• 學習要點

  • NSG 規則的五元組：來源 / 來源埠 / 目的地 / 目的地埠 / 通訊協定，加上 優先序（100–4096，數字小的先執行） 與 動作（Allow/Deny）
  • 一旦符合某條規則就停止比對，不會繼續往下看——這是判讀題的核心邏輯
  • 三條不能刪除的預設輸入規則：AllowVNetInBound (65000)、AllowAzureLoadBalancerInBound (65001)、DenyAllInBound (65500)；輸出也有對應三條
  • NSG 可以同時套在子網路與 NIC 上。輸入流量：先過子網路 NSG，再過 NIC NSG；輸出相反。兩層都要允許才會通——最經典的排錯題
  • Service tag 讓規則不必寫死 IP：Internet、VirtualNetwork、AzureLoadBalancer、Storage、Sql 等
    ASG 讓你用「應用程式角色」當來源/目的地（例如 asg-web → asg-db），不必管 IP 變動。ASG 內的 NIC 必須都在同一個 VNet
  • Effective security rules 是排錯的第一站，它會把子網路 + NIC 的規則合併算給你看

• 實作 Lab

  • 建兩台 VM：vm-web、vm-db，各建一個 ASG 並指派
  • 寫規則：允許 Internet → asg-web:80；允許 asg-web → asg-db:3306；拒絕 Internet → asg-db
  • 從 vm-web 用 nc -zv <db私有IP> 3306 測試，成功
    直接從外部測 db，被擋
  • 故意製造衝突：加一條優先序 100 的 Deny 蓋過優先序 200 的 Allow，驗證優先序邏輯
  • 用 Effective security rules 判讀最終結果

• 今日心得

基本上這些對我來說也很基本款，好像沒什麼心得......