Azure NSG analyzer
Plak een Azure NSG-export om open poorten en verborgen conflicten tussen subnet- en NIC-regels te vinden, met verkeersdiagram.
Draait in je browser · er wordt niets verstuurdAzureNieuw
Alles draait in je browser. Er wordt niets verstuurd, ook geen abonnement-ID’s, resourcenamen of IP-bereiken uit je export.
Zo gebruik je het
- Voer "az network nsg show --resource-group <rg> --name <nsg> --output json" uit (of "az network nsg list" om meerdere te vergelijken), of exporteer een ARM-template.
- Plak de JSON in de tool.
- Bekijk de bevindingen, het diagram en de groepentabel.
- Als je meer dan één NSG hebt geplakt, controleer "Conflicten tussen NSG’s" op regels die elkaar tegenwerken.
Veelvoorkomende situaties
Plak zowel de subnet-NSG als de NIC-NSG van een VM om te zien of een Deny in de ene een Allow in de andere overruled.
Exporteer de NSG en scan op poorten open naar het internet, overbodige regels en duplicaten voor een geplande audit.
Uitleg
Plak de JSON-uitvoer van "az network nsg show" of "az network nsg list" (of een ARM-template, of de uitvoer van "az network nsg rule list"), en de tool controleert elke eigen regel op veelvoorkomende problemen: poorten open naar het hele internet, gevoelige diensten zonder beperking blootgesteld, regels die overschaduwd of overbodig zijn, en duplicaten. De 6 automatische standaardregels (AllowVNetInBound, DenyAllInBound en vergelijkbare) zijn standaard verborgen omdat dit geen configuratiekeuze is. De tool tekent een diagram van het toegestane verkeer, laat zien wat de impact is van het verwijderen van een gemelde regel, en als je meer dan één NSG plakt, meldt de tool conflicten daartussen: een Allow in de ene die overruled wordt door een Deny in de andere, wat gebeurt omdat Azure vereist dat zowel de subnet-NSG als de NIC-NSG verkeer toestaan voordat het doorkomt. Alles draait lokaal; de export verlaat je browser nooit.
🔒 Je invoer blijft in je browser en wordt nergens naartoe gestuurd.
Veelgestelde vragen
Maakt dit verbinding met mijn Azure-abonnement?
Nee. Er zijn geen inloggegevens en geen API-aanroepen. Je exporteert de NSG zelf met de Azure CLI, PowerShell of een ARM-template en plakt de JSON hier.
Waarom zijn sommige regels standaard verborgen?
Azure voegt automatisch 6 standaardregels toe aan elke NSG (VNet-verkeer toestaan, de Azure load balancer toestaan, alles anders weigeren, voor beide richtingen). Dit heb je niet zelf geconfigureerd, dus ze zijn verborgen tenzij je ze wilt zien, zodat de bevindingen gericht blijven op je eigen regels.
Wat betekent een conflict tussen NSG’s?
Een netwerkinterface en zijn subnet kunnen elk hun eigen NSG hebben, en Azure laat verkeer alleen door als beide het toestaan. Als de ene NSG een poort toestaat en de andere weigert, wordt het verkeer in de praktijk geblokkeerd; dit markeert de tool zodat je geen tijd verliest aan debuggen van de verkeerde NSG.
Hoe gaat dit om met VirtualNetwork- en AzureLoadBalancer-tags?
Dit zijn door Azure beheerde groepen, geen publieke IP-bereiken, dus ze worden op naam getoond in het diagram en tellen nooit mee als "open naar het internet". Alleen "*" en "Internet" worden behandeld als het hele internet.
Wat nu?
Een probleem gevonden of een suggestie? Laat het ons weten