サービスの中断を防ぐためのアクセスポリシーの設定 - Cloud Firewall

シナリオ

Cloud Firewall は、Bastionhost からのトラフィックをブロックし、インターネットへのアクセスを妨げる可能性があります。これを回避するため、インターネットファイアウォールのアクセス制御ポリシーを設定し、Cloud Firewall が Bastionhost のトラフィックを保護しつつ、サービスが中断されないようにします。

次の図は、Cloud Firewall が Bastionhost にセキュリティ保護を提供する仕組みを示しています。

原理图

これらのポリシーがない場合、Bastionhost のサービスポートへのアクセス、アセットとユーザーのインポート、Web ベースの O&M、セッション再生が使用できなくなる可能性があります。

前提条件

Cloud Firewall を購入済みであること。詳細については、「Cloud Firewall の購入」をご参照ください。
Bastionhost を購入し、有効化済みであること。詳細については、「Bastionhost インスタンスの購入」および「Bastionhost の有効化」をご参照ください。

ワークフロー

lucheng

ステップ 1：インバウンド許可ポリシーの設定

インターネットファイアウォールのインバウンドポリシーを設定し、インターネットトラフィックが Bastionhost の開放ポートにアクセスできるようにします。

Cloud Firewall コンソールにログインします。
左側メニューで、緩和設定 > アクセス制御 > ポリシーの構成 > インターネットボーダー を選択します。
インバウンド タブで ポリシーの作成 をクリックします。

インバウンドポリシーの作成 パネルの カスタム作成 タブで、「インバウンドポリシー設定パラメーター」を参照して、インターネットソースからのトラフィックを許可するポリシーを作成します。次に、OK をクリックします。

パラメータ	説明
[ソースタイプ]	[IP] を選択します。Bastionhost へのアクセスを許可するパブリック CIDR ブロックを入力します。
[送信先タイプ]	[IP] を選択します。Bastionhost の O&M ドメイン名を解決して得られる IP アドレスを入力します。説明注：インターネットファイアウォールページに移動し、[アセットタイプ] でフィルタリングすることで、Bastionhost コンソールに切り替えることなく、Bastionhost インスタンスの IP アドレスを確認できます。
[プロトコルの種類]	[TCP] を選択します。
[アプリケーション]	[ANY] を選択します。
[ポート]	ポートまたはアドレス帳を選択します。 Bastionhost の複数のサービスポートを開放する場合は、ポートをアドレス帳に追加してから、ここでそのアドレス帳を選択します。説明注：アドレス帳は、複数の IP アドレスまたはポートをグループ化して一括設定を行うための機能です。単一のポートのみを開放する場合は、アドレス帳を作成する必要はありません。ポートを選択した場合は、Bastionhost のサービスポートを指定します。一般的な Bastionhost のサービスとポートは次のとおりです： SSH O&M： 60022 RDP O&M： 63389 セッション再生ポート： 9443 ホスト O&M および O&M ポータル： 443 Single Sign-on Assistant ポート： 20045
[アクション]	リリースを選択し、インターネットトラフィックが Bastionhost の指定されたポートにアクセスできるようにします。
[優先度]	アクセス制御ポリシーの優先度を先頭に設定します。
[有効化ステータス]	ポリシーを有効にします。
[記述]	このポリシーの目的を識別できるよう、説明を入力します。

その他すべての受信インターネットトラフィックを拒否するポリシーを作成します。
インバウンドポリシー設定項目説明表を参照し、送信元を 0.0.0.0/0 に設定し、優先度を最後に設定します。

ステップ 2：アウトバウンド許可ポリシーの設定

Bastionhost はクラウドサービスに接続するためにインターネットアクセスを必要とします。インターネットファイアウォールのアウトバウンドポリシーを設定し、このアクセスを許可します。

アウトバウンド タブで ポリシーの作成 をクリックします。

アウトバウンドポリシーの作成 パネルの カスタム作成 タブで、「アウトバウンドポリシーの設定パラメーター」表を参照して、Bastionhost ユーザーのアクセスを許可するポリシーを作成します。その後、OK をクリックします。

パラメータ	説明
[ソースタイプ]	[IP] を選択します。Bastionhost のエグレス IP アドレスを入力します。
[送信先タイプ]	アドレス帳を選択します。アドレス帳の選択パネルで、Alibaba Cloud サービスドメイン名アドレス帳を選択し、[Alibaba の信頼できるドメイン] を検索します。
[プロトコルタイプ]	[TCP] を選択します。
[アプリケーション]	[HTTP] と [HTTPS] を選択します。
[ポート]	ポートまたはアドレス帳を選択します。クラウドサービスの複数のポートを開放する場合は、ポートをアドレス帳に追加してから、ここでそのアドレス帳を選択します。説明注：アドレス帳は、複数の IP アドレスまたはポートをグループ化して一括設定を行うための機能です。単一のポートのみを開放する場合は、アドレス帳を作成する必要はありません。ポートを選択した場合は、ポートを 443 と 80 に設定します。
[アクション]	リリースを選択し、Bastionhost が指定されたポートでインターネット宛先にアクセスできるようにします。
[優先度]	アクセス制御ポリシーの優先度を先頭に設定します。
[有効化ステータス]	ポリシーを有効にします。
[記述]	このポリシーの目的を識別できるよう、説明を入力します。

Bastionhost からのその他すべてのインターネットトラフィックを拒否するポリシーを作成します。
「アウトバウンドポリシー設定」を参照して、ソースを 0.0.0.0/0 に設定し、優先度を最後に設定します。

ステップ 3：Bastionhost に対する Cloud Firewall による保護の有効化

ポリシーの設定後、インターネットファイアウォールを有効化して、Bastionhost の保護を開始します。

左側メニューで スイッチ をクリックします。
インターネットボーダー境界ウォール タブで、Bastionhost インスタンスの IP アドレスを検索し、操作列で 保護を有効化 をクリックします。

説明
注：新しく購入した Bastionhost インスタンスが Cloud Firewall に同期されるまで、約 15 ～ 30 分かかります。

Cloud Firewall は、Bastionhost の運用を中断することなく保護するようになりました。Bastionhost にログインして、O&M および監査のためにアセットとユーザーをインポートできます。

ステップ 4：設定の検証

Bastionhost のサービスポートへのアクセス、アセットとユーザーのインポート、Web ベースの O&M の実行、セッション再生が可能であることを確認します。Bastionhost とインターネット間のトラフィックログは、インターネットファイアウォールの [トラフィックログ] タブで確認できます。詳細については、「ログ監査」をご参照ください。