网络安全组和应用程序安全组

Network Security Group（NSG）充当 Azure 资源的虚拟防火墙。它包含一组安全规则，可根据源 IP、目标 IP、端口号和协议允许或拒绝入站和出站网络流量。NSG 可以与子网关联（影响子网中的所有资源），也可以与单个网络接口关联（影响单个 VM）。如果子网 NSG 和 NIC NSG 同时存在，Azure 会同时评估两者：对于入站流量，先应用子网 NSG；对于出站流量，先应用 NIC NSG。

每条 NSG 规则都具有以下属性：优先级——100 到 4096 之间的数字，数字越小越先评估；源/目标——IP 地址、CIDR 范围、服务标记或应用程序安全组；源/目标端口——特定端口号或端口范围（例如 80、443、3389 或 1024-65535）；协议——TCP、UDP、ICMP 或 Any；操作——Allow 或 Deny。规则按优先级顺序评估，第一条匹配的规则生效。如果没有规则匹配，则应用默认规则：拒绝所有入站流量，并允许所有出站流量。

每个 NSG 都包含三条默认入站规则和三条默认出站规则，优先级为 65000-65500，且无法删除。默认入站规则包括：AllowVnetInBound（允许来自 VNet 的流量）、AllowAzureLoadBalancerInBound（允许 Azure 运行状况探测）、DenyAllInBound（拒绝其他所有流量）。默认出站规则包括：AllowVnetOutBound、AllowInternetOutBound、DenyAllOutBound。您可以添加优先级数字更低（100-64999）的规则来覆盖默认规则，因为这些规则会在默认规则之前生效。

服务标记是 Azure 服务 IP 地址范围的预定义组，可让您编写简洁的 NSG 规则，而不必指定会随时间变化的长串 IP 地址列表。常见的服务标记包括：Internet——VNet 外部的所有 IP 地址；VirtualNetwork——VNet 内的所有 IP；AzureLoadBalancer——Azure 基础设施负载均衡器的 IP；Storage——所选区域中 Azure Storage 服务的 IP；AzureActiveDirectory——Entra ID 终结点。Microsoft 会自动维护这些标记，因此即使服务 IP 发生变化，您的 NSG 规则仍能保持准确。

将 NSG 与子网关联后，其规则会应用于该子网中的所有资源，因此这是大规模实施网络策略最高效的方式。例如，将名为 'DenyRDP' 的 NSG 与数据层子网关联，可以阻止该子网中的任何 VM 从外部通过 RDP（端口 3389）访问，无论 NIC 级 NSG 允许什么。这个子网级 NSG 会在流量到达各个 VM 之前充当第一道防线，从而减少网络边界处的攻击面。

Application Security Group（ASG）允许您根据应用程序角色而不是 IP 地址对 Azure VM 网络接口进行分组。例如，您可以创建名为 webServers、appServers 和 dbServers 的 ASG，然后将每个 VM 的 NIC 分配给相应的 ASG。在 NSG 规则中，您可以编写：“允许来自 webServers 的流量通过端口 8080 访问 appServers”，而无需指定任何 IP 地址。添加或删除 VM 时，只需更新其 ASG 成员关系，所有 NSG 规则就会自动正确应用，无需修改规则。

定义 ASG 并分配 VM 后，您可以编写将 ASG 作为源或目标的 NSG 规则。与基于 IP 的规则相比，这种方式更易于维护，因为它具有以下优点：无需管理 IP——您不需要知道 VM 的 IP，ASG 成员关系会负责完成映射；动态扩展——将新 VM 添加到正确的 ASG 后，它会自动继承正确的规则；语义清晰——规则读起来很自然（“webServers → appServers，端口 8080”），而不是难以理解的 IP 范围。ASG 对于经常添加或替换 VM 的动态环境尤其有价值。

NSG 流日志记录通过 NSG 的所有 IP 流量信息，包括源和目标 IP、端口、协议、流量是被允许还是被拒绝，以及传输的字节数。流日志以 JSON 格式写入 Azure Storage 帐户，并可在Azure Network Watcher 的流量分析工具中可视化。流日志对于排查连接问题（“为什么这部分流量被阻止？”）、开展安全调查，以及满足需要提供流量模式证据的合规报告要求，都非常有价值。

以下三种常见 NSG 错误会导致连接问题：忘记评估顺序——如果存在优先级为 100 的 Deny 规则，而您的 Allow 规则优先级为 200，流量就会被拒绝，因为优先级数字越小越先生效；阻止 Azure 运行状况探测——负载均衡器运行状况探测来自 IP 168.63.129.16，阻止此源会导致负载均衡器后端显示为不正常并停止接收流量；子网 NSG 与 NIC NSG 规则重叠——流量必须通过两次 NSG 评估，即使子网 NSG 中的规则允许流量，如果 NIC NSG 拒绝该流量，它仍会被阻止。

NSG 和 Azure 防火墙相互补充，但有所不同：NSG——分散式，附加到子网和 NIC，执行第 3/4 层（IP 和端口）筛选，默认不记录流量，并且每个 VNet 都可免费使用；Azure 防火墙——集中式托管服务，部署在中心 VNet 中，支持第 3/4 层以及第 7 层（FQDN、URL、IDPS），通过 Azure Monitor 提供完整日志记录，费用约为每月 1,000 美元以上。请使用 NSG 实现基本的边界防护和层级隔离。当您需要通过 FQDN 筛选、威胁情报或 TLS 检查，对出站互联网访问进行集中且可审计的强制控制时，请使用 Azure 防火墙。

当 NSG 同时与子网和 NIC 关联时，您可能难以确定实际应用了哪些规则。Azure 在门户中为任何 VM 的 NIC 提供有效安全规则视图，显示来自子网级和 NIC 级 NSG 的所有规则合并后的结果。这是该 VM 实际允许或拒绝的内容的权威列表。Azure Network Watcher 的IP 流验证工具可以进一步帮助您排查问题：指定源和目标 IP/端口后，该工具会立即告诉您流量会被允许还是拒绝，以及负责此结果的具体规则。

请测试您对本课中 Microsoft Azure 基础知识（AZ-900）概念的理解。

本课介绍了以下内容：NSG 包含按优先级顺序评估的 Allow/Deny 规则，可筛选子网或单个网络接口的流量；服务标记通过表示动态的 Azure 服务 IP 范围组来简化规则；以及Application Security Group 支持按角色对 VM 进行分组，从而创建无需维护且可随环境扩展的 NSG 规则。接下来，我们将学习 VNet 对等互连和服务终结点，以连接不同 VNet 中的资源以及 Azure 服务。