VPC, cloud kaynaklarınızı korumak için katmanlı bir güvenlik modeli kullanır. Bu konu; ağ yalıtımı, örnek ve alt ağ düzeyinde trafik kontrolü ile RAM ilkeleriyle erişim yönetimini kapsar.
Ağ yalıtımının çalışma şekli
Her VPC, mantıksal olarak yalıtılmış özel bir ağdır. VPC'ler tünel teknolojisi kullanılarak birbirinden ayrılır: Her VPC benzersiz bir tünel kimliği alır ve VPC içindeki Elastic Compute Service (ECS) örnekleri arasında fiziksel ağ üzerinden iletilmeden önce veri paketleri bu kimlikle kapsüllenir. Farklı VPC'lerden gelen paketler farklı tünel kimlikleri taşıdığından, ayrı VPC'lerdeki ECS örnekleri varsayılan olarak birbirleriyle iletişim kuramaz.
Üretim ile geliştirme ortamları veya farklı iş birimleri gibi farklı güvenlik gereksinimlerine sahip iş yüklerini yalıtmak için ayrı VPC'ler kullanın.
Trafik kontrol özellikleri
VPC, ağınızın farklı katmanlarında trafiği kontrol etmek için dört özellik sunar.
ECS güvenlik grubu
Güvenlik grupları, örnek düzeyinde sanal güvenlik duvarı olarak çalışır. Durum Bilgili Paket Denetimi (SPI) ve paket filtreleme sunarak cloud ortamında güvenlik alanları tanımlamanıza olanak tanır. Bir gruptaki bir veya daha fazla ECS örneğine yönelik trafiği kontrol etmek için gelen ve giden kuralları yapılandırın. Daha fazla bilgi için bkz. Overview of security groups.
Network ACL
Ağ erişim kontrol listeleri (ACL'ler) alt ağ düzeyinde çalışır. Network ACL kuralları oluşturun ve ACL'yi bir vSwitch ile ilişkilendirerek söz konusu vSwitch'teki tüm ECS örneklerinin gelen ve giden trafiğini kontrol edin. Daha fazla bilgi için bkz. Overview of network ACLs.
Flow log
Flow log'lar, esnek ağ arabirimine (ENI) yönelik gelen ve giden trafiğin meta verilerini yakalar. Erişim kontrol kurallarını denetlemek, ağ etkinliğini izlemek ve bağlantı sorunlarını gidermek için flow log'ları kullanın. Daha fazla bilgi için bkz. Overview of flow logs.
Traffic mirroring
Traffic mirroring, bir ENI üzerinden geçen ve belirli filtre koşullarını karşılayan paketleri kopyalar, ardından bunları belirtilen bir ENI'ye veya dahili yönlendirmeli Classic Load Balancer (CLB) örneğine iletir. İçerik denetimi, tehdit izleme ve ağ sorun giderme için traffic mirroring'i kullanın. Daha fazla bilgi için bkz. Overview of traffic mirroring.
RAM ilkeleriyle erişimi yönetin
VPC kaynaklarını oluşturabilen, görüntüleyebilen ve değiştirebilen kullanıcıları kontrol etmek için Resource Access Management (RAM) ilkelerini kullanın. İzinleri bir RAM kullanıcısına, kullanıcı grubuna veya RAM rolüne atayın.
Yerleşik ilkeler
Standart VPC izinlerini hızla vermek için aşağıdaki sistem ilkelerini ekleyin.
| İlke | Açıklama |
|---|---|
| AliyunVPCFullAccess | Bir RAM kullanıcısına VPC'leri yönetme izni verir |
| AliyunVPCReadOnlyAccess | Bir RAM kullanıcısına VPC'lerde salt okunur izin verir |
VPC izinlerinin tam listesi için bkz. RAM authorization (VPC). VPC eşlemeli bağlantı izinleri için bkz. RAM authorization (VPC peering connection).
Özel ilkeler
Yerleşik ilkeler gereksinimlerinizi karşılamıyorsa, daha ayrıntılı bir izin kümesi tanımlamak için özel bir RAM ilkesi oluşturun. Rehberlik için bkz. Use RAM roles to manage VPC permissions.