Azure 网络安全组和 VNET 之间有什么区别？

Question

我在 Azure 中制作了一些虚拟机。

我可以看到已经为我的 VM 创建了一个 vnet。这很棒，因为他们需要网络，我（当然）希望他们能够相互连接。

我还可以看到已经创建了一个网络安全组，这很好，因为我可以控制防火墙规则和外部访问。

但是，我不清楚它们之间的区别以及为什么它们都存在？为什么它们是分开的，而不是作为 vnet 下的防火墙选项卡实现的网络安全组（以 SQL 数据库的方式）。我也看不到 vnet 和网络安全组之间的关系。他们都拥有相同的 NIC，但似乎彼此没有任何认识 - 这是否意味着安全组可能不适用于网络上的某些 NIC？（反之亦然，网络安全组是否可以拥有来自不同 vnet 的 NIC？）。

Answer 1

我想 NSG 可以作为 vNet 的一部分实施，但实际上当前的方法提供了更大的灵活性，尤其是在您使用模板进行部署时。

vNet 是您的容器，它提供 VM 之间的通信以及您的环境与外部世界之间的边界。在 vNet 中，您将创建子网以根据需要组织网络并配置路由规则以定义流量如何流动（如果您不喜欢默认值）。vNets 还提供了连接到诸如 VPN 和 Express 路由之类的功能的功能。

NSG 是您的防火墙，它决定允许哪些流量通过。需要注意的重要一点是，NSG 可以应用于单个机器或子网。这种区别意味着您可以将 NSG 应用于子网，并且它可以控制允许来自外部世界以及来自您网络上其他子网的流量。或者，您可以在 VM/NIC 级别定义它并仅为该 VM 锁定内容。