Azure में VM को नेटवर्क सुरक्षा समूह (NSG) कैसे असाइन करें?

Azure नेटवर्क सुरक्षा समूह (NSG) को वर्चुअल मशीन पर लागू करने की पूरी गाइड

Azure NSG एक क्लाउड-स्तरीय फ़ायरवॉल है जो इनबाउंड/आउटबाउंड ट्रैफ़िक को फ़िल्टर करता है। इसे VM के NIC या सबनेट से जोड़ा जा सकता है।

NSG मूल बातें

• नियम: अनुमति/अस्वीकार, प्राथमिकता (100-4096), स्रोत/गंतव्य (IP/ASG/सेवा टैग), पोर्ट, प्रोटोकॉल (TCP/UDP/*)
• डिफ़ॉल्ट नियम: VNet में अनुमति, इंटरनेट आउटबाउंड अनुमति, इनबाउंड इंटरनेट अस्वीकार
• स्कोप: सबनेट-स्तर (सबनेट में सभी NIC पर लागू) या NIC-स्तर (विशिष्ट VM)
• ASG (एप्लिकेशन सुरक्षा समूह): VM को तार्किक रूप से समूहित करें, NSG नियमों में ASG को स्रोत/गंतव्य के रूप में उपयोग करें

चरण-दर-चरण: NSG बनाएं और VM पर लागू करें

विधि 1: Azure पोर्टल (GUI)

1. Azure पोर्टल → नेटवर्क सुरक्षा समूह → बनाएं
2. सब्सक्रिप्शन, रिसोर्स ग्रुप, नाम, क्षेत्र चुनें → समीक्षा + बनाएं
3. NSG बनने के बाद → इनबाउंड सुरक्षा नियम → जोड़ें
4. नियम कॉन्फ़िगर करें:
   • स्रोत: कोई भी / IP पते / सेवा टैग (इंटरनेट, वर्चुअलनेटवर्क, AzureLoadBalancer) / ASG
   • स्रोत पोर्ट रेंज: * (सभी) या विशिष्ट
   • गंतव्य: कोई भी / IP पते / ASG
   • सेवा: ड्रॉपडाउन से चुनें (SSH, RDP, HTTP, HTTPS, कस्टम) या कस्टम पोर्ट
   • कार्रवाई: अनुमति / अस्वीकार
   • प्राथमिकता: 100-4096 (कम = उच्च प्राथमिकता)
   • नाम: वर्णनात्मक (उदाहरण: Allow-HTTP-Inbound)
5. आउटबाउंड नियमों के लिए समान प्रक्रिया
6. NSG को VM से जोड़ें:
   • विकल्प A (NIC-स्तर): VM → नेटवर्किंग → नेटवर्क इंटरफेस क्लिक करें → नेटवर्क सुरक्षा समूह → अपना NSG चुनें → सहेजें
   • विकल्प B (सबनेट-स्तर): वर्चुअल नेटवर्क → सबनेट → नेटवर्क सुरक्षा समूह → अपना NSG चुनें → सहेजें

विधि 2: Azure CLI

# NSG बनाएं
az network nsg create --resource-group myRG --name myNSG --location eastus

# इनबाउंड नियम जोड़ें (उदाहरण: HTTP 80 अनुमति दें)
az network nsg rule create --resource-group myRG --nsg-name myNSG \
  --name Allow-HTTP --priority 100 --direction Inbound \
  --source-address-prefixes Internet --destination-port-ranges 80 \
  --protocol Tcp --access Allow

# NSG को NIC से जोड़ें
az network nic update --resource-group myRG --name myVMNIC --network-security-group myNSG

# या सबनेट से जोड़ें
az network vnet subnet update --resource-group myRG --vnet-name myVNet \
  --name mySubnet --network-security-group myNSG

विधि 3: PowerShell (Az मॉड्यूल)

$nsg = New-AzNetworkSecurityGroup -ResourceGroupName myRG -Location eastus -Name myNSG
Add-AzNetworkSecurityRuleConfig -NetworkSecurityGroup $nsg -Name Allow-HTTP -Access Allow -Protocol Tcp -Direction Inbound -Priority 100 -SourceAddressPrefix Internet -SourcePortRange * -DestinationAddressPrefix * -DestinationPortRange 80
Set-AzNetworkSecurityGroup -NetworkSecurityGroup $nsg

