NSG y ASG bien diseñados

Cada NSG trae reglas por defecto que no se pueden borrar y que van al final, con prioridades 65000, 65001 y 65500. Las de entrada permiten el tráfico dentro de la red virtual (AllowVnetInBound), el del balanceador de carga de Azure (AllowAzureLoadBalancerInBound) y deniegan todo lo demás (DenyAllInBound). Las reglas que escribe el usuario usan prioridades de 100 a 4096 y se evalúan primero, de menor a mayor número; la primera que coincide decide.

La consecuencia práctica es que, dentro de una misma red virtual, las máquinas se alcanzan entre sí aunque no exista ninguna regla que lo permita. Para impedirlo hay que escribir una denegación propia con un número menor.

La etiqueta de servicio Internet agrupa las direcciones públicas fuera de la red. Una regla de entrada que permite un puerto de administración (22 de SSH, 3389 de escritorio remoto) desde esa etiqueta pone ese puerto delante de todo internet, y los escaneos automáticos la encuentran en minutos. La alternativa es permitirlo solo desde un rango corporativo concreto o, mejor, no abrirlo y administrar por una vía gestionada.

Abre el laboratorio. nsg-mch-app.json trae las reglas de la subred de la planta. Lee cada regla: nombre, dirección, acción, origen, destino y puerto.

Un ASG se asigna a las interfaces de red de las máquinas y se usa como origen o destino en las reglas. La regla web-a-aplicacion dice «lo que sea de la capa web puede hablar con la capa de aplicación» sin escribir una sola dirección. Ese es el valor del ASG: la regla se lee como la arquitectura.

También es su riesgo. Una interfaz puede pertenecer a varios grupos, y quien pertenece a dos hereda las reglas de ambos. Si una máquina está a la vez en el grupo que consulta una base de datos y en el que la contiene, la separación de capas que la regla promete no existe para ella. asg-miembros.txt lista las interfaces de cada grupo.

La regla aplicacion-a-bd permite el tráfico de la capa de aplicación hacia la de datos. Su destino es un grupo, así que alcanza a cada interfaz que sea miembro de ese grupo, ni una más ni una menos. Cuando se quiere saber cuánto cubre una regla se cuenta el grupo, no el rango de direcciones de la subred.

Lee en nsg-mch-app.json cuál es el grupo de destino de aplicacion-a-bd y cuenta sus miembros en asg-miembros.txt.

Una regla con direcciones escritas a mano depende de que las máquinas conserven su dirección y de que alguien edite la lista cuando entra una nueva. Con un ASG, una máquina nueva se añade al grupo y hereda las reglas; una máquina que se retira sale del grupo y las reglas dejan de afectarla. La regla no se toca.