Virtual Private Cloud：網路ACL

控制台

API

• 調用CreateNetworkAcl建立網路ACL。

• 調用AssociateNetworkAcl綁定網路ACL與交換器。

• 調用UnassociateNetworkAcl解除網路ACL與交換器的綁定。

• 調用DeleteNetworkAcl刪除網路ACL。

Terraform

與控制台邏輯不同，Terraform僅支援將網路ACL與一個交換器關聯。

Resources：alicloud_network_acl

# 指定網路ACL的地區
provider "alicloud" {
  region = "cn-hangzhou"
}

# 指定VPC ID
variable "vpc_id" {
  default = "vpc-bp1k******" # 修改為VPC的實際ID
}

# 指定交換器ID
variable "vswitch_id" {
  default = "vsw-bp1y******" # 修改為交換器的實際ID
}

# 建立網路ACL並關聯交換器 
resource "alicloud_network_acl" "example_network_acl" {
  vpc_id           = var.vpc_id # 指定網路ACL所屬VPC
  network_acl_name = "example_network_acl_name"
  resources {
    resource_id   = var.vswitch_id # 指定網路ACL關聯的交換器
    resource_type = "VSwitch"
  }
}

控制台

在目標網路ACL的入方向規則/出方向規則頁簽，您可參考以下步驟，來配置自訂規則。

由於網路ACL規則是無狀態的，當您設定入方向規則來允許特定流量進入交換器時，需要設定相應的出方向規則。

API

• 調用UpdateNetworkAclEntries更新網路ACL規則。與控制台邏輯不同的是，該API將對ACL規則進行全量更新。如果只傳入新增規則，將會刪除原有規則，僅保留新傳入的規則。因此，增加規則時必須傳入所有需要保留的規則。

• 調用CopyNetworkAclEntries將網路ACL的規則完整複製到另一個網路ACL。為保證所有規則都能被目標網路ACL正確地識別和接收，您需確保兩個網路ACL所屬的VPC均只有IPv4網段或均開啟了IPv6。未開啟IPv6的VPC中的網路ACL無法配置IPv6類型的規則，若將規則完整複製到已開啟IPv6的VPC的網路ACL時，系統不會自動添加允許所有IPv6流量的自訂規則，可能影響IPv6通訊。

Terraform

本樣本分別在出入方向添加了拒絕規則，您應根據實際的存取控制策略調整規則配置。

Resources：alicloud_network_acl

# 指定網路ACL的地區
provider "alicloud" {
  region = "cn-hangzhou"
}

# 指定VPC ID
variable "vpc_id" {
  default = "vpc-bp1k******" # 修改為VPC的實際ID
}

# 指定交換器ID
variable "vswitch_id" {
  default = "vsw-bp1y******" # 修改為交換器的實際ID
}

# 建立網路ACL並綁定交換器
resource "alicloud_network_acl" "example_network_acl" {
  vpc_id           = var.vpc_id # 指定網路ACL所屬VPC
  network_acl_name = "example_network_acl_name"
  resources {
    resource_id   = var.vswitch_id # 指定網路ACL關聯的交換器
    resource_type = "VSwitch"
  }
  ingress_acl_entries { # 指定入方向規則
    network_acl_entry_name = "example-ingress"
    protocol               = "tcp"         # 協議類型
    source_cidr_ip         = "10.0.0.0/24" # 源地址 
    port                   = "20/80"       # 連接埠範圍
    policy                 = "drop"        # 策略
  }
  egress_acl_entries { # 指定出方向規則
    network_acl_entry_name = "example-egress"
    protocol               = "tcp"
    destination_cidr_ip    = "10.0.0.0/24" # 目的地址 
    port                   = "20/80"       # 連接埠範圍
    policy                 = "drop"        # 策略
  }
}