Analyseur de NSG Azure
Collez un export de NSG Azure pour repérer les ports ouverts, les conflits cachés entre règles de sous-réseau et de carte réseau, et un diagramme.
S’exécute dans votre navigateur · rien n’est envoyéAzureNouveau
Tout s’exécute dans votre navigateur. Rien n’est envoyé, y compris les ID d’abonnement, noms de ressources et plages IP de votre export.
Mode d’emploi
- Exécutez "az network nsg show --resource-group <rg> --name <nsg> --output json" (ou "az network nsg list" pour en comparer plusieurs), ou exportez un modèle ARM.
- Collez le JSON dans l’outil.
- Examinez les résultats, le diagramme et le tableau des groupes.
- Si vous avez collé plusieurs NSG, vérifiez « Conflits entre NSG » pour les règles qui s’annulent.
Cas courants
Collez à la fois le NSG du sous-réseau et celui de la carte réseau d’une VM pour voir si un Deny dans l’un annule un Allow dans l’autre.
Exportez le NSG et recherchez les ports ouverts sur internet, les règles redondantes et les doublons avant un audit planifié.
Explication
Collez la sortie JSON de "az network nsg show" ou "az network nsg list" (ou un modèle ARM, ou la sortie de "az network nsg rule list"), et l’outil vérifie chaque règle personnalisée à la recherche de problèmes courants : ports ouverts à tout internet, services sensibles exposés sans restriction, règles masquées ou redondantes, et doublons. Les 6 règles par défaut automatiques (AllowVNetInBound, DenyAllInBound et similaires) sont masquées par défaut car elles ne résultent pas d’un choix de configuration. L’outil dessine un diagramme du trafic autorisé, permet de voir l’impact de la suppression d’une règle signalée, et lorsque vous collez plusieurs NSG, il signale les conflits entre eux : un Allow dans l’un annulé par un Deny dans l’autre, ce qui se produit parce qu’Azure exige que le NSG du sous-réseau et celui de la carte réseau autorisent tous les deux le trafic avant qu’il ne passe. Tout s’exécute localement ; l’export ne quitte jamais votre navigateur.
🔒 Votre saisie reste dans votre navigateur et n’est envoyée nulle part.
Questions fréquentes
Cela se connecte-t-il à mon abonnement Azure ?
Non. Aucun identifiant ni appel API. Vous exportez vous-même le NSG via la CLI Azure, PowerShell ou un modèle ARM et collez le JSON ici.
Pourquoi certaines règles sont-elles masquées par défaut ?
Azure ajoute automatiquement 6 règles par défaut à chaque NSG (autoriser le trafic VNet, autoriser le load balancer Azure, refuser le reste, dans les deux sens). Ce n’est pas une configuration que vous avez choisie, donc elles sont masquées sauf si vous demandez à les voir, pour garder les résultats centrés sur vos propres règles.
Que signifie un conflit entre NSG ?
Une carte réseau et son sous-réseau peuvent chacun avoir leur propre NSG, et Azure ne laisse passer le trafic que si les deux l’autorisent. Si l’un autorise un port et l’autre le refuse, le trafic est bloqué en pratique ; cet outil le met en évidence pour éviter de déboguer le mauvais NSG.
Comment les tags VirtualNetwork et AzureLoadBalancer sont-ils gérés ?
Ce sont des groupes gérés par Azure, pas des plages IP publiques, donc ils sont affichés par leur nom dans le diagramme et ne comptent jamais comme « ouvert sur internet ». Seuls « * » et « Internet » sont traités comme tout internet.
Et ensuite ?
Un problème ou une suggestion ? Dites-le-nous