Par rapport à l'accès via l'internet public, l'accès au réseau interne offre une isolation totale vis-à-vis des réseaux externes, ce qui permet de prévenir les attaques réseau et les accès non autorisés. Ce type d'accès est idéal pour les communications internes nécessitant un niveau de sécurité élevé et des vitesses de transfert de données rapides. L'accès au réseau interne repose sur des adresses IP privées et des noms de domaine privés. Utilisez des fonctionnalités telles que les listes de contrôle d'accès réseau (ACL) et les groupes de sécurité pour contrôler les accès entre différentes instances ECS au sein d'un VPC. Pour les accès inter-VPC, comme la connexion de VPC situés dans différents comptes ou régions, Alibaba Cloud propose des solutions telles que Cloud Enterprise Network et VPC Peering Connection.
Méthodes d'accès interne
Adresses IP privées
Les adresses IP privées, généralement des adresses IPv4, ne sont pas accessibles depuis l'internet. Utilisez des adresses IPv4 privées pour assurer la communication entre les instances ECS et d'autres ressources internes. Alibaba Cloud attribue des adresses IPv4 privées aux instances ECS via le protocole DHCP (Dynamic Host Configuration Protocol).
Si vous devez utiliser IPv6 pour l'accès au réseau interne dans votre VPC, créez des instances ECS dotées d'adresses IPv6. Ces instances doivent être créées dans un VPC et un vSwitch pour lesquels les blocs CIDR IPv6 sont activés.
Pour plus d'informations, consultez la rubrique Adresses IP.
Noms de domaine privés
Attribuez des noms de domaine privés aux instances ECS d'un VPC pour un accès sans gestion manuelle des adresses IP, avec une gestion automatique des enregistrements DNS.
Après avoir activé la fonctionnalité de nom d'hôte DNS pour votre VPC, configurez la résolution DNS privée pour les instances ECS afin d'autoriser l'accès interne via des noms de domaine privés. Pour plus d'informations, consultez la rubrique Résolution DNS privée pour les instances ECS.
Contrôle d'accès interne
Listes de contrôle d'accès réseau
Une liste de contrôle d'accès réseau (ACL) est une fonctionnalité de contrôle d'accès disponible dans un VPC. Créez des règles ACL personnalisées et associez l'ACL à un vSwitch afin de contrôler le trafic entrant et sortant des instances ECS présentes dans ce vSwitch. Pour plus d'informations, consultez les rubriques Listes de contrôle d'accès réseau et Créer et gérer une liste de contrôle d'accès réseau.
Utilisez également les listes ACL pour restreindre la communication interne entre les instances ECS situées dans différents vSwitches. Pour plus d'informations, consultez la rubrique Restreindre la communication entre les instances ECS de différents vSwitches.
Règles de groupe de sécurité
Une configuration appropriée des groupes de sécurité peut renforcer considérablement la sécurité de vos instances. Un groupe de sécurité agit comme un pare-feu virtuel qui contrôle le trafic entrant et sortant de vos instances ECS au niveau de l'interface réseau. Au sein d'un même VPC, utilisez les règles de groupe de sécurité pour contrôler l'accès interne entre les instances ECS.
Même groupe de sécurité : pour autoriser cette communication, placez les instances ECS nécessitant un accès interne dans le même groupe de sécurité basique. Par défaut, un groupe de sécurité basique autorise la communication entre les instances qu'il contient. En revanche, un groupe de sécurité avancé isole toutes les instances qui en font partie. Pour plus d'informations, consultez la rubrique Modifier la politique de contrôle d'accès interne d'un groupe de sécurité basique.
Entre différents groupes de sécurité : pour autoriser la communication entre des instances ECS appartenant à des groupes de sécurité distincts, ou pour utiliser un groupe de sécurité avancé afin d'assurer un contrôle d'accès granulaire, une conformité stricte ou gérer des environnements réseau complexes, autorisez un groupe de sécurité à accéder à un autre. Par défaut, un groupe de sécurité avancé isole les instances qu'il contient et cette politique ne peut pas être modifiée. Pour plus d'informations, consultez la rubrique Recommandations et cas d'utilisation des groupes de sécurité.
Pare-feu du système hôte
Un pare-feu crée une barrière de protection entre les réseaux internes et externes. Si un pare-feu est activé sur votre serveur avec des règles bloquant l'accès externe, il se peut que vous ne puissiez pas vous connecter au serveur à distance. Pour plus d'informations, consultez les rubriques suivantes :
Connectivité interne inter-VPC
Par défaut, les Virtual Private Clouds (VPC) sont isolés. Utilisez une connexion VPC Peering ou Cloud Enterprise Network (CEN) pour établir des connexions privées entre eux, permettant ainsi aux instances de communiquer entre différents VPC.
Ces méthodes de connexion diffèrent par leur mise en œuvre, les régions prises en charge, la complexité de configuration, le nombre de VPC pouvant être connectés et la tarification. Pour plus d'informations, consultez la section Connecter des VPC.
Documentation connexe
Pour modifier l'adresse IP privée principale par défaut attribuée à une instance, consultez la rubrique Adresses IP privées principales.
Si vos scénarios nécessitent plusieurs adresses IP privées, par exemple pour l'hébergement de plusieurs applications ou pour le basculement, attribuez une ou plusieurs adresses IP privées secondaires à une instance ECS. Pour plus d'informations, consultez la rubrique Adresses IP privées secondaires.
Pour connaître les bonnes pratiques relatives à l'utilisation des groupes de sécurité, consultez la rubrique Bonnes pratiques relatives aux groupes de sécurité.
-
Un pare-feu VPC inspecte et contrôle le trafic entre les Virtual Private Clouds (VPC) ainsi qu'entre les VPC et les centres de données sur site. Si vos VPC sont connectés via un Cloud Enterprise Network (CEN) ou un circuit Express Connect, créez un pare-feu VPC pour contrôler le trafic entre les VPC et entre les VPC et vos centres de données sur site.
Pour plus d'informations, consultez la rubrique Pare-feu VPC.