Network SecurityReviewed 2026-09-10

NSG Default Rules

AllowVNet、AllowAzureLoadBalancer、AllowInternetOutbound、DenyAll等の既定ruleを理解する。

Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。

Overview

AllowVNet、AllowAzureLoadBalancer、AllowInternetOutbound、DenyAll等の既定ruleを理解する。

Key technical points

  • default ruleは削除できないが、より高いpriorityのcustom ruleでoverrideできる。
  • VirtualNetwork service tagは単純な「同一subnet」ではなく、peering等を含むnetwork contextで解釈する。
  • default outboundに依存した設計はprivate subnet移行時に見直す。

Design guidance

  • network controlだけで認証・authorizationを代替しない。Identity/RBAC/app authと多層化する。
  • default deny/central enforcementを強める前にflow telemetryで必要通信を把握する。
  • rule changeは既存connectionと新規connectionで見え方が異なることを踏まえてtestする。

Operations checklist

  1. 対象flowのsource/destination/port/protocolを固定する。
  2. NSG/Firewall/WAF logsで実際の判定ruleを確認する。
  3. 変更後はnew connectionで同じflowを再試験する。

Common pitfalls

  • Allow rule追加だけで既存higher-priority Denyを見落とす。
  • rule変更後に既存sessionだけ確認して「通った」と判断する。

Verification pattern

Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。

Official sources