Exemplos de políticas de controle de acesso do Cloud Firewall - Cloud Firewall: Central de Documentação do Alibaba Cloud

Exemplos de políticas do firewall de internet

O Cloud Firewall controla o tráfego de entrada e saída voltado para a internet (norte-sul). Configure access control policies for an internet firewall aborda todos os parâmetros da política.

Permitir tráfego público de entrada em uma porta específica

Exemplo: uma instância ECS possui o IP privado 10.1.XX.XX e o EIP 200.2.XX.XX/32. A política a seguir permite todo o tráfego de entrada da internet (0.0.0.0/0) exclusivamente para a porta TCP 80.

Faça login no console do Cloud Firewall.
No painel de navegação à esquerda, selecione Prevention Configuration > Access Control > Policy Configuration > Internet Border.

Na aba Inbound, clique em Create Policy. No painel Create Inbound Policy, na aba Create Policy, configure as seguintes políticas.

Configure uma política para permitir tráfego público na porta TCP 80 da instância e clique em OK.

Principais parâmetros:

Parâmetro	Descrição	Valor de exemplo
Source Type	Origem do tráfego. Selecione um tipo de origem e insira o endereço de origem.	IP
Source		`0.0.0.0/0` Nota `0.0.0.0/0` representa todos os endereços IP públicos.
Destination Type	Destino do tráfego. Selecione um tipo de destino e insira o endereço de destino.	IP
Destination		`200.2.XX.XX/32`
Protocol Type	Protocolo da camada de transporte: TCP, UDP, ICMP ou ANY. Selecione ANY em caso de dúvida.	TCP
Port Type	Tipo de porta de destino e número da porta.	Port
Port	Tipo de porta de destino e número da porta.	`80/80`
Application	Tipo de aplicação do tráfego.	ANY
Action	Ação para o tráfego correspondente.	Allow
Priority	Prioridade da política. Padrão: Lowest.	Highest
Status	Especifique se deseja ativar a política. Apenas políticas ativadas entram em vigor.	Enabled

Configure uma política para negar todo o tráfego público para todas as instâncias e clique em OK.
Crie a política Deny com os seguintes parâmetros:
- Destination: 0.0.0.0/0
  
  Nota
  0.0.0.0/0 representa os endereços IP de todas as instâncias.
- Protocol Type: ANY
- Port: 0/0
  
  Nota
  0/0 representa todas as portas da instância.
- Application: ANY
- Action: Drop
- Priority: Lowest

Confirme se a policy to Allow inbound traffic to TCP port 80 of the host tem prioridade maior que a policy to Deny all inbound traffic to the host.

Exemplos de políticas do firewall de VPC

O firewall de VPC controla o tráfego entre VPCs (tráfego leste-oeste). Configure access control policies for a VPC firewall aborda todos os parâmetros da política.

Negar tráfego entre instâncias ECS em VPCs diferentes

Nota

Por padrão, instâncias ECS em VPCs conectadas por CEN ou Express Connect podem se comunicar.

Exemplo: a VPC1 e a VPC2 estão conectadas por CEN. A ECS1 (10.33.XX.XX/32) está na VPC1 e a ECS2 (10.66.XX.XX/32) está na VPC2. A política a seguir nega o acesso da ECS1 à ECS2.

Faça login no console do Cloud Firewall
No painel de navegação à esquerda, escolha Prevention Configuration > Access Control > Policy Configuration > VPC Border.
Na página VPC Border, clique em Create Policy.

No painel Create Policy - VPC Border, configure a política conforme descrito na tabela a seguir e clique em Confirm.

Principais parâmetros:

Parâmetro	Descrição	Valor de exemplo
Source Type	Tipo de origem do tráfego.	IP
Source	Endereço de origem do tráfego.	`10.33.XX.XX/32`
Destination Type	Tipo de destino do tráfego.	IP
Destination	Endereço de destino do tráfego.	`10.66.XX.XX/32`
Protocol Type	Protocolo do tráfego.	TCP
Port Type	Tipo de porta.	Port
Port	Insira uma porta com base na configuração de Port Type ou clique em Select para selecionar um Port Address Book.	`0/0`
Application	Tipo de aplicação.	ANY
Action	Permitir ou negar o tráfego correspondente.	Drop

Exemplos de políticas do firewall interno

O firewall interno controla o tráfego entre instâncias ECS. As políticas são sincronizadas com os grupos de segurança do ECS e entram em vigor após a publicação. Security group configuration aborda todos os parâmetros da política.

