Grupos de segurança de rede do Azure: regras efetivas, ASGs e controle de tráfego

radio_button_uncheckedshort_text1. Transforme o requisito de migração em uma política de tráfego

Uma empresa com várias localidades só migrará sistemas críticos para o Azure se conseguir controlar rigorosamente quais computadores alcançam seus servidores de aplicação e serviços do Azure. Um grupo de segurança de rede (NSG) fornece filtragem distribuída nas camadas 3 e 4 para recursos de uma Rede Virtual. Suas regras permitem ou negam fluxos de entrada e saída.

Este capítulo percorre a tarefa completa: escolher onde associar o NSG, projetar regras pelas cinco tuplas, compreender regras padrão e efetivas, organizar cargas variáveis com grupos de segurança de aplicativo (ASGs), executar o laboratório e diagnosticar o resultado com as ferramentas atuais.

• Determinar quando usar um NSG em sub-rede ou interface de rede.
• Criar, priorizar, implementar e avaliar regras de entrada e saída.
• Explicar regras aumentadas, marcas de serviço, estado e regras efetivas.
• Usar ASGs para representar funções da aplicação sem manter IPs individuais.
• Executar o laboratório de VNet, NSG, ASG e DNS opcional.

radio_button_uncheckedshort_text2. O que um NSG controla — e o que não controla

Um NSG é uma coleção reutilizável de regras Permitir e Negar. Ele pode ser associado várias vezes, mas cada sub-rede e cada interface de rede aceitam no máximo um NSG diretamente associado. Na sub-rede, a política alcança todos os recursos compatíveis; na NIC, acrescenta filtragem específica ao tráfego daquela interface.

• NSG filtra tráfego; não cria rota, ponto público, resposta DNS ou tradução de saída.
• As regras usam IP, protocolo e porta, não caminho de URL, cabeçalho HTTP, identidade ou conteúdo malicioso.
• As páginas da VM e da rede mostram sub-redes, interfaces, NSGs e regras associados.
• Sem NSG em um nível, não há filtragem NSG nesse nível, mas rotas, firewall, plataforma e sistema convidado ainda podem bloquear.

radio_button_uncheckedshort_text3. Escopo de sub-rede, escopo de NIC e sub-rede de perímetro

Uma sub-rede de perímetro, também chamada DMZ, forma um buffer entre recursos voltados à internet e sistemas confiáveis. O NSG restringe fluxos; o Firewall do Azure ou outro serviço de inspeção oferece política central mais rica quando necessário.

radio_button_uncheckedshort_text4. Cada regra personalizada descreve cinco tuplas e uma decisão

O Azure avalia endereço e porta de origem, endereço e porta de destino e protocolo. Na entrada, a tradução de IP público para privado ocorre antes do NSG; na saída, a filtragem ocorre antes da tradução do privado para o público.

radio_button_uncheckedshort_text5. A prioridade torna decisiva a primeira correspondência

As regras personalizadas são processadas do menor para o maior número. Depois da correspondência, a ação é aplicada e as regras posteriores daquele NSG não são examinadas. Deixe lacunas como 100, 200 e 300 para inserir regras sem renumerar a política.

• Prioridade 100 precede 110 ou 200.
• Permitir em 100 pode tornar irrelevante um Negar amplo em 200 para o mesmo fluxo.
• Negar em 100 bloqueia mesmo que exista um Permitir amplo em 300.
• O valor pode ser reutilizado na direção oposta; não pode se repetir na mesma direção.
• As regras padrão usam 65000, 65001 e 65500, depois de qualquer regra personalizada válida.

radio_button_uncheckedshort_text6. Regras padrão de entrada formam a linha de base

O resultado nega entrada não solicitada, exceto o que as marcas VirtualNetwork e AzureLoadBalancer representam. VirtualNetwork pode incluir VNets emparelhadas e espaços conectados; portanto, a regra padrão não garante isolamento entre cargas.

radio_button_uncheckedshort_text7. Regras padrão de saída permitem política, não conectividade

Não é possível excluir regras padrão, mas uma regra personalizada anterior pode substituí-las. AllowInternetOutBound significa que o NSG permite o fluxo; não fornece NAT, rota ou IP público. Sub-rede privada ainda precisa de Gateway da NAT, Firewall do Azure ou regra de saída compatível do Load Balancer.

radio_button_uncheckedshort_text8. NSGs têm estado e alterações afetam novas conexões

O NSG mantém um registro de fluxo. Se uma conexão TCP de saída para a porta 80 for permitida, a resposta não exige regra de entrada separada. A resposta a uma entrada permitida também não requer regra espelhada de saída; a regra é necessária na direção que inicia a conexão.

