使用 ACL 控制流量

Virtual Private Cloud

随着 VPC 集群“默认安全”网络功能的推出，IBM 不再建议修改默认网络访问控制列表 (ACL)。 应使用 VPC 安全组来管理网络流量。 本信息仅供参考。 如果您选择使用 VPC 访问控制列表 (ACL)，可能需要对默认设置进行自定义，并且需对这些 ACL 在您的环境中引发的任何问题负责。

有关“默认安全”的更多信息，请参阅以下资源。

如果您的集群是在 1.29 或更早版本下创建的，那么除非您显式启用了“默认安全”功能，否则该集群尚未切换为使用“默认安全”模式。 若要将其切换为“默认安全”模式，请参阅《 为现有集群启用默认安全模式 》。

ACL 概述

如果您创建了自定义访问控制列表（ACL），则只有ACL规则中指定的网络流量才允许进出您的VPC子网。 ACL 中未明确指定的所有其他流量（例如与第三方服务的集群集成）将被阻止进入或离开指定的子网。

应用程序级别
虚拟私有云子网
缺省行为
创建 VPC 时，系统会为该 VPC 创建一个默认访问控制列表（ACL），其格式为 allow-all-network-acl-<VPC_ID>。 ACL 包含允许进出子网的所有流量的入站规则和出站规则。 缺省情况下，在 VPC 中创建的任何子网都会连接到此 ACL。 ACL 规则按特定顺序应用。 通过创建入站或出站规则在一个方向上允许流量时，还必须为相反方向的响应创建规则，因为不会自动允许响应。
用例
如果要指定允许流至 VPC 子网上工作程序节点的流量，那么可以为 VPC 中的每个子网创建定制 ACL。 例如，可以创建以下这组 ACL 规则来阻止集群的大多数入站和出站网络流量，同时允许集群正常运行所需的通信。
集群所需的流量
如果您使用自定义访问控制列表 (ACL)，则必须至少允许所有子网向以下端点发送出站流量。
  • VPC 中的所有其他子网
限制
如果您在一个 VPC 中创建了多个使用相同子网的集群，则无法使用访问控制列表 (ACL) 来控制集群之间的流量，因为它们共享相同的子网。 “默认安全”安全组负责处理这种隔离。