ECS; ağ izolasyonu, trafik kontrolü, trafik izleme ve bulut güvenlik koruması yoluyla ağları güvence altına alır.
Ağ izolasyonu
VPC ile ağ izolasyonu
Virtual Private Cloud (VPC), ağ ortamınız üzerinde tam denetim sağlayan özelleştirilebilir bir özel ağdır. VPC aşağıdaki izolasyon yeteneklerini sunar:
VPC'ler mantıksal olarak birbirinden ayrılır ve varsayılan olarak iletişim kurmaz.
Bir VPC içindeki ECS örnekleri iç ağ üzerinden iletişim kurarak genel ağa maruz kalmayı azaltır.
Anahtarlar arasındaki izolasyonu artırmak için bir VPC içinde ağ segmentasyonu ve CIDR bloğu bölme amacıyla birden çok vSwitch oluşturabilirsiniz.
Bkz. VPC'ler ve vSwitch'ler.
vSwitch'ler ile hizmet izolasyonu
Farklı iş senaryoları için CIDR bloklarını bölmek üzere vSwitch'leri kullanın. vSwitch'ler, örnekleri bağlayan temel VPC bileşenleridir ve aşağıdaki güvenlik özelliklerini sağlar:
Hizmet izolasyonu: Kaynakları güvenlik düzeyine ve hizmet türüne göre ayırın.
Trafik kontrolü: Trafiği düzenlemek için ağ erişim kontrol listelerini (ACL'ler) vSwitch'lerle ilişkilendirin.
Bkz. VPC'ler ve vSwitch'ler.
ECS'e özel ağ erişimi için PrivateLink
PrivateLink; İnternet ağ geçidi, NAT cihazı veya VPN Gateway (VPN) gerektirmeden VPC'ler ile ECS arasında özel ve güvenli bağlantılar kurar. Bu yaklaşım ağ mimarisini basitleştirir ve genel ağ erişiminin güvenlik risklerini azaltır. Bkz. PrivateLink nedir?.
Ağ trafiği kontrolü
Trafik kontrolü için ağ ACL'lerini kullanma
Ağ ACL'leri vSwitch'lerle ilişkilendirilerek gelen ve giden veri akışı kontrol edilebilir ve ECS örneklerine erişim kısıtlanabilir. Bkz. Ağ ACL'leri ve Ağ ACL'si oluşturma ve yönetme.
NIC trafiğini kontrol etmek için güvenlik gruplarını kullanma
Güvenlik grubu, ECS örnekleri için gelen ve giden ağ arabirimi denetleyicisi (NIC) trafiğini kontrol eden sanal bir güvenlik duvarıdır. Örneklerin aldığı trafiği kontrol etmek için gelen kuralları, örneklerden çıkan trafiği kontrol etmek için giden kuralları yapılandırın. Bkz. Genel bakış ve Güvenlik gruplarıyla ilişkili kaynakları yönetme.
Güvenlik grupları temel ve gelişmiş olmak üzere iki türe ayrılır ve her ikisi de ücretsizdir. Kapasite, kural başvurusu, dahili birlikte çalışabilirlik ilkesi ve varsayılan erişim kontrolü kuralları açısından farklılık gösterirler. Bkz. Temel ve gelişmiş güvenlik grupları.
Ağ trafiği izleme ve analizi
ECS; erişim kontrolü doğrulaması, trafik izleme ve sorun giderme amacıyla VPC akış günlükleri ve trafik yansıtma yoluyla ağ trafiği izleme ve analizini destekler.
Akış günlükleri
Akış günlükleri, bir Elastic Network Interface (ENI) üzerinden gelen ve giden trafiği kaydeder. ACL kurallarını doğrulamak, trafiği izlemek ve ağ hatalarını gidermek için akış günlüklerini kullanın. Bkz. Akış günlüğü.
Trafik yansıtma
Trafik yansıtma, belirtilen filtrelere göre ENI trafiğini yansıtır ve bunu belirlenen bir ENI'ye veya içe dönük Classic Load Balancer (CLB) öğesine iletir. İçerik denetimi, tehdit izleme ve sorun giderme için bu özelliği kullanın. Bkz. Trafik aynası.
Bulut güvenlik koruması
Alibaba Cloud, ECS örneklerini ağ saldırılarına karşı koruyan güvenlik ürünleri sunar. Aşağıdaki ürünler ECS ile entegre olur:
Anti-DDoS
Anti-DDoS Basic varsayılan olarak etkindir. DDoS trafiğini ECS ana bilgisayarına ulaşmadan önce temizleyerek örnekleri DDoS saldırılarına karşı korur. Bkz. Anti-DDoS Basic.
Cloud Firewall
Cloud Firewall; İnternet, VPC ve dahili güvenlik duvarlarıyla birleşik güvenlik yönetimi sağlar. Dahili güvenlik duvarı, ECS örnekleri arasındaki trafiği korur ve yetkisiz erişimi engeller. Bkz. Güvenlik grubu yapılandırması.
Web Application Firewall
Web Application Firewall (WAF), web trafiğini denetim için bir ağ geçidi üzerinden yönlendirir, kötü niyetli trafiği filtreler ve normal trafiği ECS örneklerine iletir. Bkz. ECS örnekleri için WAF korumasını etkinleştirme.