Remover uma regra Permitir não encerra conexões já estabelecidas. Regras novas ou alteradas valem para novas conexões. Feche a sessão ou gere outro fluxo antes de concluir que a mudança falhou.

radio_button_uncheckedshort_text9. Avaliação efetiva entre sub-rede e NIC

No caminho conceitual de entrada, o Azure avalia o NSG da sub-rede e depois o da NIC. Na saída, avalia NIC e depois sub-rede. Cada NSG aplicável é uma barreira independente: uma permissão em um nível não supera negação ou ausência de permissão em outro.

• A entrada precisa ser permitida no NSG da sub-rede e da NIC de destino quando ambos existem.
• A saída precisa ser permitida no NSG da NIC e da sub-rede de origem.
• O NSG da sub-rede pode afetar comunicação entre VMs da mesma sub-rede.
• Para isolar tráfego interno, crie regras anteriores e teste as exceções necessárias nas duas direções.
• Prefira um NSG de sub-rede bem projetado quando o NSG por NIC não tiver valor de negócio.

radio_button_uncheckedshort_text10. Regras de segurança efetivas mostram a política aplicada

A exibição Regras de segurança efetivas do Azure Network Watcher agrega regras de entrada e saída dos NSGs da NIC e da sub-rede e as regras de administrador do Azure Virtual Network Manager para uma interface escolhida. O portal permite baixar CSV e expandir os prefixos concretos.

• Use Regras efetivas para auditar política, não para provar entrega do pacote.
• Use Verificação de fluxo IP para testar direção, protocolo, endereços e portas contra NSGs e regras de administrador.
• Depois verifique rotas efetivas, próximo salto, DNS, integridade do Load Balancer, firewall e sistema convidado.
• Resultado permitido significa “não bloqueado aqui”, não “aplicação saudável”.

radio_button_uncheckedshort_text11. Regras de administrador de segurança vêm antes dos NSGs

O Azure Virtual Network Manager implanta regras globais de administrador de segurança em VNets de grupos gerenciados. A governança central estabelece proteções amplas e as equipes usam NSGs em sub-rede e NIC. As regras de administrador são avaliadas primeiro.

A implantação segue consistência eventual e há exceções atuais para alguns serviços e pontos de extremidade privados. Regras efetivas e Verificação de fluxo IP revelam a política combinada.

radio_button_uncheckedshort_text12. Crie uma regra personalizada a partir do serviço

No portal do Microsoft Azure, abra o NSG e escolha regras de entrada ou saída. Traduza o requisito em origem, portas de origem, destino, serviço/portas de destino, protocolo, ação, prioridade e nome significativo.

1. Use serviços predefinidos como SSH ou RDP somente quando corresponderem exatamente ao requisito.
2. Use Personalizado para portas como 8080 ou listas e intervalos controlados.
3. Prefira Any nas portas efêmeras de origem, salvo se a aplicação documentar porta fixa.
4. Restrinja a origem administrativa; não exponha SSH ou RDP a Any para facilitar o teste.
5. Documente responsável, finalidade, aprovação, duração e evidência de validação.

radio_button_uncheckedshort_text13. Regras aumentadas reduzem a proliferação

Uma regra aumentada combina vários IPs, CIDRs, portas ou intervalos explícitos. As portas 80, 443, 8080 e 8090, por exemplo, podem compartilhar uma regra quando origem, destino, protocolo, direção e ação forem idênticos.

A orientação atual aceita vários endereços e portas explícitos, mas apenas uma marca de serviço por regra. Limites e combinações com ASGs seguem os limites atuais. Reduza repetição sem misturar fluxos sem relação.

radio_button_uncheckedshort_text14. Marcas de serviço acompanham intervalos do Azure

A Microsoft mantém os prefixos; o cliente não cria marca personalizada. Use marca para serviço do Azure, ASG para NICs da carga e IP/CIDR quando o próprio endereço for a identidade da política.

radio_button_uncheckedshort_text15. Grupos de segurança de aplicativo representam funções

Um ASG é uma coleção lógica de configurações IP de interfaces de rede. Associe NICs a WebServers ou AppServers e use os grupos como origem ou destino de regras NSG. A política acompanha membros novos e mudanças de endereço.

• As NICs referenciadas por ASGs na regra precisam obedecer às restrições atuais de mesma VNet.
• ASG não filtra sozinho; uma regra NSG precisa referenciá-lo.
• Uma NIC pode participar de mais de um ASG quando houver suporte e utilidade.
• ASGs reduzem dependência do posicionamento, mas sub-redes continuam limites de rota, delegação e confiança.
• Novos membros herdam automaticamente a política NSG aplicável.

radio_button_uncheckedshort_text16. Cenário ASG: camada Web para aplicação/SQL

No varejista do módulo, WebServers recebe HTTP/HTTPS da internet e AppServers processa solicitações SQL da camada Web. Crie um ASG por camada, associe as NICs e depois crie o NSG e as regras.

