Azure नेटवर्क सिक्योरिटी ग्रुप (NSG) – क्लाउड नेटवर्क फायरवॉलिंग
Azure नेटवर्क सिक्योरिटी ग्रुप (NSG) एक Azure संसाधन है जो इनबाउंड और आउटबाउंड नेटवर्क ट्रैफिक को फ़िल्टर करता है Azure वर्चुअल नेटवर्क (VNet) संसाधनों (VM, स्केल सेट, ऐप सर्विस एनवायरनमेंट, आदि) के लिए। यह OSI लेयर 3 (नेटवर्क) और लेयर 4 (ट्रांसपोर्ट) पर काम करता है।
NSG कैसे काम करता है
- नियम संग्रह: प्रत्येक NSG में सुरक्षा नियमों की प्राथमिकता-आधारित सूची होती है (प्राथमिकता 100-4096, कम = उच्च प्राथमिकता)।
- नियम घटक: नाम, प्राथमिकता, स्रोत/गंतव्य (IP CIDR, सर्विस टैग, एप्लिकेशन सिक्योरिटी ग्रुप), प्रोटोकॉल (TCP, UDP, ICMP, ESP, AH, कोई भी), दिशा (इनबाउंड/आउटबाउंड), पोर्ट रेंज, एक्शन (Allow/Deny)।
- डिफॉल्ट नियम: प्रत्येक NSG में अंतर्निहित डिफॉल्ट नियम होते हैं (VNet इनबाउंड Allow, इंटरनेट आउटबाउंड Allow, इनबाउंड DenyAll, आउटबाउंड DenyAll) जिन्हें हटाया नहीं जा सकता, केवल उच्च-प्राथमिकता नियमों द्वारा ओवरराइड किया जा सकता है।
- एसोसिएशन: NSG को सबनेट और/या नेटवर्क इंटरफेस (NIC) से जोड़ा जा सकता है। एक NSG कई सबनेट/निक से जुड़ सकता है; एक सबनेट/निक केवल एक NSG से जुड़ सकता है।
- मूल्यांकन क्रम: इनबाउंड: NIC NSG → सबनेट NSG; आउटबाउंड: सबनेट NSG → NIC NSG।
NSG बनाम Azure फायरवॉल
| विशेषता | NSG | Azure फायरवॉल |
|---|---|---|
| OSI लेयर | L3/L4 | L3, L4, L7 (एप्लिकेशन) |
| प्रकार | बेसिक स्टेटफुल फायरवॉल | पूरी तरह से प्रबंधित, अगली पीढ़ी का फायरवॉल |
| FQDN फ़िल्टरिंग | नहीं (केवल सर्विस टैग/आईपी) | हां (SQL, स्टोरेज, कस्टम FQDN) |
| IDPS / थ्रेट इंटेल | नहीं | हां (सिग्नेचर-आधारित, उभरते खतरे) |
| SNAT/DNAT | नहीं | हां |
| लागत | मुफ्त (नियम सीमाएं लागू) | प्रति घंटा + डेटा प्रोसेसिंग शुल्क |
| उपयोग केस | माइक्रो-सेगमेंटेशन, सबनेट/निक स्तर बेसिक फ़िल्टरिंग | केंद्रीकृत इंटरनेट एज, हब-स्पोक, L7 दृश्यता/नियंत्रण |
NSG और एप्लिकेशन सिक्योरिटी ग्रुप (ASG)
- ASG VMs को तार्किक समूहों में व्यवस्थित करता है (जैसे "WebTier", "AppTier", "DbTier")।
- NSG नियमों में स्रोत/गंतव्य के रूप में IP CIDR के बजाय ASG निर्दिष्ट करें – स्केल और रखरखाव सरल करता है।
- ASG NSG के अंदर एक ऑब्जेक्ट रेफरेंस है, स्वतंत्र संसाधन नहीं।
NSG बनाना और लागू करना (पोर्टल / CLI / IaC)
- पोर्टल: Create a resource > Networking > Network security group > सब्सक्रिप्शन, रिसोर्स ग्रुप, नाम, क्षेत्र चुनें > Create।
- CLI:
az network nsg create -g MyRG -n MyNSG -l eastus - नियम जोड़ें: पोर्टल में NSG > Settings > Inbound/Outbound security rules > Add; या
az network nsg rule create। - एसोसिएट करें: Subnet > Network security group > Edit > MyNSG > Save; या NIC > Network security group > Edit।
सर्वोत्तम अभ्यास
- सबनेट-स्तर NSG व्यापक क्षेत्र नीतियों के लिए (जैसे "डेटाबेस सबनेट केवल ऐप सबनेट से पोर्ट 1433 अनुमति दें")।
- NIC-स्तर NSG विशिष्ट VM अपवादों के लिए (दुर्लभ)।
- सर्विस टैग उपयोग करें (AzureCloud, AzureLoadBalancer, VirtualNetwork, Internet) IP रेंज हार्डकोड करने के बजाय।
- ASG उपयोग करें एप्लिकेशन टियर लेबलिंग के लिए।
- नियम नामकरण परंपरा: `Dir_Priority_Action_Protocol_Port_Src_Dst_Desc` (उदाहरण: `In_100_Allow_TCP_443_ASG-Web_Any_HTTPS-from-Internet`)。
- फ्लो लॉग्स इनेबल करें (NSG फ्लो लॉग्स → स्टोरेज अकाउंट / Log Analytics) ऑडिटिंग/खतरे का पता लगाने के लिए।
- नियमित समीक्षा: अनावश्यक Allow नियम हटाएं, प्राथमिकता संघर्ष जांचें।
सीमाएं
- प्रति NSG अधिकतम 1000 नियम (डिफॉल्ट), 5000 तक बढ़ाया जा सकता है।
- प्रति क्षेत्र प्रति सब्सक्रिप्शन अधिकतम 5000 NSG।
- स्टेटफुल: रिटर्न ट्रैफिक स्वचालित रूप से अनुमत (आउटबाउंड नियम की आवश्यकता नहीं यदि इनबाउंड अनुमत)।
- L7 इंस्पेक्शन नहीं – उसके लिए Azure फायरवॉल या तृतीय-पक्ष NVA (नेटवर्क वर्चुअल एप्लायंस) आवश्यक।
