实施网络安全组，确保三层网络架构工作负载的安全 Power Virtual Server

网络的高层结构

下图提供了 Power Virtual Server 环境中示例网络的高级架构视图，并说明了各种子网和组件的连接方式。 图中包括不同的虚拟机（VM），如网络服务器、数据库服务器和应用服务器。 网络还包括子网范围、跳转主机、中转网关和专用端点（DNS 和 Secrets Manager ）等组件。

下表解释了高层网络架构图中描述的网络组件：

网络地址组和 CIDR 成员

下表列出了本主题中用作示例的网络地址组 (NAG) 和相关的无类别域间路由 (CIDR) 成员。 NAG 使用逻辑组而不是单个 IP，从而简化了 NSG 规则的实施。 有关 NAG 的更多信息，请参阅 网络地址组。

网络地址组和网络安全组布局

下图说明了 NAG 和 NSG 的布局以及流量在网络中的流动方式。

下表列出了 NAG 和 NSG 布局图中使用的 NAG 和 NSG，并解释了布局图中每个组件的用途：

跨网络组件的流量

下表概述了使用不同协议的各网络组件之间的预期流量及其用途，如 NAG 和 NSG 布局图所示。

有关在 Power Virtual Server 工作区中实施 NSG 时如何处理网络流量和安全规则并确定其优先级的更多信息，请参阅 NSG 中的网络流量规则和优先级。

为网络服务器定义 NSG 规则

本节概述了可在 NSG 中定义的规则，以控制允许或拒绝哪些流量进入 Web 服务器。 请考虑下列要求：

• 拒绝其他网络服务器之间的 SSH 流量。
• 允许从 ALB HTTP。
• 允许从跳转主机访问 SSH。
• 允许来自网络服务器的所有流量。
• 允许从 IBM 解析器返回 DNS 数据包。
• 允许从 Secrets Manager 返回 HTTPS 数据包。
• 允许从应用服务器返回 HTTP 数据包。
• 定义一条隐式拒绝规则，限制所有其他未指定的流量。

根据这些要求，您可以创建 NSG 并通过以下配置定义安全规则。 下表中的每一行代表一条单独的安全规则。

为应用服务器定义 NSG 规则

本节概述了可在 NSG 中定义的规则，以控制允许或拒绝应用服务器访问的流量。 请考虑下列要求：

• 允许来自网络服务器的 HTTP 流量。
• 允许从跳转主机使用 SSH。
• 允许来自其他应用服务器的所有流量。
• 允许从 IBM 解析器返回 DNS 数据包。
• 允许从 Secrets Manager 返回 HTTPS 数据包。
• 允许从数据库服务器返回数据包。
• 定义一条隐式拒绝规则，限制所有其他未指定的流量。

根据这些要求，您可以创建 NSG 并通过以下配置定义安全规则。 下表中的每一行代表一条单独的安全规则。

为数据库服务器定义 NSG 规则

本节概述了可在 NSG 中定义的规则，以控制允许或拒绝进入数据库服务器的流量。 请考虑下列要求：

• 允许来自应用服务器的 MySQL 流量。
• 允许来自跳转主机的 SSH 流量。
• 允许来自其他数据库服务器的所有流量。
• 允许从 IBM 解析器返回 DNS 数据包。
• 允许从 Secrets Manager 返回 HTTPS 数据包。
• 允许从复制服务器返回数据库数据包。
• 定义一条隐式拒绝规则，限制所有其他未指定的流量。

根据这些要求，您可以创建 NSG 并通过以下配置定义安全规则。 下表中的每一行代表一条单独的安全规则。

有关设置、配置和管理 NSG 的更多信息，请参阅 在工作区中设置网络安全组。