Server Load Balancer:Use security groups as blacklists or whitelists

Cenários de exemplo

Por padrão, independentemente de a instância NLB estar associada a um grupo de segurança, as portas do listener aceitam todas as solicitações de entrada. Adicionar um grupo de segurança apenas com regras Allow não altera esse comportamento. Para restringir o acesso a endereços IP específicos, adicione pelo menos uma regra Deny ao grupo de segurança.

Os grupos de segurança do NLB se aplicam apenas ao tráfego de entrada. O tráfego de saída (respostas às solicitações do cliente) não sofre restrições; portanto, não é necessário configurar regras de saída.

Os cenários a seguir demonstram como as listas de permissões e de bloqueios funcionam. Para mais informações, consulte Security group rules.

Uma lista de bloqueios nega o acesso de endereços IP específicos.

Uma lista de permissões permite o acesso apenas de endereços IP específicos.

Limitações

Para obter detalhes sobre as diferenças entre grupos de segurança básicos e avançados, consulte Basic and advanced security groups.

Pré-requisitos

Quatro instâncias do Elastic Compute Service (ECS) criadas. Para mais informações sobre como criar uma instância ECS, consulte Purchase an ECS instance.

• O ECS01 e o ECS02 funcionam como servidores de back-end da instância NLB. Aplicações de teste estão implantadas no ECS01 e no ECS02.

  Use os seguintes comandos de exemplo para implantar aplicações de teste no ECS01 e no ECS02:

  Comandos para implantar uma aplicação no ECS01

  yum install -y nginx
  systemctl start nginx.service
  cd /usr/share/nginx/html/
  echo "Hello World ! This is ECS01." > index.html
  

  Comandos para implantar uma aplicação no ECS02

  yum install -y nginx
  systemctl start nginx.service
  cd /usr/share/nginx/html/
  echo "Hello World ! This is ECS02." > index.html
  

• O ECS03 e o ECS04 são instâncias voltadas para a internet usadas para acessar a instância NLB. Também é possível usar um servidor Linux existente para acessar a instância NLB. Nesse caso, não é necessário criar o ECS03 e o ECS04.

• Registre um nome de domínio, obtenha um número de provedor de conteúdo de internet (ICP) para o domínio e crie um registro CNAME para mapear o nome de domínio personalizado para o nome de domínio da sua instância NLB. Para mais informações, consulte Register a domain name, ICP filing process e Step 4: Create a DNS record.

  A tabela a seguir descreve as configurações das instâncias ECS usadas neste tópico.

  Instância	Configuração do ECS	VPC	Endereço IP	Procedimento
  ECS01	Tipo de instância: ecs.u1-c1m1.large CPUs e memória: 2 vCPUs e 2 GiB de memória Sistema operacional: Alibaba Cloud Linux 3.2104 LTS 64 bits Tipo de rede: VPC	VPC01	Privado: 192.168.0.24 Público: não atribuído	As instâncias atuam como servidores de back-end da instância NLB.
  ECS02			Privado: 192.168.0.37 Público: não atribuído
  ECS03		VPC02	Privado: 192.168.0.25 Público: 47.XX.XX.55	As instâncias atuam como clientes para acessar a instância NLB.
  ECS04			Privado: 192.168.0.26 Público: 101.XX.XX.251

Etapa 1: Criar um grupo de servidores

1. Acesse o NLB console.

2. Na barra de navegação superior, selecione a região onde deseja criar um grupo de servidores. Neste exemplo, a região selecionada é China (Hangzhou).

3. No painel de navegação à esquerda, escolha NLB > Server Groups.

3. Na página Server Group, clique em Create Server Group.

4. Na caixa de diálogo Create Server Group, defina os seguintes parâmetros e clique em Create.

   A tabela a seguir descreve os principais parâmetros para criar um grupo de servidores. Use os valores padrão para os outros parâmetros. Para mais informações, consulte Create a server group.

   Parâmetro	Descrição
   Server Group Type	Especifique um tipo de grupo de servidores. Neste exemplo, o tipo selecionado é Server.
   Server Group Name	Insira um nome para o grupo de servidores. Neste exemplo, o nome utilizado é RS01.
   VPC	Selecione uma VPC na lista suspensa. Neste exemplo, a VPC selecionada é a VPC1. O grupo de servidores deve residir na mesma VPC do ECS01 e do ECS02.
   Backend Server Protocol	Selecione um protocolo de back-end. Neste exemplo, o protocolo selecionado é TCP.

4. Na caixa de diálogo The server group is created, clique em Add Backend Server.

5. Na aba Backend Servers, clique em Add Backend Server.

6. No painel Add Backend Server, selecione ECS01 e ECS02 e clique em Next.

7. Especifique portas e pesos para os servidores de back-end e clique em OK. Neste exemplo, usamos a porta 80 e o peso padrão.

Etapa 2: Criar uma instância NLB e configurar listeners

1. No painel de navegação à esquerda, escolha NLB > Instances. Na página Instances, clique em Create NLB.

2. Na página Network Load Balancer (Pay-As-You-Go), defina os seguintes parâmetros.

   A tabela a seguir descreve apenas alguns dos parâmetros. Para mais informações sobre outros parâmetros, consulte Create an instance.