As regras mantêm o catálogo público, permitem o SQL necessário e impedem Web direto à camada de aplicação; DenyAllInBound bloqueia outras entradas. Se o grupo representar bancos em produção, um nome como DataServers comunica melhor a função.

radio_button_uncheckedshort_text17. Benefícios e limites dos ASGs

• Manutenção IP: escala e substituição alteram membros, não todas as regras.
• Organização lógica: funções web, aplicação, dados e serviço permanecem visíveis na mesma sub-rede.
• Simplificação: uma regra alcança todos os membros atuais e futuros.
• Legibilidade: nomes expressam a função de negócio.
• Marcas de serviço continuam distintas: representam serviços Azure; ASGs representam NICs da carga.

ASG não substitui toda segmentação por sub-rede. Preserve sub-redes quando roteamento, delegação, raio de impacto, inspeção ou propriedade exigirem.

radio_button_uncheckedshort_text18. Arquitetura e habilidades do laboratório

O exercício usa az104-rg4 e duas VNets. CoreServicesVnet 10.20.0.0/16 contém SharedServicesSubnet 10.20.10.0/24 e DatabaseSubnet 10.20.20.0/24. ManufacturingVnet 10.30.0.0/16 contém SensorSubnet1 10.30.20.0/24 e SensorSubnet2 10.30.21.0/24.

• Tarefa 1: criar VNet e sub-redes pelo portal.
• Tarefa 2: criar VNet e sub-redes por modelo.
• Tarefa 3: configurar ASG, NSG, regras, associações e comunicação.
• Tarefa 4: opcionalmente criar zona pública contoso.com e privada private.contoso.com no DNS do Azure.
• Tempo estimado de 50 minutos e assinatura do Azure autorizada.

radio_button_uncheckedshort_text19. Sequência do exercício e validação

1. Crie az104-rg4 e CoreServicesVnet com as duas sub-redes sem sobreposição.
2. Implante ManufacturingVnet e suas sub-redes com o modelo do laboratório ou equivalente e revise os parâmetros.
3. Crie o ASG e associe as configurações IP das NICs corretas.
4. Crie o NSG, adicione regras restritas e associe ao escopo pretendido.
5. Teste um fluxo permitido e um negado com novas conexões; registre regras efetivas e Verificação de fluxo IP.
6. Opcionalmente configure as zonas pública e privada e o vínculo da VNet para resolução privada.
7. Exclua o laboratório somente após confirmar que o grupo não contém dependência compartilhada.

radio_button_uncheckedshort_text20. Gabarito comentado da avaliação

radio_button_uncheckedshort_text21. Correções atuais e armadilhas da AZ-104

• NSG filtra; não roteia, faz NAT, resolve DNS ou inspeciona conteúdo de aplicação.
• Número menor tem maior prioridade e a primeira correspondência encerra o NSG.
• A prioridade pode repetir na direção oposta, não na mesma direção.
• NSG tem estado; respostas não exigem regra espelhada e conexões existentes sobrevivem a alterações.
• AllowInternetOutBound permite política, mas não garante saída de sub-rede privada.
• Regras do Azure Virtual Network Manager precedem NSGs; Sempre permitir e Negar encerram a avaliação.
• ASGs agrupam NICs de carga; marcas de serviço representam prefixos mantidos pela Microsoft.
• Novos logs de fluxo NSG não podem ser criados desde 30/06/2025 e o recurso será desativado em 30/09/2027; use logs de fluxo de rede virtual.
• Regras efetivas mostram política e Verificação de fluxo IP testa cinco tuplas; nenhuma prova a saúde da aplicação sozinha.

radio_button_uncheckedshort_text22. Revisão compacta, recuperação ativa e recursos

Perguntas de recuperação ativa

• Explique NSG e ASG com um caso de uso de cada.
• Trace entrada e saída com NSGs na sub-rede e NIC.
• Recrie as seis regras padrão e prioridades.
• Escreva as três regras de WebServers/AppServers sem IP individual.
• Explique por que Permitir no NSG não garante conectividade.
• Escolha entre regras efetivas, Verificação de fluxo IP, rotas efetivas e logs para quatro diagnósticos.

Documentação oficial

• Visão geral dos grupos de segurança de rede
• Guia de NSGs e ASGs
• Regras de segurança efetivas no Azure Network Watcher
• Verificação de fluxo IP
• Regras de administrador no Azure Virtual Network Manager
• Logs de fluxo de rede virtual
• Gerenciar grupos de segurança de rede