NSG の規則の読み方

NSG（ネットワーク セキュリティ グループ）は、通信を許すか拒むかの規則の集まりです。サブネットか NIC（VM のネットワークの差し口）に関連付けます。
- 優先度は 100〜4096 で、数の小さい規則から順に見て、一致したところで終わる
- 既定の規則は 65000（VNet の中は許す）、65001（ロードバランサーからは許す）、65500（ほかはすべて拒む）。消せないが、小さい数の規則で上書きできる
- NSG はステートフル。行きを許せば、帰りの規則は要らない
- 受信はサブネットの NSG → NIC の NSG の順。両方で許されないと届かない

ASG と Bastion

• アプリケーションセキュリティグループ（ASG） … VM を「Web」「DB」のような組にまとめ、規則の送信元や宛先に組の名前を書く
• Azure Bastion … VM にパブリック IP を付けずに、ブラウザから RDP や SSH でつなぐ。AzureBastionSubnet という名前の /26 以上のサブネットが要る

2つのエンドポイント

• サービスエンドポイント … サブネットから PaaS（ストレージなど）への通信を Microsoft のネットワークで通し、PaaS のファイアウォールでそのサブネットを許す。PaaS はパブリックのアドレスのまま
• プライベートエンドポイント … PaaS に、VNet の中のプライベート IP を割り当てる。プライベート DNS ゾーンで名前を解決する

ロードバランサー

Azure Load Balancer は、TCP や UDP の通信を、正常性プローブで生きているバックエンドの VM に分けます（第4層）。パブリックと内部があります。Basic は2025年9月30日に廃止され、Standard を使います。Standard は、NSG で許すまで受信を通しません。URL のパスで振り分けたいなど、HTTP の中身を見るなら Application Gateway です。

• NSG の優先度と既定の規則、評価の順番
• ASG と Azure Bastion
• サービスエンドポイントとプライベートエンドポイントの違い
• ロードバランサーの仕組みと Application Gateway との違い