Contoh kebijakan kontrol akses Cloud Firewall - Cloud Firewall

Contoh kebijakan kontrol akses untuk firewall internet, firewall VPC, dan firewall internal.

Contoh kebijakan firewall internet

Cloud Firewall mengontrol lalu lintas inbound dan outbound yang menghadap internet (Utara-Selatan). Konfigurasikan kebijakan kontrol akses untuk firewall internet mencakup semua parameter kebijakan.

Izinkan traffic publik inbound ke port tertentu

Contoh: Instance ECS memiliki IP privat 10.1.XX.XX dan EIP 200.2.XX.XX/32. Kebijakan berikut mengizinkan seluruh lalu lintas internet inbound (0.0.0.0/0) hanya ke port TCP 80.

Masuk ke Konsol Cloud Firewall.
Di panel navigasi sebelah kiri, pilih Prevention Configuration > Access Control > Policy Configuration > Internet Border.

Pada tab Inbound, klik Create Policy. Di panel Create Inbound Policy, pada tab Create Policy, konfigurasikan kebijakan berikut.

Konfigurasikan kebijakan untuk mengizinkan lalu lintas publik ke port TCP 80 instans tersebut, lalu klik OK.

Parameter utama:

Parameter	Deskripsi	Nilai contoh
Source Type	Sumber traffic. Pilih jenis sumber dan masukkan alamat sumber.	IP
Source		`0.0.0.0/0` Catatan `0.0.0.0/0` merepresentasikan seluruh alamat IP publik.
Destination Type	Tujuan traffic. Pilih jenis tujuan dan masukkan alamat tujuan.	IP
Destination		`200.2.XX.XX/32`
Protocol Type	Protokol lapisan transport: TCP, UDP, ICMP, atau ANY. Pilih ANY jika tidak yakin.	TCP
Port Type	Jenis port tujuan dan nomor port.	Port
Port	Jenis port tujuan dan nomor port.	`80/80`
Application	Jenis aplikasi dari traffic tersebut.	ANY
Action	Aksi terhadap traffic yang cocok.	Allow
Priority	Prioritas kebijakan. Default: Lowest.	Highest
Status	Tentukan apakah kebijakan diaktifkan. Hanya kebijakan yang diaktifkan yang berlaku.	Enabled

Konfigurasikan kebijakan untuk menolak seluruh lalu lintas publik ke semua instans, lalu klik OK.
Buat kebijakan Deny dengan parameter berikut:
- Destination: 0.0.0.0/0
  Catatan
  0.0.0.0/0 merepresentasikan alamat IP seluruh instans.
- Protocol Type: ANY
- Port: 0/0
  Catatan
  0/0 merepresentasikan seluruh port instans.
- Application: ANY
- Action: Drop
- Priority: Lowest

Konfirmasi bahwa policy to Allow inbound traffic to TCP port 80 of the host memiliki prioritas lebih tinggi daripada policy to Deny all inbound traffic to the host.

Contoh kebijakan firewall VPC

Firewall VPC mengontrol lalu lintas antar-VPC (lalu lintas timur-barat). Konfigurasikan kebijakan kontrol akses untuk firewall VPC mencakup semua parameter kebijakan.

Tolak traffic antar instance ECS di VPC berbeda

Catatan

Secara default, instance ECS di VPC yang terhubung melalui CEN atau Express Connect dapat saling berkomunikasi.

Contoh: VPC1 dan VPC2 terhubung melalui CEN. ECS1 (10.33.XX.XX/32) berada di VPC1 dan ECS2 (10.66.XX.XX/32) berada di VPC2. Kebijakan berikut menolak akses dari ECS1 ke ECS2.

Masuk ke Konsol Cloud Firewall
Di panel navigasi sebelah kiri, pilih Prevention Configuration > Access Control > Policy Configuration > VPC Border.
Pada halaman VPC Border, klik Create Policy.

Di panel Create Policy - VPC Border, konfigurasikan kebijakan seperti pada tabel berikut, lalu klik Confirm.

Parameter utama:

Parameter	Deskripsi	Nilai contoh
Source Type	Jenis sumber traffic.	IP
Source	Alamat sumber traffic.	`10.33.XX.XX/32`
Destination Type	Jenis tujuan traffic.	IP
Destination	Alamat tujuan traffic.	`10.66.XX.XX/32`
Protocol Type	Protokol traffic.	TCP
Port Type	Jenis port.	Port
Port	Masukkan port berdasarkan pengaturan Port Type, atau klik Select untuk memilih Port Address Book.	`0/0`
Application	Jenis aplikasi.	ANY
Action	Izinkan atau tolak traffic yang cocok.	Drop

Contoh kebijakan firewall internal

Firewall internal mengontrol lalu lintas antar instance ECS. Kebijakan disinkronkan ke security group ECS dan mulai berlaku setelah dipublikasikan. Konfigurasi security group mencakup semua parameter kebijakan.

