Konfigurasikan kebijakan kontrol akses untuk traffic dua arah antara aset dan internet - Cloud Firewall

Secara default, Internet Firewall Cloud Firewall mengizinkan seluruh traffic hingga Anda mengonfigurasi kebijakan kontrol akses. Untuk mencegah akses tidak sah, Anda dapat membuat kebijakan outbound dan inbound untuk aset yang menghadap internet Anda.

Prasyarat

Internet Firewall telah diaktifkan, dan perlindungan untuk aset yang menghadap internet Anda telah diaktifkan. Untuk informasi lebih lanjut, lihat Aktifkan Internet Firewall. Untuk informasi mengenai cakupan aset yang menghadap internet yang dapat dilindungi oleh Cloud Firewall, lihat Ruang lingkup perlindungan.
Pastikan Anda memiliki kuota kebijakan yang mencukupi. Anda dapat melihat penggunaan kuota Anda pada halaman Prevention Configuration > Access Control > Policy Configuration > Internet Border. Untuk informasi tentang cara perhitungan kuota kebijakan, lihat Ikhtisar kebijakan kontrol akses.
Jika kuota yang tersedia tidak mencukupi, klik Increase Quota untuk membeli Quota for Additional Policy. Untuk informasi selengkapnya, lihat Pembelian Cloud Firewall.
Pada area Usage, lihat nilai Used/Edition Quota (misalnya, 14/10.000) dan Additional Quota (misalnya, 0/0) untuk menentukan apakah kuota tersisa Anda mencukupi.
Untuk menambahkan beberapa objek sebagai sumber atau tujuan, buat buku alamat terlebih dahulu. Untuk informasi lebih lanjut, lihat Address books.

Mengonfigurasi kebijakan kontrol akses untuk Firewall internet

Cloud Firewall menyediakan metode berikut untuk mengonfigurasi kebijakan kontrol akses:

Buat kebijakan kontrol akses kustom: Anda dapat membuat kebijakan kustom yang sesuai dengan kebutuhan bisnis Anda.
Terapkan kebijakan cerdas yang direkomendasikan: Cloud Firewall mempelajari pola lalu lintas Anda selama 30 hari terakhir, mengidentifikasi potensi risiko, dan merekomendasikan kebijakan kontrol akses yang dapat Anda tinjau dan terapkan.
Terapkan kebijakan umum yang direkomendasikan: Anda dapat menerapkan kebijakan umum bawaan yang direkomendasikan.

Penting

Untuk Alamat IP publik terbuka, buat kebijakan untuk mengizinkan traffic pada port aktif yang terbuka, dan tolak semua akses ke port lainnya. Hal ini mengurangi permukaan serangan aset Anda di internet.
Untuk mengizinkan sumber tepercaya (seperti alamat IP dan nama domain) serta menolak semua sumber lainnya, pertama-tama buat kebijakan allow berprioritas tinggi untuk sumber tepercaya tersebut, lalu buat kebijakan deny berprioritas rendah yang mencocokkan semua sumber.
Kebijakan yang direkomendasikan tidak berlaku hingga Anda menerapkannya.
Mengonfigurasi kebijakan outbound untuk mengizinkan traffic ke wilayah tertentu tidak meningkatkan risiko serangan inbound, seperti DDoS. Kebijakan outbound hanya mengontrol traffic yang diinisiasi dari aset internal dan tidak membuka port inbound apa pun. Kami menyarankan agar Anda mengikuti prinsip hak istimewa minimal dan hanya mengizinkan traffic ke wilayah tujuan dan port yang benar-benar diperlukan.

Kebijakan kustom

Anda dapat membuat kebijakan outbound dan inbound kustom untuk Internet Firewall.

