Secara default, Internet Firewall Cloud Firewall mengizinkan seluruh lalu lintas hingga Anda mengonfigurasi kebijakan kontrol akses. Untuk mencegah akses tidak sah, Anda dapat membuat kebijakan outbound dan inbound untuk aset yang menghadap internet Anda.
Prasyarat
Internet Firewall telah diaktifkan, dan perlindungan untuk aset yang menghadap internet Anda telah diaktifkan. Untuk informasi selengkapnya, lihat Aktifkan Internet Firewall. Untuk informasi mengenai cakupan aset yang menghadap internet yang dapat dilindungi oleh Cloud Firewall, lihat Ruang lingkup perlindungan.
Pastikan Anda memiliki kuota kebijakan yang mencukupi. Anda dapat melihat penggunaan kuota di halaman . Untuk informasi mengenai cara perhitungan kuota kebijakan, lihat Ikhtisar kebijakan kontrol akses.
Jika kuota tersedia tidak mencukupi, klik Increase Quota untuk membeli Quota for Additional Policy. Untuk informasi selengkapnya, lihat Pembelian Cloud Firewall.
Di area Usage, periksa nilai Used/Edition Quota (misalnya, 14/10.000) dan Additional Quota (misalnya, 0/0) untuk menentukan apakah kuota tersisa mencukupi.
Untuk menambahkan beberapa objek sebagai sumber atau tujuan, buat buku alamat terlebih dahulu. Untuk informasi selengkapnya, lihat Address books.
Mengonfigurasi kebijakan kontrol akses untuk Firewall internet
Cloud Firewall menyediakan metode berikut untuk mengonfigurasi kebijakan kontrol akses:
Buat kebijakan kontrol akses kustom: Anda dapat membuat kebijakan kustom yang memenuhi kebutuhan bisnis Anda.
Terapkan kebijakan cerdas yang direkomendasikan: Cloud Firewall mempelajari pola lalu lintas Anda selama 30 hari terakhir, mengidentifikasi potensi risiko, dan merekomendasikan kebijakan kontrol akses yang dapat Anda tinjau serta terapkan.
Terapkan kebijakan umum yang direkomendasikan: Anda dapat menerapkan kebijakan umum bawaan yang direkomendasikan.
Untuk Alamat IP publik terbuka, buat kebijakan untuk mengizinkan lalu lintas pada port aktif yang terbuka, dan tolak semua akses ke port lainnya. Hal ini mengurangi permukaan serangan aset Anda di internet.
Untuk mengizinkan sumber tepercaya (seperti alamat IP dan nama domain) serta menolak semua sumber lainnya, pertama-tama buat kebijakan izin dengan prioritas tinggi untuk sumber tepercaya tersebut, lalu buat kebijakan tolak dengan prioritas rendah yang mencakup semua sumber.
Kebijakan yang direkomendasikan tidak berlaku hingga Anda menerapkannya.
Mengonfigurasi kebijakan outbound untuk mengizinkan lalu lintas ke wilayah tertentu tidak meningkatkan risiko serangan inbound, seperti DDoS. Kebijakan outbound hanya mengontrol lalu lintas yang diprakarsai dari aset internal dan tidak membuka port inbound apa pun. Kami menyarankan agar Anda mengikuti prinsip hak istimewa minimal dan hanya mengizinkan lalu lintas ke wilayah tujuan dan port yang diperlukan.
Kebijakan kustom
Anda dapat membuat kebijakan outbound dan inbound kustom untuk Internet Firewall.
Masuk ke Konsol Cloud Firewall.
Di panel navigasi sebelah kiri, pilih .
Di tab Outbound atau Inbound, pilih versi IP lalu klik Create Policy. IPv4 dipilih secara default.
Di panel Create Outbound Policy atau Create Inbound Policy, klik Create Policy.
Konfigurasikan detail kebijakan berdasarkan tabel berikut, lalu klik OK.
CatatanPerhatikan hal berikut saat mengonfigurasi alamat IP:
Persyaratan format alamat: Gunakan koma (,) atau line feed untuk memisahkan beberapa segmen alamat IP. Titik koma atau spasi tidak didukung. Satu alamat IP harus mencakup subnet mask, misalnya, 192.168.1.1/32. Alamat IP dan Blok CIDR hanya mendukung konfigurasi statis dan tidak dapat diperbarui secara dinamis. Untuk resolusi dinamis, pilih tipe Domain Name dan gunakan DNS-based Dynamic Resolution.
Aturan pencocokan kebijakan IPv6: Saat Anda membuat kebijakan IPv6, alamat sumber dan tujuan harus keduanya dalam format IPv6.
Cakupan 0.0.0.0/0: Dalam kebijakan inbound, alamat tujuan 0.0.0.0/0 mencocokkan semua aset publik IPv4 tetapi tidak mencakup aset IPv6. Untuk mencakup aset IPv6, Anda harus membuat kebijakan IPv6 terpisah.
