Secara default, Cloud Firewall mengizinkan seluruh traffic jika tidak ada kebijakan kontrol akses yang dikonfigurasi. Untuk mengelola akses tidak sah ke aset Anda, buat kebijakan untuk memblokir atau mengizinkan traffic tertentu. Topik ini menjelaskan cara kerja kebijakan kontrol akses di Cloud Firewall dan bagaimana penggunaannya dikenai biaya.
Ikhtisar
Cloud Firewall menyediakan kebijakan kontrol akses untuk batas internet, batas NAT, batas VPC, dan batas host. Anda dapat mengonfigurasi kebijakan kontrol akses pada firewall berbeda guna memblokir traffic tidak sah dan menerapkan isolasi keamanan berlapis. Prinsip yang dijelaskan dalam topik ini hanya berlaku untuk kebijakan kontrol akses pada batas internet, batas NAT, dan batas VPC.
Untuk informasi mengenai kebijakan kontrol akses pada batas host, lihat Konfigurasi security group.
Elemen kebijakan
Kebijakan kontrol akses dapat mengidentifikasi dan mencocokkan berbagai elemen traffic untuk mengizinkan atau menolak traffic tersebut.
Parameter | Deskripsi | Jenis konfigurasi | Kebijakan yang didukung |
Source | Pihak yang memulai koneksi jaringan. |
|
|
Destination | Penerima koneksi jaringan. | Mendukung IP, IP address book, domain name, dan region.
|
|
Protocol type | Protokol lapisan transport. | Mendukung TCP, UDP, ICMP, dan ANY. Jika Anda tidak yakin dengan jenis protokol tertentu, Anda dapat memilih ANY. | Semua kebijakan: Mendukung semua jenis. |
Port | Port tujuan. | Mengontrol traffic berdasarkan port tujuannya. Anda dapat menentukan port individual atau menggunakan port address books. |
|
Application | Protokol lapisan aplikasi. | Mendukung berbagai protokol, termasuk HTTP, HTTPS, SMTP, SMTPS, SSL, FTP, IMAPS, dan POP3. Jika Anda tidak yakin dengan aplikasi tertentu, Anda dapat memilih ANY . Catatan Cloud Firewall mengidentifikasi jenis aplikasi traffic TLS dan SSL berdasarkan port.
| Bergantung pada jenis protokol yang dipilih. |
Cara kerja
Jika Anda tidak mengonfigurasi kebijakan kontrol akses apa pun, Cloud Firewall secara default mengizinkan seluruh traffic.
Setelah Anda mengonfigurasi kebijakan kontrol akses, Cloud Firewall mengevaluasi traffic terhadap kebijakan tersebut berdasarkan urutan prioritas menurun. Ketika traffic cocok dengan suatu kebijakan, aksi yang ditentukan akan dieksekusi, dan kebijakan lain tidak lagi dievaluasi. Jika tidak ditemukan kecocokan, Cloud Firewall melanjutkan ke kebijakan berikutnya. Jika traffic tidak cocok dengan kebijakan kontrol akses yang dikonfigurasi, traffic tersebut diizinkan secara default.
Setelah Anda membuat, mengubah, atau menghapus kebijakan kontrol akses, diperlukan waktu sekitar 3 menit agar Cloud Firewall menerapkan kebijakan tersebut ke mesin.
Semakin rendah nilai prioritas suatu kebijakan kontrol akses, semakin tinggi prioritasnya. Untuk memastikan pencocokan optimal, tetapkan prioritas lebih tinggi untuk kebijakan yang lebih spesifik dan sering dicocokkan.
Diagram berikut mengilustrasikan cara kerja kebijakan kontrol akses.
Aksi kebijakan
Setiap kebijakan kontrol akses memiliki salah satu dari tiga aksi: Allow, Monitor, atau Deny. Ketika traffic cocok dengan kebijakan tersebut, Cloud Firewall menjalankan aksi yang ditentukan.
Jika aksi kebijakan diatur ke Monitor, traffic tetap diizinkan melewati saat terjadi kecocokan. Setelah mengamati traffic selama periode tertentu, Anda dapat mengubah aksinya menjadi Allow atau Deny sesuai kebutuhan.
Anda dapat melihat data traffic di halaman Traffic Logs. Untuk informasi lebih lanjut, lihat Audit log.
Kuota yang Digunakan
Setelah Anda mengonfigurasi kebijakan kontrol akses, Cloud Firewall menghitung kuota yang digunakan untuk setiap kebijakan berdasarkan jumlah objek yang ditentukan dalam bidang source, destination, protocol type, port, dan application.
Metode perhitungan
Kuota yang digunakan dihitung menggunakan rumus berikut:
Kuota yang digunakan per kebijakan = (Jumlah alamat sumber) × (Jumlah alamat tujuan) × (Jumlah range port) × (Jumlah aplikasi)
Anda dapat melihat kuota yang digunakan untuk setiap kebijakan di kolom Consumed Quota pada daftar kebijakan kontrol akses.
Total kuota yang digunakan = Jumlah kuota yang digunakan dari seluruh kebijakan kontrol akses (termasuk kebijakan inbound dan outbound)
Anda dapat melihat penggunaan kuota di bagian atas halaman kebijakan kontrol akses. Misalnya, statistik penggunaan untuk batas internet dapat menampilkan:
Area Used quota menampilkan Kuota yang digunakan/Kuota total (misalnya, 14/10000) dan Expanded quota (misalnya, 0/0). Anda dapat mengklik Upgrade untuk menambah kuota.
Penagihan
Edisi Subscription Cloud Firewall (Premium, Enterprise, dan Ultimate) mencakup kuota default untuk kebijakan kontrol akses. Jika kuota default tidak mencukupi kebutuhan Anda, Anda dapat memperluasnya sesuai permintaan.
Kuota tambahan tersebut dibagi bersama antara firewall batas internet, NAT, dan VPC. Untuk informasi lebih lanjut, lihat Subscription 2.0.
Versi pay-as-you-go Cloud Firewall mendukung maksimal kuota yang digunakan sebesar 2.000 untuk kebijakan kontrol akses batas internet, 2.000 untuk kebijakan batas NAT, dan 10.000 untuk kebijakan batas VPC. Kuota ini saat ini tidak dapat diperluas. Untuk informasi lebih lanjut, lihat pay-as-you-go 2.0.
Contoh perhitungan
Referensi
Untuk mengelola traffic antara aset publik Anda dan internet, lihat Konfigurasikan kebijakan kontrol akses untuk batas internet.
Untuk mengelola traffic dari aset privat Anda ke internet, lihat Konfigurasikan kebijakan kontrol akses untuk batas NAT.
Untuk mengelola traffic antar VPC dan antara VPC dengan pusat data lokal, lihat Konfigurasikan kebijakan kontrol akses untuk batas VPC.
Untuk mengelola traffic antar Instance ECS, lihat Konfigurasi security group.
Untuk aturan konfigurasi dan contoh kasus penggunaan kebijakan kontrol akses, lihat Contoh konfigurasi kebijakan kontrol akses.
Jika Anda telah menerapkan Cloud Firewall dan Bastionhost, Anda harus mengonfigurasi kebijakan kontrol akses dengan benar agar tidak secara tidak sengaja memblokir akses dari Bastionhost. Untuk petunjuk lengkap, lihat Praktik terbaik untuk kebijakan kontrol akses saat Cloud Firewall diterapkan bersama Bastionhost.