Masuk ke Konsol Cloud Firewall.
Di panel navigasi sebelah kiri, pilih Prevention Configuration > Access Control > Policy Configuration > Internet Border.
Pada tab Outbound atau Inbound, pilih versi IP lalu klik Create Policy. IPv4 dipilih secara default.
Pada panel Create Outbound Policy atau Create Inbound Policy, klik Create Policy.
Konfigurasikan detail kebijakan berdasarkan tabel berikut, lalu klik OK.
Catatan
Perhatikan hal berikut saat mengonfigurasi alamat IP:
- Persyaratan format alamat: Gunakan koma (,) atau baris baru untuk memisahkan beberapa segmen alamat IP. Titik koma atau spasi tidak didukung. Satu alamat IP harus mencakup subnet mask, misalnya, 192.168.1.1/32.
- Aturan pencocokan kebijakan IPv6: Saat membuat kebijakan IPv6, alamat sumber dan tujuan harus dalam format IPv6.
- Cakupan 0.0.0.0/0: Dalam kebijakan inbound, alamat tujuan 0.0.0.0/0 mencocokkan seluruh aset publik IPv4 tetapi tidak mencakup aset IPv6. Untuk mencakup aset IPv6, Anda harus membuat kebijakan IPv6 terpisah.
- Konfigurasi untuk skenario proxy: Saat menggunakan layanan proxy seperti WAF (dengan akses CNAME), Anti-DDoS, atau ESA, Cloud Firewall mendeteksi alamat IP sumber traffic inbound sebagai alamat IP kembali ke asal proxy, bukan alamat IP client sebenarnya. Saat mengonfigurasi alamat sumber untuk kebijakan inbound, rujuk Cloud Service IP Address Book bawaan sistem untuk memastikan lalu lintas kembali ke asal diizinkan.
Konfigurasikan kebijakan kontrol traffic untuk traffic jaringan internal ke internet (kebijakan outbound)
Basic Configuration
- Source Type: Sumber traffic jaringan. Anda perlu memilih jenis sumber akses dan memasukkan alamat berdasarkan jenis tersebut.
  Pilih jenis IP dan masukkan range alamat IP. Range alamat harus menggunakan format CIDR standar, seperti 192.168.0.0/16. Anda dapat memasukkan hingga 2.000 range alamat yang dipisahkan dengan koma (,).
  Jika Anda memasukkan beberapa range alamat IP, Cloud Firewall akan secara otomatis membuat buku alamat dan meminta Anda menetapkan nama saat menyimpan kebijakan.
  Pilih jenis Address Book dan rujuk Custom IP Address Book atau Cloud Asset IP Address Book. Untuk informasi lebih lanjut, lihat Mengelola buku alamat.
- Destination Type: Tujuan traffic jaringan. Anda perlu memilih jenis tujuan dan memasukkan alamat berdasarkan jenis tersebut.
  Pilih jenis IP dan masukkan range alamat IP. Range alamat harus menggunakan format CIDR standar, seperti 192.168.0.0/16. Anda dapat memasukkan hingga 2.000 range alamat yang dipisahkan dengan koma (,).
  Jika Anda memasukkan beberapa range alamat IP, Cloud Firewall akan secara otomatis membuat buku alamat untuk beberapa range alamat yang Anda masukkan, dan saat menyimpan konfigurasi kebijakan akan meminta Anda menetapkan nama buku alamat.
  Pilih jenis Address Book, dan rujuk IP Address Book dan Domain Address Book. Untuk informasi lebih lanjut, lihat Mengelola buku alamat.
  Saat memilih jenis Domain Name, Anda perlu memilih mode pengenalan nama domain. Tiga mode pengenalan nama domain tersedia:
  FQDN-based Resolution (Extract Host or SNI Field in Packets): Kami merekomendasikan mode ini saat mengelola traffic dari tujuh protokol berikut: HTTP, HTTPS, SMTP, SMTPS, SSL, POPS, dan IMAPS.
  DNS-based Dynamic Resolution: Kami merekomendasikan mode ini saat mengelola traffic selain tujuh protokol: HTTP, HTTPS, SMTP, SMTPS, SSL, POPS, dan IMAPS.
  Penting
  Mode ini tidak mendukung domain wildcard atau buku alamat domain wildcard.
  at the same time based on FQDN and DNS dynamic resolution: Kami merekomendasikan mode ini saat mengelola traffic dari tujuh protokol tersebut, tetapi sebagian atau seluruh traffic tidak membawa field HOST/SNI.
  Penting
  Mode ini hanya berlaku saat mode ketat ACL Engine Management diaktifkan, dan tidak mendukung domain wildcard atau buku alamat domain wildcard.
  Pilih jenis Location, pilih Wilayah tujuan. Anda dapat memilih wilayah China atau wilayah internasional.
- Protocol: Jenis protokol lapisan transport. Pengaturan yang didukung: TCP, UDP, ICMP, ANY. Jika Anda tidak yakin dengan protokol spesifiknya, Anda dapat memilih ANY.
- Application Protocol: Tetapkan jenis aplikasi dari traffic akses. Aplikasi yang didukung bervariasi berdasarkan jenis tujuan dan jenis protokol.
  Protocol Saat memilih TCP:
  Pada Destination Type, pilih IP, Address Book, atau Location: Anda dapat memilih semua aplikasi.
  Destination Type: Pilih Domain Name, Nama domain, atau Address Book.