Aktifkan komunikasi ECS dalam kelompok kebijakan

Catatan

Berbeda dengan security group ECS yang secara default mengizinkan komunikasi intra-kelompok, firewall internal Cloud Firewall memerlukan kebijakan Allow eksplisit.

Contoh: ECS1 (10.33.XX.XX) dan ECS2 (10.66.XX.XX) berada dalam kelompok kebijakan sg-test. Kebijakan berikut mengaktifkan komunikasi di antara keduanya.

Masuk ke Konsol Cloud Firewall.
Di panel navigasi sebelah kiri, pilih Prevention Configuration > Security Group Control > Security Group Configuration.
Pada halaman Security Group Configuration, temukan kelompok kebijakan target dan klik Configure Policy di kolom Actions.

Pada tab Inbound, klik Create Policy.

Konfigurasikan kebijakan Allow inbound dengan parameter berikut:

Parameter	Deskripsi	Nilai contoh
Policy Type:	Jenis kebijakan.	Allow
Protocol Type	Jenis protokol.	TCP
Port Range	Rentang port.	`0/0`
Source Type, Source	Sumber traffic. Diperlukan ketika arah kebijakan adalah Inbound.	Source Type: Policy Group Source Object: sg-test
Destination	Tujuan traffic. Diperlukan untuk kebijakan inbound.	Address Segment Access (Blok CIDR: 10.66.XX.XX) Catatan Untuk mengaktifkan komunikasi di antara seluruh instance ECS dalam kelompok kebijakan, atur Destination ke All ECS Instances. Untuk mengaktifkan komunikasi di antara instance ECS tertentu dalam kelompok kebijakan, atur Destination ke CIDR Block dan masukkan blok CIDR instance ECS pasangan.

Jika Anda menggunakan advanced security group, Anda juga perlu mengonfigurasi kebijakan Allow outbound.
Basic security group secara default mengizinkan seluruh lalu lintas outbound.
Konfigurasikan kebijakan outbound dengan parameter berikut:
- Source Type: IP
- Source: 10.66.XX.XX
- CIDR Block: 10.33.XX.XX

Aktifkan komunikasi ECS antar kelompok kebijakan

Contoh: ECS1 (10.33.XX.XX) dan ECS2 (10.66.XX.XX) berada dalam kelompok kebijakan berbeda. Kebijakan berikut mengaktifkan komunikasi di antara keduanya.

Masuk ke Konsol Cloud Firewall.
Di panel navigasi sebelah kiri, pilih Prevention Configuration > Security Group Control > Security Group Configuration.
Pada halaman Security Group Configuration, temukan kelompok kebijakan yang berisi ECS1 dan klik Configure Policy di kolom Actions.

Pada tab Inbound, klik Create Policy.

Konfigurasikan kebijakan Allow inbound dengan parameter berikut:

Parameter	Deskripsi	Nilai contoh
Policy Type	Jenis kebijakan.	Allow
Protocol Type	Jenis protokol.	TCP
Port Range	Rentang port.	`0/0`
Source Type, Source	Sumber traffic. Diperlukan untuk kebijakan inbound.	Source Type: IP Source Object: `10.66.XX.XX`
Destination	Tujuan traffic. Diperlukan untuk kebijakan inbound.	Address Segment Access (Blok CIDR: 10.33.XX.XX) Catatan Jika Anda ingin instance ECS dalam kelompok kebijakan sg-test2 mengakses seluruh instance ECS dalam kelompok kebijakan sg-test1, atur Destination ke All ECS Instances. Jika Anda ingin instance ECS dalam kelompok kebijakan sg-test2 mengakses instance ECS tertentu dalam kelompok kebijakan sg-test1, atur Destination ke CIDR Block dan masukkan blok CIDR instance ECS dalam kelompok kebijakan sg-test1.

Jika Anda menggunakan advanced security group, Anda juga perlu mengonfigurasi kebijakan Allow outbound.
Basic security group secara default mengizinkan seluruh lalu lintas outbound.
Konfigurasikan kebijakan outbound dengan parameter berikut:
- Source Type: IP
- Source: 10.33.XX.XX
- CIDR Block: 10.66.XX.XX
Demikian pula, konfigurasikan kebijakan Allow inbound dan outbound yang sesuai untuk ECS2.