Azure 充值渠道 修改Azure虚拟机NSG策略
NSG是什么？别让它把你关门外
NSG（网络安全组）是Azure里负责守门的保安大叔，专门负责审核进出虚拟机的流量。想象一下，你的云服务器是个豪宅，NSG就是大门保安，只让持有正确“邀请函”的人进出。如果保安太严格，你可能连自己都进不去；如果太宽松，黑客可能直接溜进来喝茶。所以，修改NSG策略就像调整保安的规矩，得恰到好处。
为什么要修改NSG？小心别当“自闭型”服务器
新手经常犯的错误是：把NSG配置得跟铜墙铁壁一样，结果自己连不上服务器；或者相反，全开放，结果被黑客扫成筛子。我第一次改NSG时，把SSH端口22关了，结果自己被困在门外，只好打电话求同事帮忙重启虚拟机。那一刻，我深刻理解了什么叫“作茧自缚”——自己给自己关了门。
常见的“自闭”原因
1. 默认拒绝：NSG的入站规则默认是拒绝所有流量，除非你手动添加允许规则。很多小伙伴以为“没设置就是开放”，结果发现连不上，以为服务器挂了，实际是保安没开门。
2. 优先级错乱：规则优先级数字越小越优先。比如你加了个优先级100的拒绝规则，后面又加了优先级200的允许规则，结果允许规则根本没机会生效，因为前面的拒绝已经把流量拦住了。就像电影院里，你买了VIP票，但座位号排在最后，前面的人都进去了，你还没验票就结束了。
3. 源IP写错：把源IP填成0.0.0.0/0，相当于把门禁卡发给全宇宙。虽然你连得上了，但黑客也连得上。我见过有人这么干，结果服务器被扫描到，第二天就被攻击了，真是“开门揖盗”。
Azure 充值渠道 手把手教你修改NSG，别踩坑
别慌！只要按步骤来，NSG配置比做菜还简单。下面咱一步步来：
步骤1：先别急，搞清需求
在点击“添加”之前，先问自己几个问题：我需要开放哪些端口？比如SSH是22，HTTP是80，HTTPS是443。源IP是谁？是公司固定IP？还是某个特定范围？别偷懒写0.0.0.0/0，除非你真需要全球开放（但通常没必要）。另外，协议是什么？TCP、UDP还是ICMP？别搞混了。
步骤2：别让优先级搞砸
Azure的NSG规则优先级是100到4096，数字越小优先级越高。通常默认规则的优先级是1000左右，所以如果你要添加一个允许规则，优先级应该设得比默认拒绝低，比如500。比如，要允许特定IP的SSH访问，优先级设为400，这样它会先于默认拒绝（1000）执行。记住，优先级是“倒序”——数字小的排前面。
步骤3：源地址和目标地址别写错
源地址：如果是公司IP，别写成192.168.1.1，而应该是你的公网IP，比如203.0.113.1/32。如果公司有多个IP，可以写成192.0.2.0/24这样的网段。目标地址：一般是虚拟机的IP，但NSG规则里通常留空，因为默认是针对关联的资源。端口：别写错，比如HTTP是80，HTTPS是443，SSH是22。如果写成8080，那HTTP服务就访问不了了。
实战案例：一个真实事故的教训
去年，我们团队上线新服务，开发人员让我开放80和443端口。我兴冲冲地添加了规则，但只开了80，忘记443。结果客户访问网站时HTTPS打不开，投诉电话不断。后来发现是规则漏了，赶紧补上。但更惨的是，源IP写成了0.0.0.0/0，结果黑客扫描到后疯狂尝试暴力破解，服务器CPU直接飙到100%。后来赶紧把源IP改成公司IP段，问题才解决。这次教训让我明白：NSG配置必须“严格”+“精准”，别贪图省事。
如何避免常见错误？
测试环节不能少
改完NSG后，别急着庆祝。先用telnet测试端口：比如telnet your-ip 80，看能否连接。如果不行，可能是规则没生效。或者用Azure的“Connectivity Troubleshooting”工具，它能帮你快速定位问题。我之前改完NSG，连不上RDP，结果发现优先级搞错了——新规则优先级比默认拒绝高，所以没生效。检查后调整优先级，瞬间通了，真是“山重水复疑无路，柳暗花明又一村”。
备份规则，小心操作
修改NSG前，先导出当前规则作为备份。Azure里可以导出模板，或者截图保存。这样万一改错了，可以快速恢复。我上次改的时候手滑，把所有入站规则都删了，结果服务器直接“自闭”，全公司都连不上。幸好我有备份，不然得花几小时排查。现在每次操作前，我都会先截图，再点修改，安全第一。
总结：NSG修改的黄金法则
修改NSG就像给房子装防盗门：太松容易被贼偷，太紧自己也进不去。记住三个原则：1. 按需开放，最小权限原则；2. 优先级要合理，先放行再拒绝；3. 测试后再上线。另外，别嫌麻烦，定期检查规则，清理无用的规则。毕竟，安全无小事，尤其是云环境里，一个疏忽可能让整个系统暴露在风险中。下次修改NSG时，先深呼吸，想想：“我到底要让谁进来？他们能干啥？会不会出问题？”——这样就能避免大部分错误了。