  Domain Name Identification Mode Saat memilih FQDN-based Resolution (Extract Host or SNI Field in Packets), Anda hanya dapat memilih aplikasi seperti HTTP, HTTPS, SMTP, SMTPS, SSL, POPS, dan IMAPS.
  Domain Name Identification Mode Saat memilih DNS-based Dynamic Resolution, Anda dapat memilih semua aplikasi.
  Domain Name Identification Mode Saat memilih Based on both FQDN (extract Host/SNI from packets) and DNS dynamic resolution, Anda hanya dapat memilih aplikasi seperti HTTP, HTTPS, SMTP, SMTPS, SSL, POPS, dan IMAPS.
  Saat memilih UDP Protocol, jenis aplikasi mendukung ANY dan DNS.
  Saat memilih ICMP atau ANY Protocol, jenis aplikasi hanya dapat ANY.
  Catatan
  Identifikasi aplikasi bergantung pada fitur paket (identifikasi protokol tidak bergantung pada port). Jika identifikasi aplikasi gagal, traffic sesi diizinkan. Untuk memblokir traffic dari jenis aplikasi yang tidak dikenal, kami merekomendasikan agar Anda mengaktifkan mode ketat untuk Cloud Firewall. Untuk informasi lebih lanjut, lihat Pengenalan mode mesin kontrol akses.
- Port: Tetapkan jenis port tujuan dan port tujuan.
  Pilih jenis Port, masukkan range port. Range port dipisahkan dengan garis miring (/), seperti 22/22 dan 80/88. Anda dapat menambahkan hingga 2.000 range port, dipisahkan dengan koma (,).
  Jika Anda memasukkan beberapa range port, Cloud Firewall akan secara otomatis membuat buku alamat port dan meminta Anda menetapkan nama saat menyimpan kebijakan.
  Saat memilih jenis Port Address Book, Anda perlu membuat buku alamat port terlebih dahulu. Untuk informasi lebih lanjut, lihat Mengelola buku alamat.
- Action: Tentukan aksi untuk traffic yang cocok dalam kebijakan ini.
  Allow: Mengizinkan lalu lintas.
  Drop: Blokir traffic tanpa pemberitahuan apa pun.
  Monitor: Dalam mode ini, traffic diizinkan secara default. Anda dapat memfilter dan mengamati traffic ini menggunakan bidang terkait di Traffic Logs. Setelah periode pengamatan, ubah menjadi Allow atau Deny.
Advanced Configuration
Web Filtering dan Application Control: Setelah mengaktifkan fitur terkait, Anda dapat merujuk templat Web Filtering dan Application Control yang telah dibuat untuk kontrol traffic lapisan aplikasi detail halus. Untuk informasi lebih lanjut, lihat URL Filtering dan Application Control.
Catatan
Encrypted Traffic Decryption: Untuk mengekstraksi fitur traffic secara lebih lengkap dan menerapkan kontrol akses yang akurat, kami merekomendasikan agar Anda mengonfigurasi inspeksi TLS terlebih dahulu. Untuk informasi lebih lanjut, lihat TLS inspection.
Traffic Matching Exceptions:
Jika traffic sudah diblokir oleh aturan Basic Configuration sebelumnya, traffic tersebut akan langsung melewati pencocokan aturan Web Filtering dan Application Control.
Untuk aturan Web Filtering, jika URL tidak dapat dikenali oleh sistem, atau jika traffic HTTPS tanpa inspeksi TLS ditemui, pencocokan terhadap aturan ini dilewati.
Untuk aturan Application Control, jika aplikasi tidak dapat dikenali oleh sistem, sistem akan menjalankan Unknown Application Action.
Advanced Configuration
- Policy Priority: Prioritas kebijakan, Nilai default: Lowest, menunjukkan prioritas terendah.
  Highest: Kebijakan kontrol akses berlaku dengan prioritas tertinggi.
  Lowest: Kebijakan kontrol akses berlaku dengan prioritas terendah.
  Custom: Sesuaikan prioritas. Minimum: 1, Maksimum: 50. Semakin kecil angkanya, semakin tinggi prioritasnya.
- Status: Tentukan apakah kebijakan diaktifkan. Hanya kebijakan yang diaktifkan yang berlaku.
- Policy Validity Period: Tetapkan periode validitas kebijakan. Kebijakan hanya dapat mencocokkan traffic dalam periode validitas tersebut.
  Always
  Single Time Range: Pilih periode waktu satu kali.
  Recurrence Cycle: Pilih periode waktu berulang dan tanggal efektif.
  Catatan
  Waktu mulai tanggal efektif harus lebih awal daripada waktu akhir. Kebijakan memerlukan waktu 3 hingga 5 menit untuk berlaku.
  Jika Anda memilih Indefinite Recurrence, waktu akhir efektif secara otomatis ditetapkan menjadi 31 Desember 2099.
  FAQ terkait: Apakah kebijakan berlaku jika siklus pengulangan mencakup beberapa hari?
- Description: Masukkan deskripsi untuk kebijakan guna membantu Anda mengidentifikasi tujuannya.
Konfigurasikan kebijakan kontrol traffic untuk traffic internet ke jaringan internal (kebijakan inbound)
Basic Configuration
