Cloud Firewall:Internet firewall

Lors de la protection des actifs ECS (y compris les adresses IP publiques ECS et les ECS EIP), vous pouvez appliquer des politiques Allow par défaut pour le trafic Internet en un seul clic depuis la console Cloud Firewall. Cela vous permet de gérer les règles de manière centralisée via Cloud Firewall sans modifier les configurations de groupe de sécurité dans la console ECS.

Fonctionnement

Cloud Firewall ajoute quatre règles avec la priorité la plus basse (100) aux groupes de sécurité associés à vos actifs ECS. Ces règles autorisent l'accès Internet pour les actifs ECS.

Pour les règles de même priorité, les groupes de sécurité ECS font correspondre les règles Deny en premier. Par conséquent, si vous disposez de règles Deny existantes avec une priorité de 100, les politiques Allow appliquées par Cloud Firewall ne les remplaceront pas.

Notes d'utilisation

• Ces politiques en un clic affectent toutes les ressources au sein du groupe de sécurité associé. Avant de les appliquer, activez la protection Cloud Firewall et configurez des politiques de contrôle d'accès entrant appropriées pour toutes les ressources associées. Sinon, vous risquez d'exposer vos ressources à Internet.

  Nous déconseillons d'appliquer ces politiques à des ressources non protégées. De même, nous déconseillons de désactiver la protection Cloud Firewall pour les ressources où ces politiques sont déjà appliquées.

• Lorsque votre service Cloud Firewall expire, les quatre politiques Allow ajoutées par Cloud Firewall restent actives dans le groupe de sécurité. Si vous n'utilisez plus le service Cloud Firewall, nous vous recommandons de supprimer manuellement ces quatre politiques Allow par défaut. Pour obtenir des instructions, consultez Delete a security group rule.

Limitations

• La fonctionnalité permettant d'appliquer des politiques Allow par défaut pour les groupes de sécurité prend uniquement en charge les règles entrantes pour les adresses IP publiques ECS et les ECS EIP.

• L'application de politiques Allow par défaut n'est pas prise en charge pour les groupes de sécurité d'entreprise.

Appliquer des politiques Allow

1. Connectez-vous à la console Cloud Firewall.

2. Dans le volet de navigation de gauche, cliquez sur Firewall.

3. Sous l'onglet Internet Firewall, cliquez sur l'onglet IPv4 ou IPv6.

4. Dans la liste des actifs publics, localisez l'actif ECS auquel vous souhaitez appliquer la politique par défaut, puis cliquez sur Apply dans la colonne Default Allow Policies.

5. (Facultatif) Si des règles du groupe de sécurité actuel entrent en conflit avec les règles à appliquer, vous devez d'abord ajuster les politiques.

   • Conflit ajustable : les règles du groupe de sécurité ont la même priorité que les règles à appliquer, mais le type de protocole, la plage de ports ou l'objet d'autorisation diffère.

     Dans la boîte de dialogue Default Allow Policies, cliquez sur Quick Modify pour résoudre le conflit en augmentant la priorité de la règle de groupe de sécurité existante.

   • Conflit non ajustable : les règles du groupe de sécurité ont la même priorité, le même type de protocole, la même plage de ports et le même objet d'autorisation que les règles à appliquer.

     Nous vous recommandons de vous rendre sur la page Security Group de la console ECS pour afficher et ajuster la priorité des règles conflictuelles. Pour des instructions détaillées, consultez Modify a security group rule. Vous pouvez également soumettre un ticket pour consulter nos experts techniques.

6. Dans la colonne Actions du groupe de sécurité, cliquez sur Quick Apply. Vérifiez les quatre politiques Allow à appliquer, puis cliquez sur OK.

   Si une instance ECS utilise plusieurs groupes de sécurité, vous devez appliquer les politiques à tous pour que la modification prenne effet.

   Les quatre politiques à appliquer ont toutes une priorité de 100, s'appliquent à l'interface réseau privée et utilisent le protocole ALL. Les politiques comprennent trois règles Deny pour les adresses source 192.168.0.0/16, 172.16.0.0/12 et 10.0.0.0/8, ainsi qu'une règle Allow pour l'adresse source 0.0.0.0/0.

Après avoir configuré les règles Allow du groupe de sécurité, vous pouvez afficher l'état de déploiement de la politique Allow par défaut du groupe de sécurité sur la page Firewall > Internet Firewall afin de déterminer si la politique a été correctement déployée et de résoudre rapidement les éventuels échecs de déploiement.

Les statuts d'application possibles sont :

• Applied : Les politiques Allow par défaut ont été appliquées à tous les groupes de sécurité associés à l'actif ECS.

• Not Applied : Les politiques Allow par défaut n'ont pas été appliquées à un ou plusieurs des groupes de sécurité associés, ou un conflit de configuration existe.

• - : L'application en un clic des politiques Allow par défaut n'est pas prise en charge pour ce type d'actif.

Vous pouvez télécharger la liste des actifs publics sous forme de fichier CSV.

1. Connectez-vous à la console Cloud Firewall.

2. Dans le volet de navigation de gauche, cliquez sur Firewall.

3. Sous l'onglet Internet Firewall, cliquez sur l'onglet IPv4 ou IPv6.

4. Dans le coin supérieur droit de la liste des actifs publics, cliquez sur l'icône .

5. Dans le coin supérieur droit de l'onglet Internet Firewall, cliquez sur Download Task Management pour vérifier la progression du téléchargement. Une fois la tâche terminée, cliquez sur Download dans la colonne Actions.

1. Connectez-vous à la console Cloud Firewall.

2. Dans le volet de navigation de gauche, cliquez sur Firewall.

3. Sous l'onglet Internet Firewall, cliquez sur l'onglet IPv4 ou IPv6. Dans la liste des actifs publics, localisez l'actif dont vous souhaitez annuler la protection et cliquez sur Disable Protection dans la colonne Actions.