Quando você ative o cloud Firewall, todo o tráfego é permitido por padrão caso nenhuma política de controle de acesso esteja configurada. Para que você gerencie o acesso não autorizado aos seus ativos, configure políticas específicas para permitir ou bloquear o tráfego de acordo com os requisitos do seu negócio. Este tópico descreve o funcionamento das políticas de controle de acesso do cloud Firewall e explica o faturamento relacionado.
Visão geral
O cloud Firewall oferece políticas de controle de acesso para o firewall de internet, firewall NAT, firewall vpc e firewall interno; configure políticas de controle de acesso para diferentes firewalls a fim de bloquear tráfego não autorizado e aplicar isolamento de segurança e controle em vários caminhos de tráfego. Os princípios descritos neste tópico aplicam-se apenas às políticas de controle de acesso para o firewall de internet, firewall NAT e firewall vpc.
Para obter mais informações sobre as políticas de controle de acesso do firewall interno, consulte security group configuration.
Elementos da política
Uma política de controle de acesso identifica e corresponde o tráfego com base em diferentes elementos para permitir ou negar o tráfego associado.
Item de correspondência | Descrição | Tipo de configuração | Configurações suportadas |
source | O iniciador da conexão de rede. |
|
|
Destination | O receptor da conexão de rede. | Suporta ip, ip address book, domain name e region.
|
|
Protocol type | O protocolo da camada de transporte. | Suporta TCP, UDP, ICMP e ANY; selecione ANY se o tipo de protocolo específico for desconhecido. | Todas as políticas suportam todos os tipos. |
Port | A porta de destino. | Controla o tráfego com base na porta de destino, suportando portas únicas, intervalos de portas e port address books. |
|
Application | O protocolo da camada de aplicação. | Suporta vários protocolos, como HTTP, HTTPS, SMTP, SMTPS, SSL, FTP, IMAPS e POP3; selecione ANY se o tipo de aplicação específico for desconhecido. Nota O cloud Firewall identifica o tipo de aplicação do tráfego TLS e SSL com base na porta.
| Depende do tipo de protocolo selecionado. |
Como funciona
Se você não configurar nenhuma política de controle de acesso, o cloud Firewall permite todo o tráfego por padrão.
Após configurar as políticas de controle de acesso, o cloud Firewall expande cada política em uma ou mais regras de correspondência com base em uma lógica específica e as implanta no mecanismo. Quando o tráfego passa pelo cloud Firewall, ele é comparado com as políticas em ordem de prioridade. Se um pacote de tráfego corresponder a uma política, o cloud Firewall executa a ação correspondente e interrompe o processo de correspondência. Se o tráfego não corresponder a uma política, a próxima política na ordem de prioridade será avaliada. Caso o tráfego não corresponda a nenhuma política de controle de acesso configurada, ele será permitido por padrão.
Quando você crie, modifique ou exclua uma política de controle de acesso, o cloud Firewall leva cerca de três minutos para implantar a política no mecanismo.
Quanto menor o valor de prioridade, maior a prioridade. Para garantir a correspondência ideal de políticas, recomendamos que você defina prioridades mais altas para políticas mais específicas e com maior frequência de correspondência.
A figura a seguir mostra como uma política de controle de acesso funciona.
Ações da política
A ação de uma política de controle de acesso pode ser definida como Allow, Monitor ou Deny. Quando o tráfego corresponde a uma política de controle de acesso, o cloud Firewall executa a ação especificada.
Se a ação de uma política estiver definida como Monitor, o cloud Firewall permite o tráfego correspondente. Após um período de observação, você pode alterar a ação para Allow ou Deny.
acesse a página Traffic Logs e visualize os dados de tráfego. Para obter mais informações, consulte Log audit.
Cota de políticas
Após configurar uma política de controle de acesso, o cloud Firewall calcula a cota consumida por cada política com base no número de objetos nos campos source, destination, protocol type, port e application.
Método de cálculo
A cota da política é calculada usando as seguintes fórmulas:
Cota consumida por uma única política = Número de endereços de origem (número de blocos CIDR ou regiões) × Número de endereços de destino (número de blocos CIDR, regiões ou nomes de domínio) × Número de intervalos de portas × Número de aplicações
-
Cota total consumida = Soma da cota consumida por todas as políticas de controle de acesso (incluindo políticas de entrada e saída)
Na página Policy Configuration, visualize o limite Used e Edition Specifications na seção Policy Settings na parte superior.
Faturamento
Cada edição do cloud Firewall vem com uma cota padrão de políticas. Para instâncias da Ultimate Edition, se a cota de políticas for insuficiente, entre em contato com o gerente da sua conta para aumentar a cota. Para obter mais informações, consulte Subscription 2.0 e Pay-as-you-go 2.0.
Exemplos de cálculo
Documentos relacionados
Para gerenciar o tráfego entre ativos expostos à internet e a internet, consulte Configure an access control policy for the internet firewall.
Para gerenciar o tráfego de ativos de rede privada para a internet, consulte Configure an access control policy for the NAT firewall.
Para gerenciar o tráfego entre vpcs e entre vpcs e data centers locais, consulte Configure an access control policy for a VPC firewall.
Para gerenciar o tráfego entre instâncias ECS, consulte security group configuration.
Para obter regras de configuração e exemplos de cenários para políticas de controle de acesso, consulte Access control policy configuration examples.
Se você usar o cloud Firewall e o Bastionhost simultaneamente, configure adequadamente as políticas de controle de acesso para evitar que o acesso do Bastionhost seja bloqueado inadvertidamente. Para obter mais informações, consulte Best practices for access control policies when Cloud Firewall is deployed with Bastionhost.