- Source Type: Sumber traffic jaringan. Anda perlu memilih jenis sumber akses dan memasukkan alamat berdasarkan jenis tersebut.
  Pilih jenis IP dan masukkan range alamat IP. Range alamat harus menggunakan format CIDR standar, seperti 192.168.0.0/16. Anda dapat memasukkan hingga 2.000 range alamat yang dipisahkan dengan koma (,).
  Jika Anda memasukkan beberapa range alamat IP, Cloud Firewall akan secara otomatis membuat buku alamat dan meminta Anda menetapkan nama saat menyimpan kebijakan.
  Pilih jenis Address Book, dan rujuk Custom IP Address Book, Cloud Asset IP Address Book, atau Cloud Service IP Address Book. Untuk informasi lebih lanjut, lihat Mengelola buku alamat.
  Pilih jenis Location, pilih Wilayah alamat sumber. Anda dapat memilih wilayah China atau wilayah internasional.
- Destination Type: Tujuan traffic jaringan. Anda perlu memilih jenis tujuan dan memasukkan alamat berdasarkan jenis tersebut.
  Pilih jenis IP dan masukkan range alamat IP. Range alamat harus menggunakan format CIDR standar, seperti 192.168.0.0/16. Anda dapat memasukkan hingga 2.000 range alamat yang dipisahkan dengan koma (,).
  Jika Anda memasukkan beberapa range alamat IP, Cloud Firewall akan secara otomatis membuat buku alamat dan meminta Anda menetapkan nama saat menyimpan kebijakan.
  Pilih jenis Address Book, dan rujuk Custom IP Address Book atau Cloud Asset IP Address Book. Untuk informasi lebih lanjut, lihat Mengelola buku alamat.
- Protocol: Jenis protokol lapisan transport. Pengaturan yang didukung: TCP, UDP, ICMP, ANY. Jika Anda tidak yakin dengan protokol spesifiknya, Anda dapat memilih ANY.
- Application Protocol: Tetapkan jenis aplikasi dari traffic akses.
  Saat memilih TCP Protocol, jenis aplikasi mendukung semua aplikasi seperti HTTP, HTTPS, SMTP, SMTPS, SSL, dan FTP.
  Saat memilih UDP Protocol, jenis aplikasi mendukung ANY dan DNS.
  Saat memilih ICMP atau ANY Protocol, jenis aplikasi hanya dapat ANY.
  Catatan
  Identifikasi aplikasi bergantung pada fitur paket (identifikasi protokol tidak bergantung pada port). Jika identifikasi aplikasi gagal, traffic sesi diizinkan. Untuk memblokir traffic dari jenis aplikasi yang tidak dikenal, kami merekomendasikan agar Anda mengaktifkan mode ketat untuk Cloud Firewall. Untuk informasi lebih lanjut, lihat Pengenalan mode mesin kontrol akses.
- Port: Tetapkan jenis port tujuan dan port tujuan.
  Pilih jenis Port, masukkan range port. Range port dipisahkan dengan garis miring (/), seperti 22/22 dan 80/88. Anda dapat menambahkan hingga 2.000 range port, dipisahkan dengan koma (,).
  Jika Anda memasukkan beberapa range port secara bersamaan, Cloud Firewall akan secara otomatis membuat buku alamat untuk beberapa range port yang Anda masukkan, dan meminta Anda menetapkan nama buku alamat saat menyimpan konfigurasi kebijakan.
  Saat memilih jenis Port Address Book, Anda perlu membuat buku alamat port terlebih dahulu. Untuk informasi lebih lanjut, lihat Mengelola buku alamat.
- Action: Tentukan aksi untuk traffic yang cocok dalam kebijakan ini.
  Allow: Izinkan traffic.
  Drop: Blokir traffic tanpa pemberitahuan apa pun.
  Monitor: Dalam mode ini, traffic diizinkan secara default. Anda dapat memfilter dan mengamati traffic ini menggunakan bidang terkait di Traffic Logs. Setelah periode pengamatan, ubah menjadi Allow atau Deny.
Advanced Configuration
- Policy Priority: Prioritas kebijakan, Nilai default: Lowest, menunjukkan prioritas terendah.
  Highest: Kebijakan kontrol akses berlaku dengan prioritas tertinggi.
  Lowest: Kebijakan kontrol akses berlaku dengan prioritas terendah.
  Custom: Sesuaikan prioritas. Minimum: 1, Maksimum: 50. Semakin kecil angkanya, semakin tinggi prioritasnya.
- Status: Tentukan apakah kebijakan diaktifkan. Hanya kebijakan yang diaktifkan yang berlaku.
- Policy Validity Period: Tetapkan periode validitas kebijakan. Kebijakan hanya dapat mencocokkan traffic dalam periode validitas tersebut.
  Always
  Single Time Range: Pilih periode waktu satu kali.
  Recurrence Cycle: Pilih periode waktu berulang dan tanggal efektif.
  Catatan
  Waktu mulai tanggal efektif harus lebih awal daripada waktu akhir. Kebijakan memerlukan waktu 3 hingga 5 menit untuk berlaku.
  Jika Anda memilih Indefinite Recurrence, waktu akhir efektif secara otomatis ditetapkan menjadi 31 Desember 2099.
  FAQ terkait: Apakah kebijakan berlaku jika siklus pengulangan mencakup beberapa hari?
- Description: Masukkan deskripsi untuk kebijakan guna membantu Anda mengidentifikasi tujuannya.

