Una subnet può avere associato un solo Network Security Group (NSG).
Una Network Interface (NIC) può avere zero oppure un NSG associato.
Ordine di applicazione degli NSG
Quando sono presenti NSG sia sulla subnet sia sulla NIC della macchina virtuale, le regole vengono elaborate in un ordine preciso.
Per il traffico in ingresso (Inbound), viene elaborato prima l’NSG associato alla subnet e successivamente quello associato alla NIC:
Internet/Rete → NSG Subnet → NSG NIC → VM
Il traffico deve quindi essere consentito da entrambi gli NSG per poter raggiungere la VM.
Per il traffico in uscita (Outbound), l’ordine è inverso: viene elaborato prima l’NSG associato alla NIC e successivamente quello associato alla subnet:
VM → NSG NIC → NSG Subnet → Internet/Rete
Anche in questo caso il traffico deve essere consentito da entrambi gli NSG.
Nota importante: dire che un NSG ha “precedenza” sull’altro può essere fuorviante. È più corretto parlare di ordine di elaborazione. Un
Allowsulla NIC, ad esempio, non può scavalcare unDenypresente sull’NSG della subnet.
Effective Security Rules
Se sono presenti diversi Network Security Group e non è chiaro quali regole siano effettivamente applicate a una macchina virtuale, è possibile utilizzare la funzione Effective security rules nel portale Azure.
Questa funzione permette di visualizzare la combinazione delle regole di sicurezza che interessano una Network Interface e quindi determinare quali regole NSG vengono effettivamente applicate al traffico della VM.
