Server Load Balancer:Gunakan security group sebagai daftar putih atau blacklist

Contoh skenario

Secara default—baik instance NLB dikaitkan dengan security group maupun tidak—port listener-nya menerima semua permintaan inbound. Menambahkan security group yang hanya berisi aturan Allow tidak mengubah perilaku ini. Untuk membatasi akses hanya ke alamat IP tertentu, tambahkan setidaknya satu aturan Deny ke dalam security group.

Security group NLB hanya berlaku untuk lalu lintas inbound. Lalu lintas outbound (tanggapan terhadap permintaan klien) tidak pernah dibatasi, sehingga tidak diperlukan aturan outbound.

Skenario berikut digunakan untuk menunjukkan cara kerja daftar putih dan blacklist. Untuk informasi selengkapnya, lihat Security group rules.

Blacklist menolak akses dari alamat IP tertentu.

Daftar putih hanya mengizinkan akses dari alamat IP tertentu.

Batasan

Untuk detail perbedaan antara security group dasar dan advanced, lihat Basic and advanced security groups.

Prasyarat

Empat instance Elastic Compute Service (ECS) telah dibuat. Untuk informasi lebih lanjut tentang cara membuat instance ECS, lihat Purchase an ECS instance.

• ECS01 dan ECS02 berfungsi sebagai server backend instance NLB. Aplikasi dideploy pada ECS01 dan ECS02.

  Perintah contoh berikut digunakan untuk mendeploy aplikasi uji coba pada ECS01 dan ECS02:

  Perintah untuk mendeploy aplikasi pada ECS01

  yum install -y nginx
  systemctl start nginx.service
  cd /usr/share/nginx/html/
  echo "Hello World ! This is ECS01." > index.html
  

  Perintah untuk mendeploy aplikasi pada ECS02

  yum install -y nginx
  systemctl start nginx.service
  cd /usr/share/nginx/html/
  echo "Hello World ! This is ECS02." > index.html
  

• ECS03 dan ECS04 adalah instance yang menghadap Internet dan digunakan untuk mengakses instance NLB. Anda juga dapat menggunakan server Linux yang sudah ada untuk mengakses instance NLB. Dalam kasus ini, Anda tidak perlu membuat ECS03 dan ECS04.

• Nama domain telah didaftarkan, nomor Internet content provider (ICP) telah diperoleh untuk nama domain tersebut, dan rekaman CNAME telah dibuat untuk memetakan nama domain kustom ke nama domain instance NLB Anda. Untuk informasi lebih lanjut, lihat Register a domain name, ICP filing process, dan Step 4: Create a DNS record.

  Tabel berikut menjelaskan konfigurasi instance ECS yang digunakan dalam topik ini.

  Instance	ECS configuration	VPC	IP address	Procedure
  ECS01	Instance type: ecs.u1-c1m1.large CPUs and memory: 2 vCPUs and 2 GiB of memory Operating system: Alibaba Cloud Linux 3.2104 LTS 64-bit Network type: VPC	VPC01	Private: 192.168.0.24 Public: not assigned	Instance-instance ini ditentukan sebagai server backend instance NLB.
  ECS02			Private: 192.168.0.37 Public: not assigned
  ECS03		VPC02	Private: 192.168.0.25 Public: 47.XX.XX.55	Instance-instance ini digunakan sebagai client untuk mengakses instance NLB.
  ECS04			Private: 192.168.0.26 Public: 101.XX.XX.251

Langkah 1: Buat server group

1. Login ke NLB console.

2. Pada bilah navigasi atas, pilih wilayah tempat Anda ingin membuat server group. Pada contoh ini, China (Hangzhou) dipilih.

3. Di panel navigasi kiri, pilih NLB > Server Groups.

3. Pada halaman Server Group, klik Create Server Group.

4. Pada kotak dialog Create Server Group, atur parameter berikut lalu klik Create.

   Tabel berikut menjelaskan parameter utama untuk membuat server group. Gunakan nilai default untuk parameter lainnya. Untuk informasi selengkapnya, lihat Create a server group.

   Parameter	Description
   Server Group Type	Tentukan jenis server group. Pada contoh ini, Server dipilih.
   Server Group Name	Masukkan nama untuk server group. Pada contoh ini, RS01 digunakan.
   VPC	Pilih VPC dari daftar drop-down. Pada contoh ini, VPC1 dipilih. Server group harus berada dalam VPC yang sama dengan ECS01 dan ECS02.
   Backend Server Protocol	Pilih protokol backend. Pada contoh ini, TCP dipilih.

4. Pada kotak dialog The server group is created, klik Add Backend Server.

5. Pada tab Backend Servers, klik Add Backend Server.

6. Pada panel Add Backend Server, pilih ECS01 dan ECS02 lalu klik Next.

7. Tentukan port dan bobot untuk server backend lalu klik OK. Pada contoh ini, port 80 ditentukan dan bobot default digunakan.

Langkah 2: Buat instance NLB dan konfigurasi listener

1. Di panel navigasi kiri, pilih NLB > Instances. Pada halaman Instances, klik Create NLB.

2. Pada halaman Network Load Balancer (Pay-As-You-Go), atur parameter berikut.

   Tabel berikut hanya menjelaskan beberapa parameter. Untuk informasi selengkapnya tentang parameter lainnya, lihat Create an instance.

