Egress Proxy Gateway:Moteur de règles et configuration des règles

Prérequis

Vous avez créé une instance EPG (une configuration de proxy sortant est associée lors de la création) et vous devez mettre en œuvre un contrôle d'accès sur le trafic sortant de l'instance à l'aide de règles.

1. Créer un groupe de règles

1. Connectez-vous à la . Dans le volet de navigation de gauche, choisissez Rule Group Management Rule Group Management > Rule Group List Rule Group List, puis cliquez sur Create a rule group Create a rule group.

2. Sur la page Create Rule Group Create Rule Group, configurez les paramètres suivants et cliquez sur Create Create.

   • Rule Group Name Rule Group Name : Obligatoire. Saisissez un nom de groupe de règles facilement identifiable.

   • Associated outbound address pool Associated outbound address pool : Facultatif. Sélectionnez un pool d'adresses sortantes. Lorsqu'une requête correspond à une règle Allow dans la phase PreRequest de ce groupe de règles, les adresses IP du pool sélectionné sont utilisées comme point de sortie. Si aucun pool n'est sélectionné, le pool d'adresses par défaut de l'instance est utilisé.

     Un pool d'adresses sortantes appartient à une instance spécifique. Le pool d'adresses associé à un groupe de règles doit appartenir à la même instance EPG que la configuration de proxy sortant à laquelle le groupe de règles sera ultérieurement lié.

2. Créer une règle

1. Sur la page Rule Group List Rule Group List, cliquez sur l'ID du groupe de règles cible pour accéder à la page de détails. Sous l'onglet Rule Management Rule Management, dans la section PreDns phase PreDns phase ou PreRequest phase PreRequest phase, cliquez sur Create a rule Create a rule. Il est impossible de créer des règles pour la phase PostResponse PostResponse phase.

2. Dans la boîte de dialogue Create Rule, configurez les paramètres suivants et cliquez sur Confirm Confirm.

   • Rule Name Rule Name : Obligatoire. Saisissez un nom de règle facilement identifiable.

   • Priority Priority : Valeurs valides : 1 à 1000. Une valeur plus faible indique une priorité plus élevée. Les règles sont évaluées par ordre croissant de valeur de priorité. Les valeurs de priorité doivent être uniques au sein de la même phase d'un même groupe de règles. En tant que bonne pratique, attribuez une valeur de priorité plus faible (priorité plus élevée) aux règles dont les conditions sont plus spécifiques afin de garantir qu'elles soient évaluées en premier.

   • Matching Condition Matching Condition : Configurez les caractéristiques du trafic que la règle doit faire correspondre. Cliquez sur Add condition Add condition pour ajouter plusieurs conditions. Plusieurs conditions ont une relation ET (toutes doivent être remplies) et la combinaison de Condition Key Condition Key et de Match Type Match Type doit être unique.

     • Condition Key Condition Key : Spécifie quelle partie de la requête faire correspondre, telle que le nom de domaine de destination, l'adresse IP source ou l'en-tête de requête HTTP.

     • Match Type Match Type : Règle de comparaison entre la Condition Key Condition Key et la Condition Value Condition Value, qui détermine quand une requête est considérée comme correspondante. Lorsque plusieurs entrées Condition Value Condition Value sont spécifiées pour la même condition, les opérateurs de type correspondance (tels que « matches » ou « equals ») nécessitent qu'une seule valeur corresponde, tandis que les opérateurs de type non-correspondance (tels que « does not match » ou « not equals ») exigent qu'aucune valeur ne corresponde.

     • Condition Value Condition Value : Valeur spécifique correspondant à la Condition Key Condition Key. Vous pouvez spécifier plusieurs valeurs pour la même condition, séparées par des virgules (,).

     Important

     Si l'interception TLS n'est pas activée sur l'instance, pour les requêtes HTTPS, le client établit un tunnel chiffré de bout en bout avec le serveur de destination via EPG en utilisant la méthode CONNECT. EPG ne fait que transmettre le trafic et ne peut pas analyser le contenu de la requête à l'intérieur du tunnel. Dans ce cas, les requêtes HTTPS n'entrent pas dans la phase PreRequest. Les règles et les actions par défaut de cette phase ne s'appliquent pas à ces requêtes, qui sont envoyées directement via le pool d'adresses par défaut. Pour contrôler le trafic HTTPS, activez l'interception TLS. Si vous devez contrôler le trafic uniquement par adresse IP source ou nom de domaine de destination, configurez des règles dans la phase PreDns.