Habilitar comunicação de ECS dentro de um grupo de políticas

Nota

Diferentemente dos grupos de segurança do ECS, que permitem comunicação intragrupo por padrão, o firewall interno do Cloud Firewall exige uma política Allow explícita.

Exemplo: a ECS1 (10.33.XX.XX) e a ECS2 (10.66.XX.XX) estão no grupo de políticas sg-test. As políticas a seguir habilitam a comunicação entre elas.

Faça login no console do Cloud Firewall.
No painel de navegação à esquerda, escolha Prevention Configuration > Security Group Control > Security Group Configuration.
Na página Security Group Configuration, localize o grupo de políticas desejado e clique em Configure Policy na coluna Actions.

Na aba Inbound, clique em Create Policy.

Configure uma política Allow de entrada com os seguintes parâmetros:

Parâmetro	Descrição	Valor de exemplo
Policy Type:	Tipo de política.	Allow
Protocol Type	Tipo de protocolo.	TCP
Port Range	Intervalo de portas.	`0/0`
Source Type, Source	Origem do tráfego. Obrigatório quando a direção da política é Inbound.	Source Type: Policy Group Source Object: sg-test
Destination	Destino do tráfego. Obrigatório para políticas de entrada.	Address Segment Access (CIDR block: 10.66.XX.XX) Nota Para habilitar a comunicação entre todas as instâncias ECS no grupo de políticas, defina Destination como All ECS Instances. Para habilitar a comunicação entre instâncias ECS específicas no grupo de políticas, defina Destination como CIDR Block e insira o bloco CIDR da instância ECS de destino.

Se você utilizar um grupo de segurança avançado, também precisará configurar uma política Allow de saída.
Um grupo de segurança básico permite todo o tráfego de saída por padrão.
Configure a política de saída com os seguintes parâmetros:
- Source Type: IP
- Source: 10.66.XX.XX
- CIDR Block: 10.33.XX.XX

Habilitar comunicação de ECS entre grupos de políticas

Exemplo: a ECS1 (10.33.XX.XX) e a ECS2 (10.66.XX.XX) estão em grupos de políticas diferentes. As políticas a seguir habilitam a comunicação entre elas.

Faça login no console do Cloud Firewall.
No painel de navegação à esquerda, escolha Prevention Configuration > Security Group Control > Security Group Configuration.
Na página Security Group Configuration, localize o grupo de políticas que contém a ECS1 e clique em Configure Policy na coluna Actions.

Na aba Inbound, clique em Create Policy.

Configure uma política Allow de entrada com os seguintes parâmetros:

Parâmetro	Descrição	Valor de exemplo
Policy Type	Tipo de política.	Allow
Protocol Type	Tipo de protocolo.	TCP
Port Range	Intervalo de portas.	`0/0`
Source Type, Source	Origem do tráfego. Obrigatório para políticas de entrada.	Source Type: IP Source Object: `10.66.XX.XX`
Destination	Destino do tráfego. Obrigatório para políticas de entrada.	Address Segment Access (CIDR block: 10.33.XX.XX) Nota Para permitir que as instâncias ECS no grupo de políticas sg-test2 acessem todas as instâncias ECS no grupo de políticas sg-test1, defina Destination como All ECS Instances. Para permitir que as instâncias ECS no grupo de políticas sg-test2 acessem instâncias ECS específicas no grupo de políticas sg-test1, defina Destination como CIDR Block e insira os blocos CIDR das instâncias ECS no grupo de políticas sg-test1.

Se você utilizar um grupo de segurança avançado, também precisará configurar uma política Allow de saída.
Um grupo de segurança básico permite todo o tráfego de saída por padrão.
Configure a política de saída com os seguintes parâmetros:
- Source Type: IP
- Source: 10.33.XX.XX
- CIDR Block: 10.66.XX.XX
Da mesma forma, configure as políticas Allow de entrada e saída correspondentes para a ECS2.