Elastic Compute Service:Listas de prefixos e listas de portas para regras de grupo de segurança

Cenários

Para proteger seus recursos de cloud, você pode dividi-los em várias zonas de segurança. Cada zona corresponde a um grupo de segurança. Se um source comum, como a rede local do seu escritório, precisar acessar recursos em todas essas zonas, gerenciar o acesso pode se tornar desafiador, principalmente quando os endereços de rede desse source comum mudam com frequência.

Sem usar uma lista de prefixos, seria necessário manter várias regras de grupo de segurança que diferem apenas pelos endereços IP de source. Quando os endereços de rede de source mudarem, você terá que atualizar as regras em vários grupos de segurança. Quanto mais grupos de segurança e endereços de rede existirem, mais complexa será essa tarefa.

Com uma lista de prefixos, agrupe os endereços de rede de source e referencie a lista nas regras do grupo de segurança. Quando um endereço de rede mudar, basta atualizar a entrada na lista de prefixos. A alteração se aplica automaticamente a todas as regras de grupo de segurança associadas. Isso simplifica o gerenciamento das políticas de controle de acesso e melhora a eficiência.

Se os seus recursos de cloud estiverem implantados em várias regiões da Alibaba Cloud, use o recurso de clonagem de lista de prefixos para copiar uma lista de prefixos existente para outras regiões.

Procedimento

1. Acesse ECS Console - Prefix List.

2. No canto superior esquerdo da página, selecione uma região e um grupo de recursos.

3. Na guia Prefix Lists, clique em Create Prefix List.

4. Na caixa de diálogo Create Prefix List, configure os parâmetros e clique em OK.

   Este exemplo usa uma lista de prefixos com duas entradas IPv4. Os parâmetros a seguir servem como referência:

   • Prefix List Name: RemoteAccess-IP

   • Description: Permite que os endereços IP desta lista acessem instâncias ECS específicas.

   • Address Family: IPv4

   • Max Entries: 2

     Nota

     Quando um recurso associado, como um grupo de segurança, calcula a cota de regras, ele usa o valor de Max Entries, não o número real de entradas. Defina esse parâmetro com um valor adequado.

   • Prefix List Entries: Clique em Add Entry para adicionar 192.168.1.0/24 e 192.168.2.0/24.

     Esses blocos CIDR representam os seguintes intervalos de endereços IP:

     • 192.168.1.0/24 representa endereços IP de 192.168.1.0 a 192.168.1.255.

     • 192.168.2.0/24 representa endereços IP de 192.168.2.0 a 192.168.2.255.

5. Use a lista de prefixos em uma regra de grupo de segurança.

   Repita as etapas a seguir para adicionar uma regra de grupo de segurança a vários grupos de segurança. Use a lista de prefixos RemoteAccess-IP como source.

   1. Acesse ECS Console - Security Group.

   2. Encontre o grupo de segurança de destino e clique em Manage Rules na coluna Operation.

   3. Na guia Inbound, clique em Add Rule.

   4. Configure os parâmetros da regra de grupo de segurança e clique em Save.

      Os parâmetros de exemplo a seguir permitem acesso aos services nas instâncias do grupo de segurança.

      • Authorization Policy: Allow

      • Priority: 1

      • Protocol Type: Custom TCP

      • Source: Selecione a lista de prefixos RemoteAccess-IP.

      Depois que você adiciona a regra, o grupo de segurança permite tráfego de entrada dos endereços IP na lista de prefixos.

6. Modifique as entradas na lista de prefixos.

   Depois de adicionar a regra de grupo de segurança, talvez seja necessário revogar o acesso remoto de alguns endereços IP para reduzir riscos. Em vez de modificar regras em vários grupos de segurança, modifique apenas as entradas na lista de prefixos RemoteAccess-IP. Por exemplo, se você usa instâncias com os endereços IP privados 192.168.1.1 e 192.168.2.1 como bastion hosts, siga as etapas abaixo para permitir conexões remotas somente a partir dos bastion hosts.

   1. Acesse ECS Console - Prefix List.

   2. Na guia Prefix Lists, encontre a lista de prefixos RemoteAccess-IP e clique em Details na coluna Operation.

   3. Clique na guia Entries.

   4. Encontre uma entrada da lista de prefixos e clique em Modify na coluna Operation.

   5. Defina o parâmetro CIDR Block e clique em Save.

      Modifique as duas entradas existentes. Defina seus parâmetros CIDR Block como 192.168.1.1/32 e 192.168.2.1/32, respectivamente.

      Essas alterações entram em vigor imediatamente e atualizam todas as regras de grupo de segurança que referenciam a lista de prefixos. Agora, os grupos de segurança permitem conexões remotas somente a partir de 192.168.1.1/32 e 192.168.2.1/32.