Kumpulan Keselamatan Rangkaian dan Kumpulan Keselamatan Aplikasi

Kumpulan Keselamatan Rangkaian (NSG) bertindak sebagai tembok api maya untuk sumber Azure. Ia mengandungi senarai peraturan keselamatan yang membenarkan atau menolak trafik rangkaian masuk dan keluar berdasarkan IP sumber, IP destinasi, nombor port dan protokol. NSG boleh dikaitkan dengan subrangkaian (mempengaruhi semua sumber dalam subrangkaian) atau dengan antara muka rangkaian individu (mempengaruhi satu VM). Apabila kedua-dua NSG subrangkaian dan NSG NIC wujud, Azure menilai kedua-duanya — untuk trafik masuk, NSG subrangkaian digunakan dahulu; untuk trafik keluar, NSG NIC digunakan dahulu.

Setiap peraturan NSG mempunyai sifat berikut: Keutamaan — nombor antara 100 hingga 4096; nombor yang lebih rendah dinilai dahulu. Sumber/Destinasi — alamat IP, julat CIDR, tag perkhidmatan atau kumpulan keselamatan aplikasi. Port Sumber/Destinasi — nombor atau julat port tertentu (contohnya, 80, 443, 3389 atau 1024-65535). Protokol — TCP, UDP, ICMP atau Mana-mana. Tindakan — Allow atau Deny. Peraturan dinilai mengikut susunan keutamaan; peraturan pertama yang sepadan akan digunakan. Jika tiada peraturan yang sepadan, peraturan lalai digunakan: tolak semua trafik masuk dan benarkan semua trafik keluar.

Setiap NSG disertakan dengan tiga peraturan lalai masuk dan tiga peraturan lalai keluar dengan keutamaan 65000-65500 yang tidak boleh dipadamkan. Peraturan lalai masuk: AllowVnetInBound (benarkan trafik daripada VNet), AllowAzureLoadBalancerInBound (benarkan siasatan kesihatan Azure), DenyAllInBound (tolak semua yang lain). Peraturan lalai keluar: AllowVnetOutBound, AllowInternetOutBound, DenyAllOutBound. Anda boleh mengatasi lalai dengan menambah peraturan yang mempunyai nombor keutamaan lebih rendah (100-64999), yang berkuat kuasa sebelum peraturan lalai.

Tag perkhidmatan ialah kumpulan julat alamat IP yang telah ditentukan untuk perkhidmatan Azure. Tag ini membolehkan anda menulis peraturan NSG yang ringkas tanpa menentukan senarai panjang alamat IP yang berubah dari semasa ke semasa. Tag perkhidmatan yang biasa termasuk: Internet — semua alamat IP di luar VNet. VirtualNetwork — semua IP dalam VNet. AzureLoadBalancer — IP penyeimbang beban infrastruktur Azure. Storage — IP perkhidmatan Azure Storage untuk rantau yang dipilih. AzureActiveDirectory — titik akhir Entra ID. Microsoft menyelenggara tag ini secara automatik, jadi peraturan NSG anda kekal tepat walaupun IP perkhidmatan berubah.

Mengaitkan NSG dengan subrangkaian akan menggunakan peraturannya pada semua sumber dalam subrangkaian tersebut, menjadikannya cara paling cekap untuk menguatkuasakan dasar rangkaian pada skala besar. Contohnya, mengaitkan NSG 'DenyRDP' dengan subrangkaian peringkat data menghalang mana-mana VM dalam subrangkaian itu daripada diakses melalui RDP (port 3389) dari luar — tanpa mengira perkara yang dibenarkan oleh NSG peringkat NIC. NSG peringkat subrangkaian ini bertindak sebagai barisan pertahanan pertama sebelum trafik sampai ke VM individu, sekali gus mengurangkan permukaan serangan pada sempadan rangkaian.

Kumpulan Keselamatan Aplikasi (ASG) membolehkan anda mengumpulkan antara muka rangkaian VM Azure mengikut peranan aplikasi dan bukannya alamat IP. Contohnya, anda mencipta ASG bernama webServers, appServers dan dbServers, kemudian menetapkan NIC setiap VM kepada ASG yang sesuai. Dalam peraturan NSG, anda kemudiannya boleh menulis: 'Benarkan trafik daripada webServers kepada appServers pada port 8080' — tanpa menentukan sebarang alamat IP. Apabila anda menambah atau mengalih keluar VM, anda hanya perlu mengemas kini keahlian ASGnya, dan semua peraturan NSG akan digunakan dengan betul secara automatik tanpa sebarang perubahan peraturan.