Kebijakan cerdas

Anda dapat menerapkan kebijakan cerdas yang direkomendasikan untuk traffic outbound dan inbound.

Peringatan

Penerapan kebijakan mengandung risiko. Tinjau detail kebijakan dengan cermat sebelum menerapkannya.
Rekomendasi yang diabaikan tidak dapat dipulihkan. Lanjutkan dengan hati-hati.

Periksa apakah kebijakan cerdas yang direkomendasikan tersedia

Pada halaman Internet Border, Anda dapat memeriksa apakah Cloud Firewall telah menghasilkan kebijakan cerdas. Di bagian Policy Statistics pada halaman Policy Configuration, periksa apakah nilai Recommended Intelligent Policy lebih besar dari 0.

Di panel navigasi sebelah kiri, pilih Prevention Configuration > Access Control > Policy Configuration > Internet Border.
Di pojok kanan atas daftar kebijakan, klik Agent Policy Generation untuk menuju halaman SecOps Agent.
Lihat kebijakan cerdas yang direkomendasikan. Di bagian kebijakan yang ingin Anda terapkan, klik Apply Policy.

Kebijakan umum

Peringatan

Penerapan kebijakan mengandung risiko. Tinjau detail kebijakan dengan cermat sebelum menerapkannya.
Rekomendasi yang diabaikan tidak dapat dipulihkan. Lanjutkan dengan hati-hati. Jika Anda mengabaikan semua rekomendasi kebijakan umum, tab Recommended Common Policy akan disembunyikan.

