Группы сетевой безопасности и группы безопасности приложений

Группа безопасности сети (NSG) действует как виртуальный брандмауэр для ресурсов Azure. Она содержит список правил безопасности, разрешающих или запрещающих входящий и исходящий сетевой трафик на основе IP-адреса источника, IP-адреса назначения, номера порта и протокола. NSG можно связать с подсетями (это затронет все ресурсы в подсети) или отдельными сетевыми интерфейсами (это затронет одну VM). Если существуют NSG подсети и NSG NIC, Azure оценивает обе: для входящего трафика сначала применяется NSG подсети, а для исходящего — NSG NIC.

Каждое правило NSG имеет следующие свойства: Приоритет — число от 100 до 4096; сначала оцениваются меньшие числа. Источник/назначение — IP-адрес, диапазон CIDR, тег службы или группа безопасности приложений. Порт источника/назначения — определённые номера портов или диапазоны (например, 80, 443, 3389 или 1024-65535). Протокол — TCP, UDP, ICMP или любой. Действие — Allow или Deny. Правила оцениваются в порядке приоритета; применяется первое совпавшее правило. Если ни одно правило не совпало, применяются правила по умолчанию: запретить весь входящий и разрешить весь исходящий трафик.

Каждый NSG содержит три правила входящего трафика по умолчанию и три правила исходящего трафика по умолчанию с приоритетами 65000–65500, которые нельзя удалить. Правила входящего трафика по умолчанию: AllowVnetInBound (разрешает трафик из VNet), AllowAzureLoadBalancerInBound (разрешает проверки работоспособности Azure), DenyAllInBound (запрещает всё остальное). Правила исходящего трафика по умолчанию: AllowVnetOutBound, AllowInternetOutBound, DenyAllOutBound. Переопределить правила по умолчанию можно, добавив правила с меньшими номерами приоритета (100–64999), которые сработают раньше правил по умолчанию.

Теги служб — это заранее определённые группы диапазонов IP-адресов для служб Azure. Они позволяют создавать краткие правила NSG, не указывая длинные списки IP-адресов, которые со временем меняются. Распространённые теги служб: Internet — все IP-адреса за пределами VNet. VirtualNetwork — все IP-адреса внутри VNet. AzureLoadBalancer — IP-адрес инфраструктурного балансировщика нагрузки Azure. Storage — IP-адреса службы Azure Storage в выбранном регионе. AzureActiveDirectory — конечные точки Entra ID. Microsoft автоматически поддерживает эти теги в актуальном состоянии, поэтому правила NSG остаются корректными даже при изменении IP-адресов служб.

Связывание NSG с подсетью применяет его правила ко всем ресурсам в этой подсети, что делает такой подход самым эффективным способом масштабного применения сетевых политик. Например, связывание NSG с именем «DenyRDP» с подсетью уровня данных не позволяет обращаться к любой VM в этой подсети через RDP (порт 3389) извне — независимо от того, что разрешают NSG уровня NIC. Такой NSG на уровне подсети действует как первая линия защиты ещё до того, как трафик достигает отдельных VM, уменьшая поверхность атаки на границе сети.

Группы безопасности приложений (ASG) позволяют объединять сетевые интерфейсы VM Azure по роли приложения, а не по IP-адресу. Например, можно создать ASG с именами webServers, appServers и dbServers, а затем назначить NIC каждой VM в соответствующую ASG. После этого в правилах NSG можно написать: «разрешить трафик от webServers к appServers через порт 8080» — без указания IP-адресов. При добавлении или удалении VM достаточно изменить их принадлежность к ASG, и все правила NSG автоматически применятся корректно, без изменения самих правил.

После определения ASG и назначения VM можно создавать правила NSG, в которых ASG указываются как источник или назначение. Такой подход гораздо удобнее правил на основе IP-адресов, поскольку: не требуется управлять IP-адресами — Вам не нужно знать IP-адреса VM, сопоставление выполняется через принадлежность к ASG; поддерживается динамическое масштабирование — новые VM автоматически получают нужные правила при добавлении в правильную ASG; обеспечивается смысловая ясность — правила читаются естественно («webServers → appServers через 8080»), а не выглядят как непонятные диапазоны IP-адресов. ASG особенно полезны в динамических средах, где VM часто добавляются или заменяются.

Журналы потоков NSG записывают сведения обо всём IP-трафике, проходящем через NSG, включая IP-адреса источника и назначения, порт, протокол, результат разрешения или запрета трафика и количество переданных байтов. Журналы потоков записываются в учётную запись Azure Storage в формате JSON, а визуализировать их можно в инструменте Traffic Analytics службы Azure Network Watcher. Журналы потоков незаменимы при устранении проблем с подключением («почему этот трафик блокируется?»), расследовании инцидентов безопасности и подготовке отчётов о соответствии требованиям, где нужны доказательства характера трафика.

Три распространённые ошибки NSG, вызывающие проблемы с подключением: не учитывать порядок оценки — если существует правило Deny с приоритетом 100, а у правила Allow приоритет 200, трафик будет запрещён, поскольку первыми обрабатываются меньшие номера приоритета; блокировать проверки работоспособности Azure — проверки работоспособности Load Balancer поступают с IP-адреса 168.63.129.16; блокировка этого источника приводит к тому, что внутренние серверы балансировщика нагрузки считаются неисправными и перестают получать трафик; создавать пересекающиеся NSG подсети и NIC — трафик должен пройти обе проверки NSG, поэтому правило, разрешающее трафик в NSG подсети, не поможет, если NSG NIC его запрещает.

NSG и Azure Firewall дополняют друг друга, но различаются: NSG — децентрализованные средства, присоединяемые к подсетям и NIC, фильтрация на уровнях 3/4 (IP-адреса и порты), без ведения журналов трафика по умолчанию, бесплатно включены в каждый VNet. Azure Firewall — централизованная управляемая служба в VNet-концентраторе, фильтрация на уровнях 3/4 И 7 (FQDN, URL, IDPS), полное ведение журналов через Azure Monitor и стоимость около 1 000 долларов в месяц и выше. Используйте NSG для базовой защиты периметра и изоляции уровней. Azure Firewall следует использовать, когда требуется централизованное управление с возможностью аудита исходящим доступом в интернет с фильтрацией по FQDN, анализом угроз или проверкой TLS.

Если NSG связан одновременно с подсетью и NIC, бывает трудно определить, какие правила применяются на самом деле. Azure предоставляет на портале представление Действующие правила безопасности для NIC любой VM. В нём показан совокупный результат всех правил NSG на уровне подсети и NIC. Это полный список того, что фактически разрешено или запрещено для данной VM. Инструмент IP flow verify службы Azure Network Watcher позволяет выполнить ещё более точную проверку: Вы указываете IP-адрес и порт источника и назначения, а инструмент сразу сообщает, будет ли трафик разрешён или запрещён, и какое именно правило отвечает за результат.

Проверьте своё понимание концепций Microsoft Azure Fundamentals (AZ-900), рассмотренных в этом уроке.

В этом уроке Вы узнали, что NSG содержат правила разрешения и запрета, оцениваемые в порядке приоритета и фильтрующие трафик для подсетей или отдельных сетевых интерфейсов, теги служб упрощают правила, представляя динамические группы диапазонов IP-адресов служб Azure, а группы безопасности приложений позволяют объединять VM по ролям и создавать правила NSG, не требующие постоянного обслуживания и масштабируемые вместе со средой. Далее мы рассмотрим пиринг VNet и конечные точки служб для подключения ресурсов между VNet и к службам Azure.