     Clés de condition prises en charge

     Clé de condition	Phases prises en charge	Description
     Source ip address Source ip address	PreDns, PreRequest	L'adresse IP ou le bloc CIDR du client qui initie la requête, par exemple 192.168.0.0/16.
     Target domain name Target domain name	PreDns, PreRequest	Le nom de domaine de destination de la requête, par exemple api.example.com.
     Request Protocol Request Protocol	PreRequest	Le type de protocole de la requête, par exemple HTTP ou HTTPS.
     HTTP URI path HTTP URI path	PreRequest	Le chemin URI de la requête, par exemple /api/v1/data.
     HTTP request method HTTP request method	PreRequest	La méthode de requête HTTP, telle que GET, POST, PUT ou DELETE. Non sensible à la casse.
     HTTP User-Agent HTTP User-Agent	PreRequest	La chaîne User-Agent du client.
     HTTP request content type HTTP request content type	PreRequest	Le Content-Type de la requête, par exemple application/json.
     HTTP custom request header HTTP custom request header	PreRequest	Un en-tête de requête HTTP avec un nom spécifié. Après avoir sélectionné cette clé de condition, vous devez également spécifier le nom de l'en-tête de requête, par exemple x-auth-token.

   • Action Action : Sélectionnez Allow ou Deny. Le comportement de chaque action varie selon la phase :

     • Phase PreDns PreDns phase : Allow indique que la requête est autorisée à poursuivre le traitement ultérieur. Deny indique que la requête est interceptée avant la résolution DNS.

     • Phase PreRequest PreRequest phase : Allow indique que la requête est autorisée et que les adresses IP du pool d'adresses sortantes associé au groupe de règles sont utilisées comme point de sortie (le pool d'adresses par défaut de l'instance est utilisé lorsqu'aucun pool n'est associé). Deny indique que la requête est interceptée et qu'aucune connexion au serveur de destination n'est établie.

3. Lier le groupe de règles à une configuration de proxy sortant

Un groupe de règles prend effet uniquement après avoir été lié à une configuration de proxy sortant. Liez le groupe de règles à la configuration de proxy sortant cible et définissez la priorité. Pour plus d'informations, consultez la rubrique Lier un groupe de règles.

Exemple 1 : Autoriser l'accès uniquement à un chemin spécifique sur un domaine spécifique

Autorisez les applications à accéder uniquement au chemin /v1/chat/completions sur api.example.com et bloquez toutes les autres requêtes sortantes.

1. Dans la configuration de proxy sortant, définissez l'action par défaut de la phase PreRequest PreRequest phase sur Deny afin que les requêtes non explicitement autorisées soient bloquées par défaut (mode liste blanche).

2. Créez un groupe de règles. Dans la phase PreRequest PreRequest phase du groupe de règles, créez une règle avec l'Action Action définie sur Allow et ajoutez les deux conditions de correspondance suivantes :

   Condition Key Condition Key	Match Type Match Type	Condition Value Condition Value
   Target domain name Target domain name	Equals	api.example.com
   HTTP URI path HTTP URI path	Equals	/v1/chat/completions

3. LieZ le groupe de règles à la configuration de proxy sortant cible pour activer la règle. Le mode liste blanche fonctionne en bloquant toutes les requêtes par défaut et en autorisant uniquement les requêtes explicitement correspondantes. Assurez-vous que les autres groupes de règles sous la même configuration n'autorisent pas les requêtes en dehors du champ d'application spécifié par ce groupe de règles dans la phase PreRequest PreRequest phase, ce qui entraînerait l'échec du contrôle d'accès.

Les deux conditions ont une relation ET et doivent toutes deux être remplies pour que la règle corresponde. Les requêtes correspondant à la fois au nom de domaine et au chemin sont autorisées. Toutes les autres requêtes ne correspondent à aucune règle Allow et sont soumises à l'action par défaut (Deny) de la phase PreRequest PreRequest phase.

Exemple 2 : Attribuer une adresse de sortie dédiée à un locataire spécifique

Transmettez les requêtes contenant l'en-tête de requête personnalisé x-tenant-id: tenant-001 via un pool d'adresses sortantes dédié afin de réaliser l'isolation des adresses de sortie au niveau du locataire.

1. Créez un groupe de règles et sélectionnez le pool d'adresses dédié au locataire dans Associated outbound address pool Associated outbound address pool.

2. Dans la phase PreRequest PreRequest phase du groupe de règles, créez une règle avec l'Action Action définie sur Allow et ajoutez la condition de correspondance suivante :

   Condition Key Condition Key	Match Type Match Type	Request header name Request header name	Condition Value Condition Value
   HTTP custom request header HTTP custom request header	Equals	x-tenant-id	tenant-001

3. LieZ le groupe de règles à la configuration de proxy sortant cible. Si plusieurs groupes de règles sont déjà liés à la configuration, assurez-vous que ce groupe de règles a une priorité plus élevée (une valeur de priorité plus faible) afin que les requêtes contenant l'en-tête x-tenant-id correspondent à cette règle en premier et utilisent le pool d'adresses dédié.

Les requêtes correspondant à cette règle utilisent les adresses IP du pool d'adresses sortantes associé au groupe de règles comme point de sortie, réalisant ainsi l'isolation des adresses de sortie basée sur l'ID du locataire.