使用 ACL 控制資料流量

Virtual Private Cloud

隨著 VPC 叢集導入「預設安全」網路架構，IBM 不再建議變更預設的網路存取控制清單 (ACL)。 應使用 VPC 安全群組來管理網路流量。 本資訊僅供參考。 如果您選擇使用 VPC 存取控制清單 (ACL)，可能需要針對預設設定進行客製化，並且須對這些 ACL 在您的環境中造成的任何問題負責。

如需有關「預設為安全」的更多資訊，請參閱以下資源。

如果您的叢集是在 1.29 或更早版本下建立的，除非您明確啟用了「預設安全」功能，否則該叢集並未切換至使用「預設安全」模式。 若要將其切換為「預設安全模式」，請參閱《 為現有叢集啟用預設安全模式 》。

ACL 概觀

若您建立自訂存取控制清單 (ACL)，則僅允許 ACL 規則中指定的網路流量進出您的 VPC 子網。 所有未在存取控制清單（ACL）中明文規定的其他流量（例如與第三方服務的叢集整合），均會被阻擋，無法進入或離開指定的子網。

應用程式層次
虛擬私有雲子網路
預設行為
當您建立一個 VPC 時，系統會為該 VPC 建立一個格式為 allow-all-network-acl-<VPC_ID> 的預設存取控制清單 (ACL)。 ACL 包含入埠規則及出埠規則，可允許與您子網路之間的所有往來資料流量。 依預設，您在 VPC 中建立的任何子網路都會連接至這個 ACL。 ACL 規則會以特定順序套用。 當您透過建立入埠或出埠規則來容許單向資料流量時，也必須建立反向回應的規則，因為不會自動允許回應。
使用案例
如果您想要指定哪些資料流量允許送往 VPC 子網路上的工作者節點，可以為 VPC 中的每個子網路建立自訂 ACL。 例如，您可以建立下列 ACL 規則集，以封鎖叢集的大部分入埠及出埠網路資料流量，同時允許叢集運作所需的通訊。
群集所需的流量
若您使用自訂存取控制清單 (ACL)，則必須至少允許來自所有子網的出站流量傳輸至以下終端點。
  • VPC 中的所有其他子網
限制
若您在同一個 VPC 中建立多個使用相同子網的叢集，由於這些叢集共用相同的子網，因此無法使用 ACL 來控制叢集之間的流量。 「預設為安全」的安全群組負責處理此項隔離機制。