Server Load Balancer:Utiliser des groupes de sécurité comme listes d'autorisation ou de blocage

Scénarios types

Par défaut, qu'une instance NLB soit associée ou non à un groupe de sécurité, ses ports d'écoute acceptent toutes les requêtes entrantes. L'ajout d'un groupe de sécurité contenant uniquement des règles Allow (Autoriser) ne modifie pas ce comportement. Pour restreindre l'accès à des adresses IP spécifiques, ajoutez au moins une règle Deny (Refuser) au groupe de sécurité.

Les groupes de sécurité NLB s'appliquent uniquement au trafic entrant. Le trafic sortant (réponses aux requêtes des clients) n'est jamais restreint ; aucune règle sortante n'est donc requise.

Les scénarios suivants illustrent le fonctionnement des listes d'autorisation et de blocage. Pour plus d'informations, consultez la rubrique Règles de groupe de sécurité.

Une liste de blocage refuse l'accès depuis des adresses IP spécifiques.

Une liste d'autorisation permet l'accès uniquement depuis des adresses IP spécifiques.

Limites

Pour connaître les différences entre les groupes de sécurité basiques et avancés, consultez la rubrique Groupes de sécurité basiques et avancés.

Prérequis

Quatre instances Elastic Compute Service (ECS) sont créées. Pour plus d'informations sur la création d'une instance ECS, consultez la rubrique Acheter une instance ECS.

• ECS01 et ECS02 servent de serveurs backend pour l'instance NLB. Des applications sont déployées sur ECS01 et ECS02.

  Les commandes d'exemple suivantes permettent de déployer des applications de test sur ECS01 et ECS02 :

  Commandes pour déployer une application sur ECS01

  yum install -y nginx
  systemctl start nginx.service
  cd /usr/share/nginx/html/
  echo "Hello World ! This is ECS01." > index.html
  

  Commandes pour déployer une application sur ECS02

  yum install -y nginx
  systemctl start nginx.service
  cd /usr/share/nginx/html/
  echo "Hello World ! This is ECS02." > index.html
  

• ECS03 et ECS04 sont des instances orientées Internet utilisées pour accéder à l'instance NLB. Vous pouvez également utiliser un serveur Linux existant pour accéder à l'instance NLB. Dans ce cas, il n'est pas nécessaire de créer ECS03 et ECS04.

• Un nom de domaine est enregistré, un numéro ICP (Internet Content Provider) est obtenu pour ce domaine, et un enregistrement CNAME est créé pour mapper le nom de domaine personnalisé au nom de domaine de votre instance NLB. Pour plus d'informations, consultez les rubriques Enregistrer un nom de domaine, Processus de dépôt ICP et Étape 4 : Créer un enregistrement DNS.

  Le tableau suivant décrit les configurations des instances ECS utilisées dans cette rubrique.

  Instance	Configuration ECS	VPC	Adresse IP	Procédure
  ECS01	Type d'instance : ecs.u1-c1m1.large CPU et mémoire : 2 vCPU et 2 Go de mémoire Système d'exploitation : Alibaba Cloud Linux 3.2104 LTS 64 bits Type de réseau : VPC	VPC01	Privée : 192.168.0.24 Publique : non attribuée	Les instances sont spécifiées comme serveurs backend de l'instance NLB.
  ECS02			Privée : 192.168.0.37 Publique : non attribuée
  ECS03		VPC02	Privée : 192.168.0.25 Publique : 47.XX.XX.55	Les instances sont utilisées comme clients pour accéder à l'instance NLB.
  ECS04			Privée : 192.168.0.26 Publique : 101.XX.XX.251

Étape 1 : Créer un groupe de serveurs

1. Connectez-vous à la console NLB.

2. Dans la barre de navigation supérieure, sélectionnez la région où vous souhaitez créer un groupe de serveurs. Dans cet exemple, China (Hangzhou) est sélectionnée.

