すべてのネットワークセキュリティグループに適用される最終的なルールとは？NSGの基本を徹底解説

ネットワークセキュリティルールとは？

ネットワークセキュリティグループ（NSG）内のセキュリティルールは、さまざまな種類のAzureリソースに対して、トラフィックの送受信をどのように許可するかを定義するものです。各ルールでは、送信元（ソース）と宛先、ポート番号、プロトコルを柔軟に指定できます。

AzureのデフォルトNSGルールとは？

Azure仮想マシンは、デフォルト構成の一部としてネットワークセキュリティグループ（NSG）を備えており、これは仮想ファイアウォールとして機能します。このNSGは、悪意のあるアクセスや望ましくない通信から仮想マシンを保護する重要な役割を担っています。

Azureにおけるネットワークセキュリティグループとは？

ネットワークセキュリティグループは、アクセス制御リスト（ACL）を作成するために使用され、仮想マシンがアクセスを許可される（または拒否される）ネットワークトラフィックを決定します。NSGはサブネットに関連付けることも、サブネット内の個々の仮想マシンインスタンスに関連付けることも可能です。

NSGにおけるインバウンドとアウトバウンドとは？

NSGに入ってくるトラフィック、つまりリソースが受信するトラフィックは「インバウンドトラフィック」と呼ばれます。一方、「アウトバウンドトラフィック」とは、NSGから外部へ向けて送信されるトラフィックを指します。両方向のトラフィックを個別に制御できる点がNSGの大きな特徴です。

Azureで1つのNSGに設定できるルール数は？

NSGには上限が設けられています。ネットワークセキュリティグループは、VNet上で動作するアプリケーションに対してきめ細かなネットワークトラフィックのアクセス制御を提供することを目的としており、各NSGには200個のルールを設定でき、1つのサブスクリプションあたり最大100個のNSGを作成できます。

NSGに作成できるルールの上限数は？

デフォルトでは、1つのNSGに設定できるルールは200個までです。ただし、サポートリクエストを提出することで、この上限を最大1000ルールまで引き上げることが可能です。この上限に達しない限り、複数のNSGを作成して分散させる必要はありません。

NSGはどこに適用できるのか？

NSGがサブネットに関連付けられている場合、そのルールはそのサブネットに接続されているすべてのリソースに適用されます。NSGが個々のネットワークインターフェイス（NIC）に関連付けられている場合は、そのインターフェイスに対してのみルールが適用されます。さらに、NSGをVMやネットワークインターフェイスの両方に関連付けることで、トラフィックをより細かく制限することもできます。

NSGとASGの違いとは？

Azureネットワークセキュリティグループ（NSG）とアプリケーションセキュリティグループ（ASG）は、VNet内のネットワークトラフィックを制御・管理するために使用される主要なAzureリソースです。ASGを活用すると、アプリケーションの役割ごとにVMをグループ化でき、より直感的なセキュリティポリシーの設計が可能になります。

NSGとは何か？VNetをどのようにサポートするのか？

ネットワークセキュリティグループには大きく分けて2つの役割があります。1つはネットワークフィルター（ファイアウォール）としての機能、もう1つは、Azure VNetリソース間で誰が通信できるか（またはできないか）を定義するネットワークセキュリティポリシーとしての機能です。これらのルールにより、インバウンドとアウトバウンドの両方向のトラフィックを包括的に管理できます。

Azure NSGのルールはどのように機能するのか？

アウトバウンドトラフィックの場合、Azureはまずネットワークインターフェイスに関連付けられたNSGのルール（存在する場合）を処理し、その後、サブネットレベルのNSGのルール（存在する場合）を処理します。例えば、Virtual Machine 1にはNSG2がセキュリティルールとして構成されているといった具合に、階層的に評価が行われます。

Azure NSGはファイアウォールなのか？

Microsoft Azure FirewallはOSI参照モデルのレイヤー4およびレイヤー7に対応している一方、NSGはレイヤー3およびレイヤー4に対応しています。NSGは、多機能で堅牢なサービスであるAzure Firewallと比較すると、ネットワーク層でトラフィックをフィルタリングする基本的なファイアウォールのようなものです。Azure Firewallを利用すれば、L3、L4、L7レベルでの高度なトラフィック分析とフィルタリングが実現できます。

Azureネットワークセキュリティグループとは？

ネットワークセキュリティグループは、Azureサービスとの間でやり取りされるネットワークトラフィックを監視・制御します。NSGは仮想ネットワーク内のサブネットにも適用できるため、複数の仮想マシンにわたってアクセス制御を一元的に更新するための標準化されたインターフェイスを提供します。

Azureでセキュリティグループを作成する方法

ネットワークセキュリティグループを作成するには、Azureポータルのメニューまたはホームページから「リソースの作成」を選択します。次に「ネットワーキング」カテゴリを開き、「ネットワークセキュリティグループ」をクリックします。対象のサブスクリプションを選択し、既存のリソースグループから選ぶか、必要に応じて新しいリソースグループを作成しましょう。

Azureネットワークセキュリティグループはファイアウォールなのか？

Microsoft Azure FirewallはOSI参照モデルのレイヤー4およびレイヤー7に対応していますが、NSGはレイヤー3およびレイヤー4に対応しています。NSGは、豊富な機能を備えた包括的で堅牢なサービスであるAzure Firewallと比べると、ネットワーク層でトラフィックをフィルタリングする基本的なファイアウォールに近い存在だと言えます。用途に応じて両者を使い分けることが、効果的なセキュリティ設計の鍵となります。