# NIC से जोड़ें
$nic = Get-AzNetworkInterface -ResourceGroupName myRG -Name myVMNIC
$nic.NetworkSecurityGroup = $nsg
Set-AzNetworkInterface -NetworkInterface $nic

विधि 4: ARM टेम्पलेट / Bicep / Terraform (IaC)

उत्पादन वातावरण के लिए बुनियादी ढांचे को कोड के रूप में उपयोग करें। Bicep उदाहरण:

resource nsg 'Microsoft.Network/networkSecurityGroups@2023-05-01' = {
  name: 'myNSG'
  location: resourceGroup().location
  properties: {
    securityRules: [
      {
        name: 'Allow-HTTP'
        properties: {
          priority: 100
          protocol: 'Tcp'
          direction: 'Inbound'
          access: 'Allow'
          sourceAddressPrefix: 'Internet'
          sourcePortRange: '*'
          destinationAddressPrefix: '*'
          destinationPortRange: '80'
        }
      }
    ]
  }
}

VM सुरक्षा के लिए अनुशंसित NSG नियम

NSG बनाम Azure फ़ायरवॉल

NSG फ्लो लॉग और निगरानी

1. नेटवर्क वॉचर → NSG फ्लो लॉग → अपने NSG चुनें → चालू करें
2. स्टोरेज खाता चुनें (प्रतिधारण 90+ दिन अनुशंसित)
3. ट्रैफ़िक विश्लेषिकी सक्षम करें (Log Analytics कार्यक्षेत्र में भेजता है)
4. क्वेरी उदाहरण: AzureNetworkAnalytics_CL | where FlowDirection == "I" and FlowDecision == "D"

सर्वोत्तम अभ्यास

• सबनेट-स्तर NSG आधार रेखा के लिए, NIC-स्तर अपवाद/ओवरराइड के लिए
• ASG (एप्लिकेशन सुरक्षा समूह) का उपयोग करें IP सूचियों के बजाय - स्केलेबल, प्रबंधनीय
• सेवा टैग उपयोग करें (Internet, VirtualNetwork, AzureLoadBalancer, Storage, Sql, आदि) - Microsoft द्वारा प्रबंधित IP रेंज
• नियम नामकरण परंपरा: Dir-Action-Service-Source (उदाहरण: Inbound-Allow-HTTP-Internet)
• प्राथमिकता में 100 का अंतर छोड़ें (100, 200, 300) डालने के लिए जगह के लिए
• नियमित रूप से NSG नियमों की ऑडिट करें: अप्रयुक्त, अत्यधिक अनुमतिपूर्ण, डुप्लिकेट नियम हटाएं
• आउटबाउंड प्रतिबंध लागू करें (शून्य विश्वास) - केवल आवश्यक गंतव्य अनुमति दें
• NSG फ्लो लॉग + ट्रैफ़िक विश्लेषिकी सक्षम करें दृश्यता के लिए

समस्या निवारण

• कनेक्टिविटी विफल: प्रभावी सुरक्षा नियम जांचें (NIC → नेटवर्किंग → प्रभावी सुरक्षा नियम)
• नियम लागू नहीं हो रहा: प्राथमिकता संघर्ष, सबनेट vs NIC NSG विरोध (दोनों लागू होते हैं, दोनों को पास करना होगा)
• स्वास्थ्य जांच विफल: AzureLoadBalancer स्रोत से इनबाउंड अनुमति दें (प्राथमिकता 65000+)
• पोर्ट खुला लेकिन पहुंच नहीं: VM फ़ायरवॉल (विंडोज फ़ायरवॉल, iptables, ufw), एप्लिकेशन बाइंडिंग (0.0.0.0 vs 127.0.0.1)

NSG Azure में नेटवर्क सुरक्षा की आधारशिला है। इसे सबनेट-स्तर पर आधार रेखा के रूप में लागू करें, ASG के साथ एप्लिकेशन-स्तरीय नियंत्रण के लिए विस्तारित करें, और फ्लो लॉग के साथ निरंतर निगरानी करें।