3. Dans le volet de navigation de gauche, choisissez NLB > Server Groups.

3. Sur la page Server Group, cliquez sur Create Server Group.

4. Dans la boîte de dialogue Create Server Group, définissez les paramètres suivants et cliquez sur Create.

   Le tableau suivant décrit les principaux paramètres pour la création d'un groupe de serveurs. Utilisez les valeurs par défaut pour les autres paramètres. Pour plus d'informations, consultez la rubrique Créer un groupe de serveurs.

   Paramètre	Description
   Server Group Type	Spécifiez un type de groupe de serveurs. Dans cet exemple, Server est sélectionné.
   Server Group Name	Saisissez un nom pour le groupe de serveurs. Dans cet exemple, RS01 est utilisé.
   VPC	Sélectionnez un VPC dans la liste déroulante. Dans cet exemple, VPC1 est sélectionné. Le groupe de serveurs doit résider dans le même VPC que ECS01 et ECS02.
   Backend Server Protocol	Sélectionnez un protocole backend. Dans cet exemple, TCP est sélectionné.

4. Dans la boîte de dialogue The server group is created, cliquez sur Add Backend Server.

5. Sur l'onglet Backend Servers, cliquez sur Add Backend Server.

6. Dans le panneau Add Backend Server, sélectionnez ECS01 et ECS02, puis cliquez sur Next.

7. Spécifiez les ports et les pondérations pour les serveurs backend, puis cliquez sur OK. Dans cet exemple, le port 80 est spécifié et la pondération par défaut est utilisée.

Étape 2 : Créer une instance NLB et configurer les écouteurs

1. Dans le volet de navigation de gauche, choisissez NLB > Instances. Sur la page Instances, cliquez sur Create NLB.

2. Sur la page Network Load Balancer (Pay-As-You-Go), définissez les paramètres suivants.

   Le tableau suivant décrit uniquement certains des paramètres. Pour plus d'informations sur les autres paramètres, consultez la rubrique Créer une instance.

   • Region : Dans cet exemple, China (Hangzhou) est sélectionnée.

   • Network Type : Dans cet exemple, Public est sélectionné.

   • VPC : Dans cet exemple, VPC01 est sélectionné.

3. Cliquez sur Buy Now et effectuez le paiement.

4. Revenez à la page Instances, repérez l'instance NLB que vous avez créée, puis cliquez sur l'ID de l'instance NLB.

5. Cliquez sur l'onglet Listener. Sur l'onglet Listener, cliquez sur Quick Create Listener. Dans la boîte de dialogue Quick Create Listener, définissez les paramètres suivants pour créer un écouteur TCP utilisant le port 80, puis cliquez sur OK.

   Paramètre	Procédure
   Listener Protocol	Sélectionnez un protocole d'écouteur. Dans cet exemple, TCP est sélectionné.
   Listener Port	Dans cet exemple, le port 80 est utilisé.
   Server Group	Sélectionnez Server et choisissez un groupe de serveurs dans la liste déroulante située à côté de Server. Dans cet exemple, le groupe de serveurs créé à l'Étape 1 : Créer un groupe de serveurs est sélectionné.

6. Vérifiez l'accessibilité de l'instance NLB lorsque celle-ci n'est pas ajoutée à un groupe de sécurité. La commande curl -s http://whatismyip.akamai.com/ permet d'interroger l'adresse IP publique du client envoyant la requête.

   1. Connectez-vous à ECS03. Exécutez la commande suivante pour tester si ECS03 peut accéder à l'instance NLB : telnet Nom de domaine 80.

      Si vous recevez des paquets de réponse echo, ECS03 peut accéder à l'instance NLB.

      [root@iZbp1esczkzr2jlz    ~]# curl -s http://whatismyip.akamai.com/
      47.xxx.55[root@iZbp1exxx    lz    ~]# telnet xxx.com 80
      Trying 47.xxx.164...
      Connected to xxx.com.
      

   2. Connectez-vous à ECS04. Exécutez la commande suivante pour tester si ECS04 peut accéder à l'instance NLB : telnet Nom de domaine 80.

