydentävät toisiaan, mutta ovat eri asioita: NSG-ryhmät — hajautettuja, aliverkkoihin ja verkkokortteihin liitettyjä, tason 3/4 (IP- ja portti-)suodatusta tarjoavia ryhmiä, joissa ei oletusarvoisesti ole liikenteen lokitusta ja jotka sisältyvät jokaiseen VNet-verkkoon ilman erillistä veloitusta. Azure Firewall — keskitetty hallittu palvelu hub-VNet-verkossa, joka tarjoaa tason 3/4 JA tason 7 (FQDN-, URL- ja IDPS-)suodatuksen, täydellisen lokituksen Azure Monitorin kautta ja maksaa noin 1 000 dollaria kuukaudessa tai enemmän. Käytä NSG-ryhmiä perustason reunasuojaukseen ja kerrosten eristämiseen. Käytä Azure Firewallia, kun tarvitset keskitetyn ja todennettavasti valvottavan lähtevän internet-liikenteen hallinnan FQDN-suodatuksella, uhkatiedustelulla tai TLS-tarkastuksella.

Kun NSG-ryhmä on liitetty sekä aliverkkoon että verkkokorttiin, voi olla vaikea hahmottaa, mitä sääntöjä todella sovelletaan. Azure tarjoaa portaalissa minkä tahansa näennäiskoneen verkkokortille Tehokkaat suojaussäännöt -näkymän, joka näyttää kaikkien aliverkko- ja verkkokorttitason NSG-sääntöjen yhdistetyn vaikutuksen. Tämä on kattava luettelo siitä, mikä kyseisen näennäiskoneen liikenteessä todella sallitaan tai estetään. Azure Network Watcherin IP flow verify -työkalu vie asian vielä pidemmälle: määrität lähde- ja kohde-IP-osoitteen sekä portin, ja työkalu ilmoittaa heti, sallittaisiinko vai estettäisiinkö liikenne ja mikä yksittäinen sääntö on siitä vastuussa.

Tässä oppitunnissa opit, että NSG-ryhmät sisältävät sallimis- ja estämissääntöjä, jotka arvioidaan prioriteettijärjestyksessä ja joilla suodatetaan aliverkkojen tai yksittäisten verkkoliittymien liikennettä, palvelutunnisteet yksinkertaistavat sääntöjä kuvaamalla dynaamisia Azure-palveluiden IP-alueiden ryhmiä ja Application Security Group -ryhmät mahdollistavat näennäiskoneiden roolipohjaisen ryhmittelyn, jolloin NSG-säännöt ovat helposti ylläpidettäviä ja skaalautuvat ympäristön mukana. Seuraavaksi tutustumme VNet-verkon vertaisverkotukseen ja palvelupäätepisteisiin, joiden avulla resursseja yhdistetään VNet-verkkojen välillä ja Azure-palveluihin.