   • Region: Neste exemplo, a região selecionada é China (Hangzhou).

   • Network Type: Neste exemplo, o tipo selecionado é Public.

   • VPC: Neste exemplo, a VPC selecionada é a VPC01.

3. Clique em Buy Now e conclua o pagamento.

4. Retorne à página Instances, encontre a instância NLB criada e clique no respectivo ID.

5. Clique na aba Listener. Na aba Listener, clique em Quick Create Listener. Na caixa de diálogo Quick Create Listener, defina os seguintes parâmetros para criar um listener TCP na porta 80 e clique em OK.

   Parâmetro	Procedimento
   Listener Protocol	Selecione um protocolo de listener. Neste exemplo, o protocolo selecionado é TCP.
   Listener Port	Neste exemplo, usamos a porta 80.
   Server Group	Selecione Server e escolha um grupo de servidores na lista suspensa ao lado de Server. Neste exemplo, o grupo de servidores selecionado é o criado em Step 1: Create a server group.

6. Verifique a acessibilidade da instância NLB antes de adicioná-la a um grupo de segurança. O comando curl -s http://whatismyip.akamai.com/ pode ser usado para consultar o endereço IP público do cliente que envia a solicitação.

   1. Acesse o ECS03. Execute o seguinte comando para testar se o ECS03 consegue acessar a instância NLB: telnet Domain name 80.

      Se você receber pacotes de resposta de eco, o ECS03 consegue acessar a instância NLB.

      [root@iZbp1esczkzr2jlz    ~]# curl -s http://whatismyip.akamai.com/
      47.xxx.55[root@iZbp1exxx    lz    ~]# telnet xxx.com 80
      Trying 47.xxx.164...
      Connected to xxx.com.
      

   2. Acesse o ECS04. Execute o seguinte comando para testar se o ECS04 consegue acessar a instância NLB: telnet Domain name 80.

      Se você receber pacotes de resposta de eco, o ECS04 consegue acessar a instância NLB.

      [root@iZbp1esczkr2jlxxx ~]# curl -s http://whatismyip.akamai.com/
      101.xxx.251[root@iZbp1escxxx jl    ~]# telnet nxxx xxx xxx.s.com 80
      Trying 47.xxx.164...
      Connected to xxx.com.
      

   Os resultados mostram que, antes de adicionar a instância NLB a um grupo de segurança, o ECS03 e o ECS04 conseguem acessar a instância NLB.

Etapa 3: Criar um grupo de segurança

Antes de adicionar sua instância NLB a um grupo de segurança, crie um grupo de segurança no ECS console. Esta seção descreve como criar dois grupos de segurança.

• Grupo de Segurança 1 como lista de bloqueios

  Adicione uma regra Deny para negar o acesso de endereços IP especificados. Neste exemplo, criamos uma regra Deny para negar o acesso do endereço IP público 47.XX.XX.55 do ECS03. Mantenha a regra padrão do grupo de segurança. A tabela a seguir descreve as configurações da regra.

  Política	Prioridade	Protocolo	Intervalo de portas	Objeto de autorização
  Deny	1	All	Destino: -1/-1	Origem: 47.XX.XX.55

• Grupo de Segurança 2 como lista de permissões

  Adicione uma regra Allow para permitir o acesso de endereços IP específicos e uma regra Deny para negar o acesso de endereços IP específicos. Neste exemplo, criamos uma regra Allow para permitir o acesso do endereço IP público 47.XX.XX.55 do ECS03 e uma regra Deny. A tabela a seguir descreve as configurações das regras.

  Política	Prioridade	Protocolo	Intervalo de portas	Objeto de autorização
  Allow	1	All	Destino: -1/-1	Origem: 47.XX.XX.55
  Deny	100	All	Destino: -1/-1	Origem: 0.0.0.0/0

1. Acesse o ECS console.

2. No painel de navegação à esquerda, escolha Server > Server.

3. Na barra de navegação superior, selecione a região onde deseja criar um grupo de segurança. Neste exemplo, a região selecionada é Network & Security.

4. Na página Security Groups, clique em China (Hangzhou).

5. Na página Security Groups, defina os parâmetros na seção Create Security Group.

   Especifique os seguintes parâmetros. Para mais informações sobre outros parâmetros, consulte Create a security group.

   • Create Security Group: Neste exemplo, a VPC selecionada é a VPC 1. O grupo de segurança deve residir na mesma VPC da instância NLB.

   • Basic Information: Neste exemplo, o tipo selecionado é Network.

6. Na página Security Group Type, defina os parâmetros na seção Basic Security Group.

   1. Na aba Create Security Group, clique em Rules para adicionar regras com base nas configurações das regras no Grupo de Segurança 1 e no Grupo de Segurança 2.

   2. Clique em Inbound.

Etapa 4: Adicionar a instância NLB ao grupo de segurança e verificar o resultado

Referências

• Para mais informações sobre como adicionar uma instância NLB a um grupo de segurança e removê-la, consulte Add an NLB instance to a security group.

• Para mais informações sobre como ativar o controle de acesso refinado com base em listeners ou portas, consulte Configure security groups for NLB instances.

• Para mais informações sobre grupos de segurança, consulte Security group.