Konfigurasi untuk skenario proxy: Saat Anda menggunakan layanan proxy seperti WAF (dengan akses CNAME), Anti-DDoS, atau ESA, Cloud Firewall mendeteksi alamat IP sumber lalu lintas inbound sebagai alamat IP origin fetch proxy, bukan alamat IP klien sebenarnya. Saat mengonfigurasi alamat sumber untuk kebijakan inbound, rujuk Cloud Service IP Address Book bawaan sistem untuk memastikan lalu lintas kembali ke asal diizinkan.
Kebijakan cerdas
Anda dapat menerapkan kebijakan cerdas yang direkomendasikan untuk lalu lintas outbound dan inbound.
Penerapan kebijakan mengandung risiko. Tinjau detail kebijakan dengan cermat sebelum menerapkannya.
Rekomendasi yang diabaikan tidak dapat dipulihkan. Lanjutkan dengan hati-hati.
Di panel navigasi sebelah kiri, pilih .
Di pojok kanan atas daftar kebijakan, klik Agent Policy Generation untuk menuju halaman SecOps Agent.
Lihat kebijakan cerdas yang direkomendasikan. Di bagian kebijakan yang ingin Anda terapkan, klik Apply Policy.
Kebijakan umum
Penerapan kebijakan mengandung risiko. Tinjau detail kebijakan dengan cermat sebelum menerapkannya.
Rekomendasi yang diabaikan tidak dapat dipulihkan. Lanjutkan dengan hati-hati. Jika Anda mengabaikan semua rekomendasi kebijakan umum, tab Recommended Common Policy akan disembunyikan.
Di panel navigasi sebelah kiri, pilih .
Di tab Outbound atau Inbound, klik Create Policy, lalu klik tab Recommended Common Policy.
Lihat kebijakan umum yang direkomendasikan. Di bagian kebijakan yang ingin Anda terapkan, klik Quick Dispatch.
Mode mesin ACL
Mesin ACL untuk Internet Firewall mendukung Loose Mode dan Strict Mode:
Loose Mode (Default): Dalam Loose Mode, lalu lintas dari aplikasi yang tidak dikenali atau ke nama domain yang tidak dikenali diizinkan untuk memprioritaskan ketersediaan layanan.
Strict Mode: Dalam Strict Mode, lalu lintas dari aplikasi yang tidak dikenali atau ke nama domain yang tidak dikenali dicocokkan dengan kebijakan Anda. Jika ada kebijakan deny yang sesuai, lalu lintas yang tidak dikenali ini akan ditolak.
Anda dapat mengonfigurasi mode mesin ACL dengan salah satu dari tiga cara berikut: sebagai default untuk aset baru, untuk satu aset, atau untuk beberapa aset secara batch. Di halaman , klik ACL Engine Management di pojok kanan atas daftar kebijakan kontrol akses. Kemudian, konfigurasikan pengaturan di panel Access Control Engine Management - Internet Border.
Mode Bawaan untuk Aset Baru
Ubah mode per aset
Ubah mode secara batch
Lihat statistik hit kebijakan
Setelah bisnis Anda berjalan selama periode tertentu, Anda dapat melihat jumlah hit kebijakan kontrol akses di kolom Hits/Last Hit At dalam daftar kebijakan kontrol akses.
Klik jumlah hit untuk menuju halaman Traffic Logs guna melihat log lalu lintas. Untuk informasi mengenai cara melihat log lalu lintas, lihat Traffic Logs.
Operasi terkait
Dari daftar kebijakan, Anda dapat mengedit, menghapus (secara individual atau batch), mengunduh, menyalin, atau memindahkan kebijakan kustom. Memindahkan kebijakan akan mengubah prioritasnya.
Prioritas kebijakan kontrol akses dapat diatur dari 1 hingga N, di mana N adalah jumlah kebijakan yang ada. Angka yang lebih kecil menunjukkan prioritas yang lebih tinggi. Saat Anda mengubah prioritas kebijakan, prioritas kebijakan dengan peringkat lebih rendah akan disesuaikan secara otomatis.
Saat kebijakan dihapus, lalu lintas terkait tidak lagi dikelola oleh kontrol akses Cloud Firewall. Hapus kebijakan dengan hati-hati.
FAQ
Apa praktik terbaik untuk mengonfigurasi kebijakan inbound?
Sebagian besar serangan jaringan berasal dari jaringan publik. Konfigurasikan kebijakan keamanan yang memenuhi kebutuhan bisnis Anda. Kami merekomendasikan penggunaan whitelist. Tetapkan kebijakan catch-all dengan prioritas rendah ke drop all lalu lintas. Kemudian, tambahkan kebijakan allow spesifik dengan prioritas lebih tinggi.
