Elastic Compute Service:Daftar prefiks untuk aturan security group

Skenario

Untuk mengamankan resource cloud Anda, Anda dapat membaginya ke dalam beberapa zona keamanan, dengan masing-masing zona dikaitkan dengan satu security group. Jika sumber umum, seperti jaringan kantor on-premises Anda, perlu mengakses resource di berbagai zona tersebut, pengelolaan akses bisa menjadi tantangan, terutama jika alamat jaringan sumber tersebut sering berubah.

Tanpa menggunakan daftar prefiks, Anda harus memelihara beberapa aturan security group yang hanya berbeda pada alamat IP sumbernya. Ketika alamat jaringan sumber berubah, Anda harus memperbarui aturan di berbagai security group. Semakin banyak security group dan alamat jaringan yang Anda miliki, semakin kompleks tugas ini.

Dengan daftar prefiks, Anda dapat mengelompokkan alamat jaringan sumber dan mereferensikan daftar tersebut dalam aturan security group Anda. Ketika alamat jaringan berubah, Anda hanya perlu memperbarui entri dalam daftar prefiks. Perubahan tersebut secara otomatis berlaku untuk semua aturan security group terkait. Hal ini menyederhanakan pengelolaan kebijakan kontrol akses dan meningkatkan efisiensi.

Jika resource cloud Anda dideploy di beberapa wilayah Alibaba Cloud, Anda dapat menggunakan fitur clone daftar prefiks untuk menyalin daftar prefiks yang sudah ada ke wilayah lain.

Prosedur

1. Buka ECS Console - Prefix List.

2. Di pojok kiri atas halaman, pilih wilayah dan kelompok sumber daya.

3. Pada tab Prefix Lists, klik Create Prefix List.

4. Pada kotak dialog Create Prefix List, konfigurasi parameter dan klik OK.

   Contoh ini menggunakan daftar prefiks yang mencakup dua entri IPv4. Parameter berikut hanya sebagai referensi:

   • Prefix List Name: RemoteAccess-IP

   • Description: Mengizinkan alamat IP dalam daftar ini untuk mengakses Instance ECS tertentu.

   • Address Family: IPv4

   • Max Entries: 2

     Catatan

     Saat resource terkait, seperti security group, menghitung kuota aturannya, nilai Max Entries yang digunakan—bukan jumlah entri aktual. Atur parameter ini ke nilai yang wajar.

   • Prefix List Entries: Klik Add Entry untuk menambahkan 192.168.1.0/24 dan 192.168.2.0/24.

     Blok CIDR ini merepresentasikan rentang alamat IP berikut:

     • 192.168.1.0/24 merepresentasikan alamat IP dari 192.168.1.0 hingga 192.168.1.255.

     • 192.168.2.0/24 merepresentasikan alamat IP dari 192.168.2.0 hingga 192.168.2.255.

5. Gunakan daftar prefiks dalam aturan security group.

   Ulangi langkah-langkah berikut untuk menambahkan aturan security group ke beberapa security group. Gunakan daftar prefiks RemoteAccess-IP sebagai sumber.

   1. Buka ECS Console - Security Group.

   2. Temukan security group target dan klik Manage Rules pada kolom Operation.

   3. Pada tab Inbound, klik Add Rule.

   4. Konfigurasi parameter aturan security group dan klik Save.

      Parameter contoh berikut mengizinkan akses ke layanan pada instans dalam security group.

      • Authorization Policy: Allow

      • Priority: 1

      • Protocol Type: Custom TCP

      • Source: Pilih daftar prefiks RemoteAccess-IP.

      Setelah Anda menambahkan aturan tersebut, security group mengizinkan lalu lintas masuk dari alamat IP dalam daftar prefiks.

6. Modifikasi entri dalam daftar prefiks.

   Setelah menambahkan aturan security group, Anda mungkin perlu mencabut akses jarak jauh dari beberapa alamat IP untuk mengurangi risiko. Alih-alih memodifikasi aturan di beberapa security group, Anda hanya perlu memodifikasi entri dalam daftar prefiks RemoteAccess-IP. Misalnya, jika Anda menggunakan instans dengan alamat IP privat 192.168.1.1 dan 192.168.2.1 sebagai bastion host, Anda dapat melakukan langkah-langkah berikut untuk mengizinkan koneksi jarak jauh hanya dari bastion host tersebut.

   1. Buka ECS Console - Prefix List.

   2. Pada tab Prefix Lists, temukan daftar prefiks RemoteAccess-IP dan klik Details pada kolom Operation.

   3. Klik tab Entries.

   4. Temukan entri daftar prefiks dan klik Modify pada kolom Operation.

   5. Atur parameter CIDR Block dan klik Save.

      Modifikasi dua entri yang ada. Atur parameter CIDR Block-nya masing-masing menjadi 192.168.1.1/32 dan 192.168.2.1/32.

      Perubahan ini berlaku segera, memperbarui semua aturan security group yang mereferensikan daftar prefiks tersebut. Security group kini hanya mengizinkan koneksi jarak jauh dari 192.168.1.1/32 dan 192.168.2.1/32.