Di panel navigasi sebelah kiri, pilih Prevention Configuration > Access Control > Policy Configuration > Internet Border.
Pada tab Outbound atau Inbound, klik Create Policy, lalu klik tab Recommended Common Policy.
Lihat kebijakan umum yang direkomendasikan. Di bagian kebijakan yang ingin Anda terapkan, klik Quick Apply.

Mode mesin ACL

Mesin ACL untuk Internet Firewall mendukung Loose Mode dan Strict Mode:

Loose Mode (Default): Dalam Loose Mode, traffic dari aplikasi yang tidak dikenali atau ke nama domain yang tidak dikenali diizinkan untuk memprioritaskan ketersediaan layanan.
Strict Mode: Dalam Strict Mode, traffic dari aplikasi yang tidak dikenali atau ke nama domain yang tidak dikenali dicocokkan dengan kebijakan Anda. Jika terdapat kebijakan deny yang cocok, traffic yang tidak dikenali tersebut akan ditolak.

Anda dapat mengonfigurasi mode mesin ACL dengan salah satu dari tiga cara berikut: sebagai default untuk aset baru, untuk satu aset, atau untuk beberapa aset secara batch. Pada halaman Prevention Configuration > Access Control > Policy Configuration > Internet Border, klik ACL Engine Management di pojok kanan atas daftar kebijakan kontrol akses. Lalu, konfigurasikan pengaturan di panel Access Control Engine Management - Internet Border.

Mode default untuk aset baru

Di panel Access Control Engine Management - Internet Border, bagian Engine Management > Add ACL Engine Mode menunjukkan mode mesin yang digunakan saat Anda mengaktifkan perlindungan untuk aset baru.

Klik Modify untuk mengubah mode saat ini.

Ubah mode per aset

Di panel Access Control Engine Management - Internet Border, kolom ACL Engine Mode dalam daftar aset menunjukkan mode mesin aset saat ini.

Klik Modify untuk mengubah mode engine aset yang dipilih.

Ubah mode secara batch

Di panel Access Control Engine Management - Internet Border, pilih beberapa aset lalu klik Batch Modify di pojok kiri bawah untuk mengubah mode mesin aset yang dipilih.

Lihat statistik hit kebijakan

Setelah bisnis Anda berjalan selama periode tertentu, Anda dapat melihat jumlah hit kebijakan kontrol akses di kolom Hits/Last Hit At dalam daftar kebijakan kontrol akses.

Klik jumlah hit untuk menuju halaman Traffic Logs guna melihat log traffic. Untuk informasi tentang cara melihat log traffic, lihat Traffic Logs.

Operasi terkait

Dari daftar kebijakan, Anda dapat mengedit, menghapus (secara individual atau batch), mengunduh, menyalin, atau memindahkan kebijakan kustom. Memindahkan kebijakan akan mengubah prioritasnya.

Prioritas kebijakan kontrol akses dapat diatur dari 1 hingga N, di mana N adalah jumlah kebijakan yang ada. Angka yang lebih kecil menunjukkan prioritas yang lebih tinggi. Saat Anda mengubah prioritas kebijakan, prioritas kebijakan dengan peringkat lebih rendah akan disesuaikan secara otomatis.

Penting

Saat kebijakan dihapus, traffic terkait tidak lagi dikelola oleh kontrol akses Cloud Firewall. Hapus kebijakan dengan hati-hati.

FAQ

Apa praktik terbaik untuk mengonfigurasi kebijakan inbound?

Sebagian besar serangan jaringan berasal dari jaringan publik. Konfigurasikan kebijakan keamanan yang memenuhi kebutuhan bisnis Anda. Kami merekomendasikan penggunaan daftar putih. Tetapkan kebijakan catch-all berprioritas rendah ke drop all traffic. Lalu, tambahkan kebijakan allow spesifik dengan prioritas lebih tinggi.