   • Region: Pada contoh ini, China (Hangzhou) dipilih.

   • Network Type: Pada contoh ini, Public dipilih.

   • VPC: Pada contoh ini, VPC01 dipilih.

3. Klik Buy Now dan selesaikan pembayaran.

4. Kembali ke halaman Instances, temukan instance NLB yang telah Anda buat, lalu klik ID instance NLB tersebut.

5. Klik tab Listener. Pada tab Listener, klik Quick Create Listener. Pada kotak dialog Quick Create Listener, atur parameter berikut untuk membuat TCP listener yang menggunakan port 80 lalu klik OK.

   Parameter	Procedure
   Listener Protocol	Pilih protokol listener. Pada contoh ini, TCP dipilih.
   Listener Port	Pada contoh ini, port 80 digunakan.
   Server Group	Pilih Server dan pilih server group dari daftar drop-down di samping Server. Pada contoh ini, server group yang dibuat di Langkah 1: Buat server group dipilih.

6. Periksa aksesibilitas instance NLB saat instance NLB belum ditambahkan ke security group. Perintah curl -s http://whatismyip.akamai.com/ dapat digunakan untuk menanyakan alamat IP publik klien yang mengirim permintaan.

   1. Login ke ECS03. Jalankan perintah berikut untuk menguji apakah ECS03 dapat mengakses instance NLB: telnet Domain name 80.

      Jika Anda menerima paket balasan echo, ECS03 dapat mengakses instance NLB.

      [root@iZbp1esczkzr2jlz    ~]# curl -s http://whatismyip.akamai.com/
      47.xxx.55[root@iZbp1exxx    lz    ~]# telnet xxx.com 80
      Trying 47.xxx.164...
      Connected to xxx.com.
      

   2. Masuk ke ECS04. Jalankan perintah berikut untuk menguji apakah ECS04 dapat mengakses instans NLB: telnet Domain name 80.

      Jika Anda menerima paket balasan echo, ECS04 dapat mengakses instance NLB.

      [root@iZbp1esczkr2jlxxx ~]# curl -s http://whatismyip.akamai.com/
      101.xxx.251[root@iZbp1escxxx jl    ~]# telnet nxxx xxx xxx.s.com 80
      Trying 47.xxx.164...
      Connected to xxx.com.
      

   Hasil menunjukkan bahwa sebelum instance NLB ditambahkan ke security group, ECS03 dan ECS04 dapat mengakses instance NLB.

Langkah 3: Buat security group

Sebelum menambahkan instance NLB Anda ke security group, Anda harus membuat security group di ECS console. Bagian ini menjelaskan cara membuat dua security group.

• Security Group 1 sebagai blacklist

  Tambahkan aturan Deny yang menolak akses dari alamat IP tertentu. Pada contoh ini, aturan Deny yang menolak akses dari alamat IP publik 47.XX.XX.55 milik ECS03 dibuat. Anda dapat mempertahankan aturan security group default. Tabel berikut menjelaskan konfigurasi aturan tersebut.

  Policy	Priority	Protocol	Port range	Authorization object
  Deny	1	All	Destination: -1/-1	Source: 47.XX.XX.55

• Security Group 2 sebagai daftar putih

  Tambahkan aturan Allow yang mengizinkan akses dari alamat IP tertentu dan aturan Deny yang menolak akses dari alamat IP tertentu. Pada contoh ini, aturan Allow yang mengizinkan akses dari alamat IP publik 47.XX.XX.55 milik ECS03 dan aturan Deny dibuat. Tabel berikut menjelaskan konfigurasi aturan tersebut.

  Policy	Priority	Protocol	Port range	Authorization object
  Yes	1	All	Destination: -1/-1	Source: 47.XX.XX.55
  Deny	100	All	Destination: -1/-1	Source: 0.0.0.0/0

1. Login ke ECS console.

2. Di panel navigasi kiri, pilih Network & Security > Security Groups.

3. Pada bilah navigasi atas, pilih wilayah tempat Anda ingin membuat security group. Pada contoh ini, China (Hangzhou) dipilih.

4. Pada halaman Security Groups, klik Create Security Group.

5. Pada halaman Create Security Group, atur parameter pada bagian Basic Information.

   Tentukan parameter berikut. Untuk informasi selengkapnya tentang parameter lainnya, lihat Create a security group.

   • Network: Pada contoh ini, VPC 1 dipilih. Security group harus berada dalam VPC yang sama dengan instance NLB.

   • Security Group Type: Pada contoh ini, Basic Security Group dipilih.

6. Pada halaman Create Security Group, atur parameter pada bagian Rules.

   1. Pada tab Inbound, klik Add Rule untuk menambahkan aturan berdasarkan konfigurasi aturan di Security Group 1 dan Security Group 2.

   2. Klik Create Security Group.

Langkah 4: Tambahkan instance NLB ke security group dan verifikasi hasilnya

Referensi

• Untuk informasi selengkapnya tentang cara menambahkan dan menghapus instance NLB dari security group, lihat Add an NLB instance to a security group.

• Untuk informasi selengkapnya tentang cara mengaktifkan kontrol akses detail halus berdasarkan listener atau port, lihat Configure security groups for NLB instances.

• Untuk informasi selengkapnya tentang security group, lihat Security group.