Setelah ASG ditentukan dan VM ditetapkan, anda menulis peraturan NSG yang merujuk ASG sebagai sumber atau destinasi. Pendekatan ini lebih mudah diselenggara berbanding peraturan berasaskan IP kerana: Tiada pengurusan IP — anda tidak perlu mengetahui IP VM; keahlian ASG mengurus pemetaan tersebut. Penskalaan dinamik — VM baharu mewarisi peraturan yang betul secara automatik apabila ditambahkan kepada ASG yang tepat. Kejelasan semantik — peraturan dibaca secara semula jadi ('webServers → appServers pada 8080') dan bukannya sebagai julat IP yang sukar difahami. ASG amat berguna dalam persekitaran dinamik yang VMnya kerap ditambah atau digantikan.

Log Aliran NSG merekodkan maklumat tentang semua trafik IP yang mengalir melalui NSG, termasuk IP sumber dan destinasi, port, protokol, sama ada trafik dibenarkan atau ditolak, serta bait yang dipindahkan. Log aliran ditulis ke akaun Azure Storage dalam format JSON dan boleh divisualkan dalam alat Analitis Trafik Azure Network Watcher. Log aliran amat penting untuk menyelesaikan masalah kesalinghubungan ('mengapa trafik ini disekat?'), menjalankan siasatan keselamatan dan menyediakan laporan pematuhan yang memerlukan bukti corak trafik.

Tiga kesilapan NSG biasa yang menyebabkan masalah kesalinghubungan: Terlupa susunan penilaian — jika peraturan Deny dengan keutamaan 100 wujud dan peraturan Allow anda mempunyai keutamaan 200, trafik akan ditolak kerana nombor keutamaan yang lebih rendah diutamakan. Menyekat siasatan kesihatan Azure — siasatan kesihatan Load Balancer datang daripada IP 168.63.129.16; menyekat sumber ini menyebabkan bahagian belakang penyeimbang beban kelihatan tidak sihat dan berhenti menerima trafik. NSG subrangkaian dan NIC yang bertindih — trafik mesti melepasi kedua-dua penilaian NSG; peraturan yang membenarkan trafik pada NSG subrangkaian masih akan disekat jika NSG NIC menolaknya.

NSG dan Azure Firewall saling melengkapi tetapi berbeza: NSG — teragih, dilampirkan pada subrangkaian dan NIC, penapisan Lapisan 3/4 (IP dan port), tiada pengelogan trafik secara lalai, percuma dengan setiap VNet. Azure Firewall — berpusat, perkhidmatan terurus dalam VNet hab, penapisan Lapisan 3/4 DAN Lapisan 7 (FQDN, URL, IDPS), pengelogan penuh melalui Azure Monitor dan kos kira-kira $1,000+/bulan. Gunakan NSG untuk perimeter asas dan pengasingan peringkat. Gunakan Azure Firewall apabila anda memerlukan penguatkuasaan berpusat dan boleh diaudit bagi akses internet keluar dengan penapisan FQDN, risikan ancaman atau pemeriksaan TLS.

Apabila NSG dikaitkan dengan subrangkaian dan NIC, anda mungkin sukar mengenal pasti peraturan yang sebenarnya digunakan. Azure menyediakan paparan Peraturan Keselamatan Berkesan dalam portal untuk NIC mana-mana VM, yang menunjukkan hasil gabungan semua peraturan NSG daripada peringkat subrangkaian dan NIC. Ini ialah senarai muktamad perkara yang sebenarnya dibenarkan atau ditolak untuk VM tersebut. Alat pengesahan aliran IP Azure Network Watcher melangkah lebih jauh — anda menentukan IP/port sumber dan destinasi, lalu alat itu memberitahu anda serta-merta sama ada trafik akan dibenarkan atau ditolak serta peraturan khusus yang bertanggungjawab.

Dalam pelajaran ini anda telah mempelajari bahawa: NSG mengandungi peraturan benarkan/tolak yang dinilai mengikut susunan keutamaan untuk menapis trafik bagi subrangkaian atau antara muka rangkaian individu, tag perkhidmatan memudahkan peraturan dengan mewakili kumpulan dinamik julat IP perkhidmatan Azure, dan Kumpulan Keselamatan Aplikasi membolehkan pengumpulan VM berasaskan peranan untuk peraturan NSG tanpa penyelenggaraan yang boleh diskalakan bersama persekitaran anda. Seterusnya kita akan meneroka Peering VNet dan Titik Akhir Perkhidmatan untuk menyambungkan sumber merentas VNet serta kepada perkhidmatan Azure.