Setelah Anda mengaktifkan Cloud Firewall, semua traffic diizinkan secara default jika tidak ada kebijakan kontrol akses yang dikonfigurasi. Untuk mengelola akses tidak sah ke aset Anda, Anda dapat mengonfigurasi kebijakan tertentu guna mengizinkan atau memblokir traffic sesuai kebutuhan bisnis. Topik ini menjelaskan cara kerja kebijakan kontrol akses Cloud Firewall serta penagihan terkait.
Ikhtisar
Cloud Firewall menyediakan kebijakan kontrol akses untuk firewall internet, Firewall NAT, Firewall VPC, dan firewall internal. Anda dapat mengonfigurasi kebijakan kontrol akses pada berbagai jenis firewall tersebut untuk memblokir traffic tidak sah serta menerapkan isolasi dan kontrol keamanan pada jalur-jalur traffic yang berbeda. Prinsip yang dijelaskan dalam topik ini hanya berlaku untuk kebijakan kontrol akses firewall internet, Firewall NAT, dan Firewall VPC.
Untuk informasi lebih lanjut tentang kebijakan kontrol akses firewall internal, lihat konfigurasi security group.
Elemen kebijakan
Kebijakan kontrol akses mengidentifikasi dan mencocokkan traffic berdasarkan elemen-elemen tertentu untuk mengizinkan atau menolaknya.
Item pencocokan | Deskripsi | Jenis konfigurasi | Konfigurasi yang didukung |
Source | Pihak yang memulai koneksi jaringan. |
|
|
Destination | Penerima koneksi jaringan. | Mendukung IP, ip address book, domain name, dan region.
|
|
Protocol type | Protokol lapisan transport. | Mendukung TCP, UDP, ICMP, dan ANY. Anda dapat memilih ANY jika jenis protokol spesifik tidak diketahui. | Semua kebijakan mendukung semua jenis. |
Port | Port tujuan. | Mengontrol traffic berdasarkan port tujuan, mendukung port tunggal, range port, dan port address books. |
|
Application | Protokol lapisan aplikasi. | Mendukung berbagai protokol seperti HTTP, HTTPS, SMTP, SMTPS, SSL, FTP, IMAPS, dan POP3. Anda dapat memilih ANY jika jenis aplikasi spesifik tidak diketahui. Catatan Cloud Firewall mengidentifikasi jenis aplikasi traffic TLS dan SSL berdasarkan port.
| Tergantung pada jenis protokol yang dipilih. |
Cara kerja
Jika Anda tidak mengonfigurasi kebijakan kontrol akses apa pun, Cloud Firewall mengizinkan semua traffic secara default.
Setelah Anda mengonfigurasi kebijakan kontrol akses, Cloud Firewall memperluas setiap kebijakan menjadi satu atau beberapa aturan pencocokan berdasarkan logika tertentu dan men-deploy-nya ke engine. Ketika traffic melewati Cloud Firewall, traffic tersebut dicocokkan dengan kebijakan berdasarkan urutan prioritas. Jika paket traffic cocok dengan suatu kebijakan, aksi yang sesuai akan dieksekusi, dan proses pencocokan berhenti. Jika traffic tidak cocok dengan kebijakan tersebut, kebijakan berikutnya dalam urutan prioritas akan dievaluasi. Jika traffic tidak cocok dengan kebijakan kontrol akses yang dikonfigurasi, traffic tersebut diizinkan secara default.
Setelah Anda membuat, mengubah, atau menghapus kebijakan kontrol akses, Cloud Firewall memerlukan waktu sekitar tiga menit untuk men-deploy kebijakan ke engine.
Semakin kecil nilai prioritas, semakin tinggi prioritasnya. Untuk memastikan pencocokan kebijakan optimal, kami menyarankan agar Anda memberikan prioritas lebih tinggi pada kebijakan yang lebih sering dicocokkan dan lebih spesifik.
Gambar berikut menunjukkan cara kerja kebijakan kontrol akses.
Aksi kebijakan
Aksi untuk kebijakan kontrol akses dapat diatur ke Allow, Monitor, atau Deny. Ketika traffic cocok dengan kebijakan kontrol akses, Cloud Firewall menjalankan aksi yang ditentukan.
Jika aksi kebijakan diatur ke Monitor, Cloud Firewall mengizinkan traffic yang cocok. Setelah periode pengamatan, Anda dapat mengubah aksi menjadi Allow atau Deny.
Anda dapat membuka halaman Traffic Logs untuk melihat data traffic. Untuk informasi lebih lanjut, lihat Audit log.
Kuota kebijakan
Setelah Anda mengonfigurasi kebijakan kontrol akses, Cloud Firewall menghitung kuota yang dikonsumsi oleh setiap kebijakan berdasarkan jumlah objek pada bidang source, destination, protocol type, port, dan application.
Metode perhitungan
Kuota kebijakan dihitung menggunakan rumus berikut:
Kuota yang dikonsumsi oleh satu kebijakan = Jumlah alamat sumber (jumlah Blok CIDR atau wilayah) × Jumlah alamat tujuan (jumlah Blok CIDR, wilayah, atau nama domain) × Jumlah range port × Jumlah aplikasi
Total kuota yang dikonsumsi = Jumlah kuota yang dikonsumsi oleh semua kebijakan kontrol akses (termasuk kebijakan inbound dan outbound)
Pada halaman Policy Configuration, Anda dapat melihat Used dan batas Edition Specifications pada bagian Policy Settings di bagian atas.
Penagihan
Setiap edisi Cloud Firewall dilengkapi kuota kebijakan default. Untuk instance Edisi Ultimate, jika kuota kebijakan tidak mencukupi, Anda dapat menghubungi account manager Anda untuk menambah kuota. Untuk informasi lebih lanjut, lihat Subscription 2.0 dan Pay-as-you-go 2.0.
Contoh perhitungan
Dokumen terkait
Untuk mengelola traffic antara aset yang menghadap Internet dan internet, lihat Konfigurasikan kebijakan kontrol akses untuk firewall internet.
Untuk mengelola traffic dari aset jaringan pribadi ke internet, lihat Konfigurasikan kebijakan kontrol akses untuk Firewall NAT.
Untuk mengelola traffic antar VPC dan antara VPC dengan pusat data lokal, lihat Konfigurasikan kebijakan kontrol akses untuk Firewall VPC.
Untuk mengelola traffic antar Instance ECS, lihat konfigurasi security group.
Untuk aturan konfigurasi dan contoh skenario kebijakan kontrol akses, lihat Contoh konfigurasi kebijakan kontrol akses.
Jika Anda menggunakan Cloud Firewall dan Bastionhost secara bersamaan, Anda harus mengonfigurasi kebijakan kontrol akses dengan benar untuk mencegah akses dari Bastionhost secara tidak sengaja diblokir. Untuk informasi lebih lanjut, lihat Praktik terbaik kebijakan kontrol akses saat Cloud Firewall dideploy bersama Bastionhost.