AZ-700 기본 #14, Network Security Group(NSG)

Network Security Group 개요

• NIC(Network Interface Card) 혹은 Subnet에 연결하여 사용하는 방화벽(규칙 목록) 서비스
  
  • 엄밀히 말해 NIC를 사용하는 서비스에 NSG를 적용할 수 있음
• 5 -Tuple(Protocol, Source IP, Source Port, Destination IP, Destination Port)가 모두 일치하는 규칙을 허용하거나 거부할 수 있음
• 우선순위가 존재해 100번 ~ 65500번까지 사용할 수 있고, 값이 작을수록 순위가 높음
• Inbound Rule과 Outbound Rule로 나뉨
• 기본 규칙 3개가 존재하며 이 기본 규칙은 추가, 삭제, 수정이 불가능함
• 기본 규칙에서 언급되는 대상은 모두 'Service Tag'에 해당
• Inbound Rule의 기본 규칙
  1. Virtual Network 내 통신은 허용
  2. Load Balancer(출발지)에서 모든 목적지 통신 허용
  3. 그 밖의 통신은 기본 차단(DenyAllInBound) - Virtual Network에 없는 Private IP로 추정
• Outbound Rule의 기본 규칙
  1. Virtual Network 내 통신은 허용
  2. 모든 출발지에서 Internet(목적지)로 허용
  3. 그 밖의 통신은 기본 차단(DenyAllOutBound) - Virtual Network에 없는 Private IP로 추정

 

Custom Inbound 및 Outbound 규칙 할당

• 5 - Tuple 정보를 입력하여 사용자 정의 규칙 생성 가능
• 출발지 : ANY, IP 주소, Service Tag, Application Security Group 지정 가능
• 목적지 : ANY, IP 주소, Service Tag, Application Security Group 지정 가능
• 포트 : HTTP, HTTPS 등 이미 알려진 포트를 선택할 수 있고 번호 입력 가능
• 프로토콜 : ANY, TCP, UDP, ICMPv4 선택 가능
• 우선순위 : 100 ~ 65449까지 선택 가능
• 규칙을 할당할 때, 우선순위 값을 100처럼 가장 높은 숫자를 쓰는 것은 좋지 않음

 

NSG의 서브넷 혹은 NIC 연결

• Gateway Subnet, Firewall Subnet과 같이 특수 목적에 사용되는 서브넷에는 연결 불가능

 

Application Security Group(ASG) 생성

• Network Security Group에서 출발지 혹은 목적지를 그룹화하기 위해 사용되는 서비스
• Application Security Group으로 묶인 VM은 하나의 객체 그룹으로서 NSG에서 출발지 혹은 목적지로 지정 가능