前言

以往 Azure VM 只能利用 Endpoint 加上 ACL (Access List Control) 來管理 Inbound 的流量，如下圖：
且Outbound 的流量只能透過作業系統裡面的 Windows Firewall 來控管。

而微軟推出了較新的技術，給予雲端資源能有更安全的管理機制，就是 Network Security Group (以下稱 NSG)。除了可以控制 Inbound 之外，也可以限制流量輸出，NSG 可和 vNet、Subnet、VM、NIC 做關聯，讓您在雲端安全控管方面更有彈性、更有掌握能力。

實作

以下我們以一個簡易情境：讓 Azure VM (Windows Server 2012 R2) 不能透過 TCP_80 port 上網，一般實務上都會建議把此規則建立起來，因為 Server 都是提供重要服務，若輕易上網、下載檔案，很容易有資安風險。

預設 Azure VM (v2 - 資源管理員類型) 建立起來後就會有一個 Network Security Group，而這個 NSG 是綁在 VM 的網卡上，如下圖：

目前 Azure VM 是可以上網的狀態：

注意 Endpoint 加 ACL 不可和 NSG 同時存在，若已經有 Endpoint 加 ACL，想要加 NSG，請先移除原有設定。