한눈에 보기
- Azure의 세 가지 네트워크 보안(NSG · Azure Firewall · WAF)이 막는 계층과 역할을 정리합니다.
- 핵심: NSG는 기본 트래픽 필터, Firewall은 중앙 집중 L3~L7 통제, WAF는 웹 공격 방어.
- 셋은 경쟁이 아니라 겹쳐 쓰는 다층 방어입니다.
“NSG 있으면 방화벽 필요 없나요?” 자주 나오는 질문입니다. 답은 ‘막는 층이 다르다’입니다. 각각이 어디를 지키는지 보면 선택이 쉬워집니다.
세 가지 비교
| 구분 | NSG | Azure Firewall | WAF |
|---|---|---|---|
| 계층 | L3/L4(IP·포트) | L3~L7 | L7(HTTP) |
| 역할 | 서브넷/NIC 트래픽 허용·차단 | 중앙 집중 송·수신 통제, FQDN 필터 | SQLi·XSS 등 웹 공격 차단 |
| 비용 | 무료 | 시간당+처리량 | App Gateway/Front Door에 포함 |
| 적합 | 기본 분리·최소 권한 | 다수 VNet·아웃바운드 통제 | 공개 웹앱·API |
NSG: 가장 먼저, 무료
서브넷·NIC 단위로 IP·포트 규칙을 적용합니다. ‘필요한 포트만 열기’의 기본 도구로, 비용이 없으니 가장 먼저 적용합니다. 다만 도메인 기반 필터나 위협 인텔리전스는 못 합니다.
Azure Firewall: 중앙에서 통제
허브-스포크 구성에서 모든 송·수신 트래픽을 한 곳에서 통제하고, FQDN(도메인) 기반 아웃바운드 필터와 위협 인텔리전스를 제공합니다. VNet이 여러 개고 아웃바운드를 통제해야 하면 적합합니다.
WAF: 웹앱 앞단 방패
Application Gateway나 Front Door에 붙여 SQL 인젝션·XSS 같은 L7 웹 공격을 차단합니다. 공개된 웹앱·API가 있다면 사실상 필수입니다. NSG·Firewall로는 못 막는 영역입니다.
실전 조합
- 1인·소규모: NSG로 포트 최소화 + 공개 웹앱이면 WAF.
- 다수 VNet·기업: NSG(기본) + Azure Firewall(중앙) + WAF(웹앱) 3층.
- 아웃바운드 통제가 핵심이면 Firewall의 FQDN 필터가 결정적.
흔한 실수
- “NSG로 충분”이라 믿고 웹 공격 무방비 — L7은 WAF 영역입니다.
- Firewall만 두고 NSG 생략 — 서브넷 내부 격리가 약해집니다. 둘은 보완 관계.
- WAF를 탐지(Detection)만 — 차단(Prevention) 모드로 바꿔야 실제로 막습니다.
자주 묻는 질문(FAQ)
- Q. NSG가 있으면 Azure Firewall은 필요 없나요? A. 막는 계층이 다릅니다. NSG는 기본 필터, Firewall은 중앙 집중·FQDN·위협 인텔 통제로 보완합니다.
- Q. WAF는 어디에 붙이나요? A. Application Gateway 또는 Front Door에 연결해 웹앱 앞단에서 L7 공격을 막습니다.
- Q. 비용을 아끼려면? A. 무료인 NSG부터 적용하고, 공개 웹앱엔 WAF, 아웃바운드 통제가 필요할 때 Firewall을 더하세요.
마치며
NSG(기본)·Firewall(중앙)·WAF(웹)는 막는 층이 다른 다층 방어입니다. 무료인 NSG부터 깔고, 노출 형태에 맞춰 WAF·Firewall을 더하면 됩니다.