NSG 規則以來源、來源端口範圍、目的地、目的地端口、協定、方向及動作等條件判斷流量。NSG 可以關閉不需要的網絡路徑，但不能代替應用程式認證、主機防火牆、Web 應用程式防火牆或資料庫權限。Microsoft Learn 的 NSG 文件是配置及有效規則驗證的主要依據；NIST SP 800-41 則提供防火牆政策、規則管理及記錄的安全治理背景。
NSG 可關聯到子網及網絡介面。若兩層均有 NSG，入站或出站流量必須符合相關層的允許條件；排錯時應先記錄兩層實際配置，而不是只修改其中一層。
| 檢查項目 | 應核對的內容 | 常見錯誤 |
|---|---|---|
| 方向 | 流量是進入還是離開網絡介面／子網 | 只建立入站規則，忘記回程或出站控制 |
| 優先次序 | 數字較小的規則較早被評估；首個符合規則會決定結果 | 較寬鬆的 Allow 在前面遮蔽後面的 Deny |
| 來源／目的地 | IP 前綴、服務標籤、ASG 或虛擬網絡 | 來源範圍過大或目的地寫錯 |
| 端口／協定 | 實際監聽端口、TCP／UDP 及方向 | 把服務名稱、端口及協定混為一談 |
| 關聯位置 | 子網和網絡介面是否套用預期 NSG | 改了未被流量使用的 NSG |
由一個指定來源和目的地開始，先以 IP 測試再以 DNS 名稱測試。查看網絡介面的有效安全性規則，確認 Azure 合併子網及網絡介面兩層規則後的實際結果；再配合 Network Watcher 的 IP flow verify、連接監視或等效診斷工具，定位是 NSG、路由、DNS、設備策略還是端口服務問題。
保留來源 IP、目的地 IP、來源端口、目的地端口及協定，避免只說「網絡不通」。
有效規則比單一 NSG 的畫面更接近實際套用狀態，應以網絡介面為中心核對。
配合 NSG flow logs、設備日誌及連線測試時間，讓結果能夠重現。
先建立臨時、最小範圍的測試規則，驗證後再按正式審批流程固化。
NIST SP 800-41 強調防火牆政策應由業務需求、風險、規則維護及記錄支持。NSG 也應有規則擁有人、用途、變更理由及覆核週期。生產環境避免長期保留 Any-to-Any 例外；若因故障排查短暫放寬，應設定到期時間並在完成測試後移除。
對外公開的管理端口、資料庫端口及儲存服務端口應優先檢視。NSG 只是一層控制，仍應配合私有端點、身分驗證、主機補丁、監控及備份，形成完整的防護邊界。
不確定如何應用於實際環境？我們的工程師可按現場情況提供建議，免費解答及報價。
WhatsApp 即時查詢若閣下正計劃相關工程或需要選購設備，歡迎瀏覽網絡工程服務了解方案詳情，或透過網上快速報價與我們的工程師聯絡。
產品規格以原廠最新文件為準；有需要請聯絡我們工程師。