NSG是什么？適用于哪些產品？

1. 什么是NSG？

安全組Network Security Group（簡稱NSG）用來篩選 Azure 虛擬網絡（virtual network）中出入Azure 資源的網絡流量。

2. NSG的相關概念：

NSG 包含安全規則，安全規則是允許或拒絕入站/出站流量的規約。

安全規則可配置的項包含：

3. 默認的安全組規則：

入站

AllowVNetInBound

AllowAzureLoadBalancerInBound

DenyAllInbound

出站

AllowVnetOutBound

AllowInternetOutBound

DenyAllOutBound

4. NSG 試用于哪些產品？

5. NSG限制

受限于Azure 訂閱限制

6. 其他注意事項

• 主機節點的虛擬 IP：基本的基礎結構服務（例如 DHCP、DNS、IMDS和運行狀況監視）是通過虛擬化主機 IP 地址 168.63.129.16 和 169.254.169.254 提供的。 這些 IP 地址屬于 Azure，是僅有的用于所有區域的虛擬化 IP 地址，沒有其他用途。
  

• 許可（密鑰管理服務） ：在虛擬機中運行的 Windows 映像必須獲得許可。 為了確保許可，會向處理此類查詢的密鑰管理服務主機服務器發送請求。 該請求是通過端口 1688 以出站方式提出的。 對于使用默認路由 0.0.0.0/0 配置的部署，此平臺規則會被禁用。
  

• 負載均衡池中的虛擬機：應用的源端口和地址范圍來自源計算機，而不是來自負載均衡器。 目標端口和地址范圍是目標計算機的，而不是負載均衡器的。
  

• Azure 服務實例：在虛擬網絡子網中部署了多個 Azure 服務的實例，例如 HDInsight、應用程序服務環境和虛擬機規模集。  在將網絡安全組應用到部署了資源的子網之前，請確保熟悉每個服務的端口要求。 如果拒絕服務所需的端口，服務將無法正常工作。
  

• 發送出站電子郵件：Azure 建議利用經過身份驗證的 SMTP 中繼服務（通常通過 TCP 端口 587 進行連接，但也經常使用其他端口）從 Azure 虛擬機發送電子郵件。在 Azure 中使用 SMTP 中繼服務絕不會受限制，不管訂閱類型如何。如果是在 2017 年 11 月 15 日之前創建的 Azure 訂閱，則除了能夠使用 SMTP 中繼服務，還可以直接通過 TCP 端口 25 發送電子郵件。如果是在 2017 年 11 月 15 日之后創建的訂閱，則可能無法直接通過端口 25 發送電子郵件。經端口 25 的出站通信行為取決于訂閱類型，如下所示：

• • 企業協議：允許端口 25 的出站通信。 可以將出站電子郵件直接從虛擬機發送到外部電子郵件提供商，不受 Azure 平臺的限制。
    

  • 標準預付費套餐：默認阻斷，需提工單解除，