Controlando o tráfego com ACLs

Virtual Private Cloud

Com a introdução da rede “Secure by Default” para clusters de VPC, o site IBM não recomenda mais alterar as ACLs de rede padrão. O tráfego de rede deve ser gerenciado por meio dos grupos de segurança da VPC. Essas informações são fornecidas apenas a título de referência. Caso opte por utilizar as ACLs da VPC, talvez seja necessário personalizar as configurações fornecidas, e você será responsável por quaisquer problemas em seu ambiente causados por essas ACLs.

Para obter mais informações sobre o “Secure by Default”, consulte os recursos a seguir.

Se o seu cluster foi criado na versão 1.29 ou anterior, ele não foi configurado para usar o “Secure by Default”, a menos que você tenha ativado explicitamente essa função. Para ativar o modo “Seguro por padrão”, consulte a seção “Ativando o modo ‘Seguro por padrão’ para clusters existentes ”.

Visão geral das ACLs

Se você criar ACLs personalizadas, somente o tráfego de rede especificado nas regras da ACL será permitido de e para as sub-redes da sua VPC. Todo o restante do tráfego que não estiver especificado nas ACLs, como integrações de cluster com serviços de terceiros, é bloqueado ao entrar ou sair da sub-rede em questão.

Nível de aplicação
Sub-rede de Cloud Privada Virtual
Comportamento padrão
Ao criar uma VPC, uma ACL padrão é criada no formato allow-all-network-acl-<VPC_ID> para a VPC. A ACL inclui uma regra de entrada e uma regra de saída que permitem todo o tráfego para e de suas sub-redes. Qualquer sub-rede que você criar na VPC é conectada a essa ACL por padrão. As regras de ACL são aplicadas em uma ordem específica. Ao permitir o tráfego em uma direção criando uma regra de entrada ou de saída, deve-se também criar uma regra para respostas na direção oposta porque as respostas não são permitidas automaticamente.
Caso de uso
Se você desejar especificar qual tráfego é permitido para os nós do trabalhador em suas sub-redes VPC, será possível criar uma ACL customizada para cada sub-rede no VPC. Por exemplo, é possível criar o seguinte conjunto de regras ACL para bloquear a maioria do tráfego de rede de ingresso e de egresso de um cluster, enquanto permite a comunicação que é necessária para que o cluster funcione.
Tráfego necessário para clusters
Se você utilizar ACLs personalizadas, deverá permitir, no mínimo, o tráfego de saída de todas as sub-redes para os seguintes pontos de extremidade.
  • Todas as outras sub-redes na VPC
Limitações
Se forem criados vários clusters que usam as mesmas sub-redes em uma VPC, você não poderá usar ACLs para controlar o tráfego entre os clusters porque eles compartilham as mesmas sub-redes. Os grupos de segurança “Secure by Default” cuidam desse isolamento.