Virtual Private Cloud:ネットワーク ACL

コンソール

API

• CreateNetworkAcl を呼び出して、ネットワーク ACL を作成します。

• AssociateNetworkAcl を呼び出して、ネットワーク ACL を vSwitch に関連付けます。

• UnassociateNetworkAcl を呼び出して、ネットワーク ACL を vSwitch から関連付け解除します。

• DeleteNetworkAcl を呼び出して、ネットワーク ACL を削除します。

Terraform

コンソールのロジックとは異なり、Terraform はネットワーク ACL と 1 つの vSwitch の関連付けのみをサポートしています。

リソース：alicloud_network_acl

# ネットワーク ACL のリージョンを指定します
provider "alicloud" {
  region = "cn-hangzhou"
}

# VPC ID を指定します
variable "vpc_id" {
  default = "vpc-bp1k******" // 実際の VPC ID に置き換えます
}

# vSwitch ID を指定します
variable "vswitch_id" {
  default = "vsw-bp1y******" // 実際の vSwitch ID に置き換えます
}

# ネットワーク ACL を作成し、vSwitch に関連付けます
resource "alicloud_network_acl" "example_network_acl" {
  vpc_id           = var.vpc_id // ネットワーク ACL が属する VPC を指定します
  network_acl_name = "example_network_acl_name"
  resources {
    resource_id   = var.vswitch_id // ネットワーク ACL に関連付ける vSwitch を指定します
    resource_type = "VSwitch"
  }
}

コンソール

対象のネットワーク ACL の [インバウンドルール]/[アウトバウンドルール] タブで、次の手順に従ってカスタムルールを構成できます。

ネットワーク ACL ルールはステートレスであるため、インバウンドルールを設定して特定のトラフィックが vSwitch に入ることを許可する場合は、対応するアウトバウンドルールを設定する必要があります。

API

• UpdateNetworkAclEntries を呼び出して、ネットワーク ACL ルールを更新します。 コンソールのロジックとは異なり、この API は ACL ルールのフルアップデートを実行します。 新しいルールのみが渡された場合、元のルールは削除され、新しく渡されたルールのみが保持されます。 したがって、ルールを追加するときは、保持する必要があるすべてのルールを渡す必要があります。

• CopyNetworkAclEntries を呼び出して、あるネットワーク ACL から別のネットワーク ACL にルールを完全にコピーします。 すべてのルールがターゲットネットワーク ACL によって正しく識別および受信されるようにするには、両方の VPC に IPv4 CIDR ブロックのみがあるか、両方に IPv6 が有効になっていることを確認する必要があります。 IPv6 が有効になっていない VPC のネットワーク ACL は、IPv6 タイプのルールを構成できません。 IPv6 が有効になっている VPC のネットワーク ACL にルールを完全にコピーする場合、システムはすべての IPv6 トラフィックを許可するカスタムルールを自動的に追加しないため、IPv6 通信に影響を与える可能性があります。

Terraform

この例では、インバウンドとアウトバウンドの両方向に拒否ルールを追加します。 実際のアクセス制御ポリシーに従ってルール構成を調整する必要があります。

リソース: alicloud_network_acl

# ネットワーク ACL のリージョンを指定します
provider "alicloud" {
  region = "cn-hangzhou"
}

# VPC ID を指定します
variable "vpc_id" {
  default = "vpc-bp1k******" # 実際の VPC ID に置き換えます
}

# vSwitch ID を指定します
variable "vswitch_id" {
  default = "vsw-bp1y******" # 実際の vSwitch ID に置き換えます
}

# ネットワーク ACL を作成し、vSwitch に関連付けます
resource "alicloud_network_acl" "example_network_acl" {
  vpc_id           = var.vpc_id # ネットワーク ACL が属する VPC を指定します
  network_acl_name = "example_network_acl_name"
  resources {
    resource_id   = var.vswitch_id # ネットワーク ACL に関連付ける vSwitch を指定します
    resource_type = "VSwitch"
  }
  ingress_acl_entries { # インバウンドルールを指定します
    network_acl_entry_name = "example-ingress"
    protocol               = "tcp"         # プロトコルタイプ
    source_cidr_ip         = "10.0.0.0/24" # 送信元 IP アドレス
    port                   = "20/80"       # ポート範囲
    policy                 = "drop"        # ポリシー
  }
  egress_acl_entries { # アウトバウンドルールを指定します
    network_acl_entry_name = "example-egress"
    protocol               = "tcp"
    destination_cidr_ip    = "10.0.0.0/24" # 宛先 IP アドレス
    port                   = "20/80"       # ポート範囲
    policy                 = "drop"        # ポリシー
  }
}