Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
VNet内resourceのinbound/outboundを5-tuple中心のstateful ruleでfilterする基本security control。
Key technical points
- priorityは100-4096で小さい値ほど高優先。matchしたら後続ruleは評価しない。
- rule changeは新規connectionへ適用され、既存flowは即切断されない場合がある。
- subnetとNIC両方にNSGがあると両方の許可条件を満たす必要がある。
Design guidance
- network controlだけで認証・authorizationを代替しない。Identity/RBAC/app authと多層化する。
- default deny/central enforcementを強める前にflow telemetryで必要通信を把握する。
- rule changeは既存connectionと新規connectionで見え方が異なることを踏まえてtestする。
Operations checklist
- 対象flowのsource/destination/port/protocolを固定する。
- NSG/Firewall/WAF logsで実際の判定ruleを確認する。
- 変更後はnew connectionで同じflowを再試験する。
Common pitfalls
- Allow rule追加だけで既存higher-priority Denyを見落とす。
- rule変更後に既存sessionだけ確認して「通った」と判断する。
Azure CLI quick check
read-only確認を優先し、実環境のsubscription/resource名へ置換してください。
az network nsg rule list -g <rg> --nsg-name <nsg> -o tableVerification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。