Analizador de NSG de Azure

Pega una exportación de NSG de Azure para detectar puertos abiertos, conflictos ocultos entre reglas de subred y de NIC, y ver un diagrama.

Se ejecuta en tu navegador · no se envía nadaAzureNuevo

Todo se ejecuta en tu navegador. No se envía nada, incluidos los ID de suscripción, nombres de recursos y rangos IP de tu exportación.

Exportación de NSG (JSON)

Pega la salida de "az network nsg show --output json" (o "az network nsg list" para varios NSG), una plantilla ARM, o la salida de "az network nsg rule list".

Cómo se usa

Ejecuta "az network nsg show --resource-group <rg> --name <nsg> --output json" (o "az network nsg list" para comparar varios), o exporta una plantilla ARM.
Pega el JSON en la herramienta.
Revisa los hallazgos, el diagrama y la tabla de grupos.
Si pegaste más de un NSG, comprueba "Conflictos entre NSG" para reglas que se anulan entre sí.

Casos habituales

Averiguar por qué se bloquea el tráfico a pesar de una regla Allow

Pega tanto el NSG de la subred como el de la NIC de una VM para ver si un Deny en uno anula un Allow en el otro.

Auditar una subred antes de una revisión de seguridad

Exporta el NSG y busca puertos abiertos a internet, reglas redundantes y duplicados antes de una auditoría programada.

Explicación

Pega la salida JSON de "az network nsg show" o "az network nsg list" (o una plantilla ARM, o la salida de "az network nsg rule list"), y la herramienta revisa cada regla propia en busca de problemas habituales: puertos abiertos a todo internet, servicios sensibles expuestos sin restricción, reglas ocultas o redundantes, y duplicados. Las 6 reglas predeterminadas automáticas (AllowVNetInBound, DenyAllInBound y similares) están ocultas por defecto porque no son una decisión de configuración. La herramienta dibuja un diagrama del tráfico permitido, permite ver el impacto de eliminar una regla señalada, y cuando pegas más de un NSG señala conflictos entre ellos: un Allow en uno que queda anulado por un Deny en otro, lo que ocurre porque Azure exige que tanto el NSG de la subred como el de la NIC permitan el tráfico antes de que pase. Todo se ejecuta localmente; la exportación nunca sale de tu navegador.

🔒 Tu entrada se queda en tu navegador y no se envía a ningún sitio.

Preguntas frecuentes

¿Esto se conecta a mi suscripción de Azure?

No. No hay credenciales ni llamadas a la API. Tú exportas el NSG con la CLI de Azure, PowerShell o una plantilla ARM y pegas el JSON aquí.

¿Por qué algunas reglas están ocultas por defecto?

Azure añade automáticamente 6 reglas predeterminadas a cada NSG (permitir tráfico de VNet, permitir el balanceador de carga de Azure, denegar el resto, en ambas direcciones). No es algo que hayas configurado, así que están ocultas salvo que pidas verlas, para mantener los hallazgos centrados en tus propias reglas.

¿Qué significa un conflicto entre NSG?

Una tarjeta de red y su subred pueden tener cada una su propio NSG, y Azure solo deja pasar el tráfico si ambos lo permiten. Si uno permite un puerto y el otro lo deniega, el tráfico se bloquea en la práctica; esta herramienta lo destaca para que no pierdas tiempo depurando el NSG equivocado.

¿Cómo se tratan las etiquetas VirtualNetwork y AzureLoadBalancer?

Son grupos gestionados por Azure, no rangos IP públicos, así que se muestran por su nombre en el diagrama y nunca cuentan como "abierto a internet". Solo "*" e "Internet" se tratan como todo internet.

Qué hacer después

También útil

Analizador de Security Groups de AWSPega una exportación de describe-security-groups para encontrar puertos abiertos, reglas redundantes u ocultas, un diagrama y el impacto de eliminarlas.
Analizador de manifiestos de KubernetesPega un manifiesto de Kubernetes para detectar límites de recursos ausentes, ajustes de seguridad arriesgados y reglas RBAC demasiado amplias, con un parche sugerido.
Planificador de VPC/subredPlanifica subredes dentro de una VPC o VNet, ve las direcciones utilizables tras las reservas del proveedor, detecta solapamientos y exporta Terraform o CloudFormation.
Puertos de red habitualesLista con búsqueda de puertos TCP y UDP conocidos: SSH, HTTP, HTTPS, RDP, SMB, DNS, bases de datos y más.
Analizador DMARCComprueba un registro DMARC: política, política de subdominios, pct y direcciones de informes, con un diagrama de lo que hacen los receptores. Consulta o pega.
Rango IP a CIDR y comprobación de IP en redConvierte un rango IPv4 en la lista mínima de bloques CIDR y comprueba si una dirección IP pertenece a una red.

¿Has encontrado un problema o tienes una sugerencia? Cuéntanoslo