      Si vous recevez des paquets de réponse echo, ECS04 peut accéder à l'instance NLB.

      [root@iZbp1esczkr2jlxxx ~]# curl -s http://whatismyip.akamai.com/
      101.xxx.251[root@iZbp1escxxx jl    ~]# telnet nxxx xxx xxx.s.com 80
      Trying 47.xxx.164...
      Connected to xxx.com.
      

   Les résultats montrent qu'avant l'ajout de l'instance NLB à un groupe de sécurité, ECS03 et ECS04 peuvent accéder à l'instance NLB.

Étape 3 : Créer un groupe de sécurité

Avant d'ajouter votre instance NLB à un groupe de sécurité, vous devez créer un groupe de sécurité dans la console ECS. Cette section explique comment créer deux groupes de sécurité.

• Groupe de sécurité 1 en tant que liste de blocage

  Ajoutez une règle Deny (Refuser) qui refuse l'accès depuis des adresses IP spécifiées. Dans cet exemple, une règle Deny refusant l'accès depuis l'adresse IP publique 47.XX.XX.55 de ECS03 est créée. Vous pouvez conserver la règle de groupe de sécurité par défaut. Le tableau suivant décrit les configurations de la règle.

  Politique	Priorité	Protocole	Plage de ports	Objet d'autorisation
  Refuser	1	Tous	Destination : -1/-1	Source : 47.XX.XX.55

• Groupe de sécurité 2 en tant que liste d'autorisation

  Ajoutez une règle Allow (Autoriser) qui autorise l'accès depuis des adresses IP spécifiques et une règle Deny (Refuser) qui refuse l'accès depuis des adresses IP spécifiques. Dans cet exemple, une règle Allow autorisant l'accès depuis l'adresse IP publique 47.XX.XX.55 de ECS03, ainsi qu'une règle Deny, sont créées. Le tableau suivant décrit les configurations des règles.

  Politique	Priorité	Protocole	Plage de ports	Objet d'autorisation
  Oui	1	Tous	Destination : -1/-1	Source : 47.XX.XX.55
  Refuser	100	Tous	Destination : -1/-1	Source : 0.0.0.0/0

1. Connectez-vous à la console ECS.

2. Dans le volet de navigation de gauche, choisissez Network & Security > Security Groups.

3. Dans la barre de navigation supérieure, sélectionnez la région où vous souhaitez créer un groupe de sécurité. Dans cet exemple, China (Hangzhou) est sélectionnée.

4. Sur la page Security Groups, cliquez sur Create Security Group.

5. Sur la page Create Security Group, définissez les paramètres dans la section Basic Information.

   Spécifiez les paramètres suivants. Pour plus d'informations sur les autres paramètres, consultez la rubrique Créer un groupe de sécurité.

   • Network : Dans cet exemple, VPC 1 est sélectionné. Le groupe de sécurité doit résider dans le même VPC que l'instance NLB.

   • Security Group Type : Dans cet exemple, Basic Security Group est sélectionné.

6. Sur la page Create Security Group, définissez les paramètres dans la section Rules.

   1. Sur l'onglet Inbound, cliquez sur Add Rule pour ajouter des règles selon les configurations des règles du Groupe de sécurité 1 et du Groupe de sécurité 2.

   2. Cliquez sur Create Security Group.

Étape 4 : Ajouter l'instance NLB au groupe de sécurité et vérifier le résultat

Références

• Pour plus d'informations sur l'ajout et la suppression d'une instance NLB dans un groupe de sécurité, consultez la rubrique Ajouter une instance NLB à un groupe de sécurité.

• Pour plus d'informations sur l'activation d'un contrôle d'accès granulaire basé sur les écouteurs ou les ports, consultez la rubrique Configurer des groupes de sécurité pour les instances NLB.

• Pour plus d'informations sur les groupes de sécurité, consultez la rubrique Groupe de sécurité.