Rekomendasi konfigurasi:
Urutan aturan: Selalu tempatkan aturan whitelist sebelum aturan catch-all. Sebelum deployment, tambahkan aturan allow untuk layanan produksi Anda di atas kebijakan drop.
Validasi grayscale: Awalnya, tetapkan aksi kebijakan catch-all ke Monitor. Analisis lalu lintas menggunakan Log Audit dan sesuaikan kebijakan agar hanya mengizinkan lalu lintas tepercaya. Setelah uji coba penuh, ubah aksi menjadi Drop.
Isolasi lingkungan: Anda dapat mengaktifkan kebijakan catch-all untuk seluruh lingkungan staging Anda. Untuk lingkungan produksi, jika Anda belum dapat membuat whitelist lengkap segera, batasi alamat sumber kebijakan catch-all ke segmen IP pengujian Anda. Hal ini mencegah gangguan pada layanan produksi Anda.
Mengapa kebijakan untuk drop IP asing tidak berfungsi?
Jika kebijakan Anda untuk drop alamat IP internasional tidak berfungsi, periksa skenario berikut:
Skenario 1: Layanan Anda menggunakan WAF CNAME
Saat lalu lintas melewati Web Application Firewall (WAF) ke server origin Anda, Cloud Firewall mendeteksi alamat IP sumber node origin fetch WAF, bukan alamat IP klien asli. Hal ini membuat kebijakan pemblokiran berbasis lokasi tidak efektif.
Rekomendasi: Konfigurasikan aturan geo-blocking untuk memblokir permintaan dari wilayah tertentu di konsol WAF. Hal ini memblokir permintaan dari luar wilayah yang Anda tentukan di titik masuk lalu lintas. Geo-blocking WAF mendukung pemblokiran atau pengizinan permintaan dari wilayah tertentu hingga tingkat provinsi di dalam China.Skenario 2: Alamat IP publik klien pengujian tidak seperti yang Anda harapkan
Jika Anda melakukan pengujian dari jaringan perusahaan, VPN, atau server proxy, Cloud Firewall mendeteksi alamat IP publik gateway atau proxy. Cloud Firewall tidak mendeteksi alamat IP sebenarnya dari perangkat pengujian Anda. Hal ini dapat menyebabkan lokasi yang terdeteksi berbeda dari pengaturan kebijakan Anda.
Rekomendasi: Anda dapat melakukan pengujian dengan mengakses langsung alamat IP publik target dari jaringan publik independen, seperti jaringan data seluler atau broadband rumahan.Skenario 3: Parameter kebijakan salah
Verifikasi bahwa item konfigurasi kunci berikut diatur dengan benar:
Source Type: Untuk kebijakan inbound, Source Type harus diatur ke Location. Lalu, tentukan "International" atau pilih negara atau wilayah tertentu.
Action: Action kebijakan harus diatur ke Drop.
Priority: Pastikan kebijakan blokir ini memiliki prioritas lebih tinggi daripada kebijakan allow apa pun untuk tujuan yang sama. Hal ini mencegah aturan whitelist prioritas tinggi menggantikannya.
Apakah kebijakan dengan aksi drop dapat mengurangi biaya traffic Cloud Firewall?
Kebijakan dengan aksi Drop tidak mengurangi biaya lalu lintas Cloud Firewall Anda. Kebijakan ini memblokir lalu lintas agar tidak mencapai layanan backend Anda dan mengurangi beban pada server origin Anda. Namun, karena lalu lintas tersebut telah diperiksa oleh Cloud Firewall, lalu lintas tersebut tetap termasuk dalam lalu lintas yang dikenai biaya.
Saat instance ECS privat mengakses jaringan publik melalui Internet NAT Gateway, apakah saya harus mengonfigurasi Cloud Firewall atau Firewall NAT?
Konfigurasikan Firewall NAT saat instance ECS privat mengakses jaringan publik melalui Internet NAT Gateway.
Jika Anda hanya menggunakan NAT Gateway untuk akses outbound dan tidak membuka IP publik atau aset publik lainnya, Cloud Firewall tidak berlaku untuk lalu lintas NAT. Lalu lintas outbound tidak dikelola oleh kebijakan Cloud Firewall, sehingga Anda tidak menerima perlindungan keamanan yang ditargetkan.
Saat WAF menggunakan mode cloud native, apakah Cloud Firewall mendeteksi alamat IP client sebenarnya untuk traffic inbound?
Ya, benar. Saat Anda menghubungkan aset Anda menggunakan mode cloud native WAF, Cloud Firewall mendeteksi alamat IP klien sebenarnya sebagai alamat IP sumber untuk lalu lintas inbound. Mode ini menggunakan proxy transparan atau integrasi SDK. Mode ini tidak meneruskan lalu lintas dari alamat IP origin fetch WAF. Oleh karena itu, mode ini dapat langsung memperoleh dan meneruskan alamat IP klien asli.