Cara Mengkonfigurasi Firewall Kumpulan Keselamatan Awan

Kunci untuk mengkonfigurasi kumpulan keselamatan dan firewall untuk keadaan awan adalah untuk memahami logik kawalan lalu lintas dan mengikuti prinsip kebenaran paling sedikit. 1. Kumpulan keselamatan bersamaan dengan firewall maya. Ia digunakan untuk mengawal trafik rangkaian masuk dan keluar dari contoh. Hanya pelabuhan yang perlu dibuka dan IP sumber harus dihadkan; 2. Apabila menetapkan peraturan masuk, SSH harus dihadkan kepada IPS tertentu. HTTP/HTTPS boleh dibuka ke rangkaian luaran atau Whitelisted, dan port pangkalan data tidak boleh dibuka ke rangkaian luaran; 3. Peraturan keluar membenarkan semua secara lalai. Pada peringkat awal, adalah disyorkan untuk mengekalkan lalai, dan secara beransur -ansur mengetatkannya pada masa akan datang untuk mengelakkan mempengaruhi kemas kini sistem dan akses perkhidmatan; 4. Soalan -soalan yang sering ditanya untuk memeriksa kumpulan keselamatan yang mengikat, konfigurasi peraturan, sekatan IP sumber, rangkaian ACL dan sistem dalaman, dan perhatikan bahawa beberapa platform perlu memulakan semula contoh selepas pengubahsuaian. Menguasai perkara -perkara utama ini dapat meningkatkan keselamatan awan dengan berkesan dan mengurangkan masalah sambungan.

Sebenarnya tidak sukar untuk mengkonfigurasi kumpulan keselamatan dan firewall untuk keadaan awan, tetapi ramai orang cenderung mengelirukan arahan peraturan atau mengabaikan tetapan utama pada mulanya. Tumpuannya adalah untuk memahami logik kawalan trafik masuk dan keluar, dan prinsip meminimumkan pelabuhan terbuka.

Konsep asas kumpulan keselamatan

Kumpulan keselamatan boleh dianggap sebagai firewall maya yang mengawal trafik rangkaian masuk dan keluar dari contoh awan anda. Setiap kumpulan keselamatan adalah satu set peraturan yang menentukan lalu lintas yang dibenarkan masuk atau keluar. Sebagai contoh, jika anda menjalankan pelayan web, anda perlu membenarkan trafik masuk pada port 80 (HTTP) dan 443 (HTTPS) secara lalai, manakala SSH (port 22) hanya boleh membenarkan akses IP anda sendiri.

Kesalahpahaman yang biasa adalah untuk menetapkan semua peraturan masuk untuk "membenarkan semua", yang akan membawa risiko keselamatan yang besar. Pendekatan yang betul adalah untuk membuka hanya port yang diperlukan dan mengehadkan julat IP sumber sebanyak mungkin.

Cara menetapkan peraturan masuk

Apabila menetapkan peraturan masuk, idea teras adalah: Siapa yang boleh mengakses perkhidmatan apa dari mana?

• SSH biasanya hanya membenarkan akses IP awam anda sendiri, bukan 0.0.0.0/0 (iaitu semua orang)
• HTTP/HTTPS biasanya dibuka kepada rangkaian awam, tetapi ia juga boleh disenaraikan mengikut keperluan perniagaan.
• Port pangkalan data (seperti 3306, 5432) tidak boleh dibuka kepada rangkaian luaran melainkan anda tahu dengan tepat apa yang anda lakukan.

Sebagai contoh, jika anda menyambung ke pangkalan data MySQL di awan dalam persekitaran pembangunan tempatan, apa yang harus anda lakukan ialah:

• Tetapkan peraturan masuk untuk port 3306 dalam kumpulan keselamatan, isi IP keluar tempatan anda dengan alamat sumber
• Jangan letakkan 0.0.0.0/0 secara langsung untuk mengelakkan serangan yang diimbas

Antaramuka penyedia perkhidmatan awan yang berbeza sedikit berbeza, tetapi struktur asas adalah sama: Protokol Pemilihan (TCP, UDP, dll), julat port, dan alamat sumber.

Bagaimana menangani peraturan keluar?

Ramai orang hanya memberi tumpuan kepada peraturan masuk dan mengabaikan peraturan keluar. Secara lalai, peraturan keluar untuk kebanyakan platform awan membolehkan semua lalu lintas, yang ok untuk kebanyakan aplikasi, tetapi anda boleh menyesuaikan jika anda ingin dikawal dengan lebih ketat.

Sebagai contoh, jika anda mahu contoh hanya mengakses nama domain tertentu atau IP, anda boleh menetapkan peraturan keluar untuk mengehadkan alamat sasaran. Contohnya:

• Hanya akses ke segmen IP pelayan API tertentu
• Blok akses ke DNS awam (melainkan jika anda mempunyai tujuan khas)

Walau bagaimanapun, sedar: jika hadnya terlalu mati, ia boleh menyebabkan kegagalan kemas kini sistem dan perkhidmatan ketergantungan tidak boleh diakses. Oleh itu, adalah disyorkan untuk mengekalkan elaun keluar lalai di peringkat awal dan secara beransur -ansur mengetatkannya kemudian.

Soalan yang sering ditanya dan petua penyelesaian masalah

Masalah kesilapan kumpulan keselamatan yang paling biasa ialah ia tidak dapat menyambung ke pelayan atau port aplikasi disekat. Anda boleh menyemak pesanan ini:

1. Adakah contoh itu terikat kepada kumpulan keselamatan yang betul?
2. Adakah peraturan masuk untuk kumpulan keselamatan mengandungi port yang anda mahu akses?
3. Adakah Sumber IP dengan betul mengehadkan skop?
4. Adakah vendor awan mempunyai ACL rangkaian tambahan atau lapisan firewall?
5. Adakah terdapat gangguan dalam firewall sistem (seperti iptables, firewalld) di dalam contoh?

Perincian kecil mudah diabaikan: beberapa peraturan kumpulan keselamatan platform awan tidak akan berkuatkuasa sebaik sahaja selepas pengubahsuaian, dan contohnya perlu dimulakan semula atau menunggu tempoh masa. Di samping itu, lebih baik ping sebelum menguji sambungan untuk mengesahkan kebolehcapaian rangkaian asas.

Pada dasarnya itu sahaja. Kumpulan keselamatan tidak begitu rumit, tetapi mereka adalah barisan pertahanan pertama untuk keselamatan di awan. Mengambil sedikit masa untuk menjelaskan peraturan dan logik boleh mengelakkan banyak masalah.

Atas ialah kandungan terperinci Cara Mengkonfigurasi Firewall Kumpulan Keselamatan Awan. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!