Rekomendasi konfigurasi:

Urutan aturan: Selalu letakkan aturan daftar putih sebelum aturan catch-all. Sebelum deployment, tambahkan aturan allow untuk layanan produksi Anda di atas kebijakan drop.
Validasi grayscale: Awalnya, tetapkan aksi kebijakan catch-all ke Monitor. Analisis traffic menggunakan Log Audit dan sesuaikan kebijakan agar hanya mengizinkan traffic tepercaya. Setelah uji coba penuh, ubah aksi menjadi Drop.
Isolasi lingkungan: Anda dapat mengaktifkan kebijakan catch-all untuk seluruh lingkungan staging Anda. Untuk lingkungan produksi, jika Anda belum dapat membuat daftar putih lengkap segera, batasi alamat sumber kebijakan catch-all ke segmen IP pengujian Anda. Hal ini mencegah gangguan pada layanan produksi Anda.

Mengapa kebijakan untuk drop IP asing tidak berfungsi?

Jika kebijakan Anda untuk drop alamat IP internasional tidak berfungsi, periksa skenario berikut:

Skenario 1: Layanan Anda menggunakan WAF CNAME
Saat traffic melewati Web Application Firewall (WAF) ke server origin Anda, Cloud Firewall mendeteksi alamat IP sumber dari node pengambilan asal WAF, bukan alamat IP client asli. Hal ini membuat kebijakan pemblokiran berbasis lokasi tidak efektif.
Rekomendasi: Konfigurasikan aturan geo-blocking di konsol WAF. Hal ini memblokir permintaan dari luar wilayah yang Anda tentukan di titik masuk traffic.
Skenario 2: Alamat IP publik client pengujian tidak seperti yang Anda harapkan
Jika Anda melakukan pengujian dari jaringan perusahaan, VPN, atau server proxy, Cloud Firewall mendeteksi alamat IP publik gateway atau proxy tersebut. Cloud Firewall tidak mendeteksi alamat IP sebenarnya dari perangkat pengujian Anda. Hal ini dapat menyebabkan lokasi yang terdeteksi berbeda dari pengaturan kebijakan Anda.
Rekomendasi: Anda dapat melakukan pengujian dengan mengakses langsung alamat IP publik target dari jaringan publik independen, seperti jaringan data seluler atau broadband rumahan.
Skenario 3: Parameter kebijakan salah
Verifikasi bahwa item konfigurasi kunci berikut diatur dengan benar:
- Source Type: Untuk kebijakan inbound, Source Type harus diatur ke Location. Lalu, tentukan "International" atau pilih negara atau wilayah tertentu.
- Action: Action kebijakan harus diatur ke Drop.
- Priority: Pastikan kebijakan blokir ini memiliki prioritas lebih tinggi daripada kebijakan allow apa pun untuk tujuan yang sama. Hal ini mencegah aturan daftar putih berprioritas tinggi mengesampingkannya.

Apakah kebijakan dengan aksi drop dapat mengurangi biaya traffic Cloud Firewall?

Kebijakan dengan aksi Drop tidak mengurangi biaya traffic Cloud Firewall Anda. Kebijakan ini memblokir traffic agar tidak mencapai layanan backend Anda dan mengurangi beban pada server origin Anda. Namun, karena traffic tersebut telah diperiksa oleh Cloud Firewall, traffic tersebut tetap termasuk dalam traffic yang dikenai biaya.

Saat instance ECS privat mengakses jaringan publik melalui Internet NAT Gateway, apakah saya harus mengonfigurasi Cloud Firewall atau Firewall NAT?

Konfigurasikan Firewall NAT saat instance ECS privat mengakses jaringan publik melalui Internet NAT Gateway.

Jika Anda hanya menggunakan NAT Gateway untuk akses outbound dan tidak membuka IP publik atau aset publik lainnya, Cloud Firewall tidak berlaku untuk traffic NAT tersebut. Traffic outbound tidak dikelola oleh kebijakan Cloud Firewall, sehingga Anda tidak menerima perlindungan keamanan yang ditargetkan.

Saat WAF menggunakan mode cloud native, apakah Cloud Firewall mendeteksi alamat IP client sebenarnya untuk traffic inbound?

Ya, demikian. Saat Anda menghubungkan aset Anda menggunakan mode cloud native WAF, Cloud Firewall mendeteksi alamat IP client sebenarnya sebagai alamat IP sumber untuk traffic inbound. Mode ini menggunakan proxy transparan atau integrasi SDK. Mode ini tidak meneruskan traffic dari alamat IP pengambilan asal WAF. Oleh karena itu, mode ini dapat langsung memperoleh dan meneruskan alamat IP client asli.