Anwendungslastausgleichsfunktion in Sicherheitsgruppen integrieren

IBM Cloud® Application Load Balancer for VPC (ALB) ermöglicht das Zuordnen (Anhängen) von Sicherheitsgruppen zur Verbesserung der Sicherheit Ihrer Anwendung.

Sicherheitsgruppen stellen eine bequeme Möglichkeit zum Schützen Ihrer ALB-Instanzen dar. Mit einer Sicherheitsgruppe, die an Ihre Lastausgleichsfunktion angehängt ist, haben Sie die volle Kontrolle über den ein- und den ausgehenden Datenverkehr an den Listenern der Lastausgleichsfunktion und ihren Back-End-Zielen. Mit dieser Funktion können Sie auch die Sicherheitsposition der Back-End-Ziele der Lastausgleichsfunktion auf bequeme Weise verschärfen. Anstatt die Lastausgleichsfunktionen anhand ihrer IP-Adressen oder CIDR-Bereiche zu bestimmen, können Back-End-Ziele in ihrer eigenen Sicherheitsgruppendefinition einfach die Sicherheitsgruppe der Lastausgleichsfunktion als Quelle verwenden. Dadurch wird sichergestellt, dass der Verkehr von allen Appliances der Lastausgleichsfunktion automatisch zugelassen wird, und zwar unabhängig von deren IP-Adressen.

Regeln für den Netzverkehr

Die folgenden Tabellen enthalten die bewährten Verfahren für den eingehenden und den ausgehenden Datenverkehr sowohl für öffentliche als auch für private Lastausgleichsfunktionen für Anwendungen (ALBs).

Öffentliche Lastausgleichsfunktion für Anwendungen

Regeln für eingehenden Datenverkehr

Konfigurationsinformationen für Eingangsregeln öffentlicher Load Balancer
Protokoll Quellentyp Quelle Wert
TCP IP-Adresse 0.0.0.0/0 Listener port

In einem typischen Anwendungsfall wird üblicherweise der eingehende Datenverkehr von allen Quellen zum Listener-Port auf einer öffentlichen Lastausgleichsfunktion zugelassen.

Konfigurationsinformationen für Eingangsregeln öffentlicher Load Balancer aus einem bestimmten CIDR-Bereich
Protokoll Quellentyp Quelle Wert
TCP IP-Adresse 209.173.53.167/20 Listener port

Wenn Ihre Anforderungen jedoch eine Einschränkung des eingehenden Datenverkehrs erfordern, können Sie einen Quellen-CIDR angeben, wie zum Beispiel 209.173.53.167/20. Dadurch können alle öffentlichen IP-Adressen innerhalb des IP-Bereichs die öffentliche Lastausgleichsfunktion erreichen.

Regeln für ausgehenden Datenverkehr

Konfigurationsinformationen für ausgehende Regeln öffentlicher Load Balancer
Protokoll Zieltyp Ziel Wert
TCP Sicherheitsgruppe Back-end target Back-end target port
TCP Sicherheitsgruppe Back-end target Health check port

Stellen Sie sicher, dass Ihre Back-End-Ziele in einer Sicherheitsgruppe enthalten sind und in den Regeln für ausgehenden Datenverkehr als Ziel konfiguriert sind. Die Verwendung einer verschachtelten Sicherheitsgruppe ermöglicht, dass Ihre Lastausgleichsfunktion für Anwendungen (ALB) nur ausgehenden Datenverkehr zu den Back-End-Ziel-Ports und dem Port für Statusprüfungen zulässt.

Sie können die Regel für ausgehenden Datenverkehr so konfigurieren, dass sie weniger restriktiv ist als gezeigt (und dann z. B. den gesamten Datenverkehr zu jedem Ziel zulässt). Aus Sicherheitsgründen wird dies jedoch nicht empfohlen.

Private Lastausgleichsfunktion für Anwendungen

Regeln für eingehenden Datenverkehr

Konfigurationsinformationen für Eingangsregeln für private Load Balancer
Protokoll Quellentyp Quelle Wert
TCP IP-Adresse Subnet CIDR or VPC security group Listener port

Es entspricht dem Standard, die Regeln für eingehenden Datenverkehr für eine private Lastausgleichsfunktion auf Ihre eigene Arbeitslast zu beschränken. Stellen Sie sicher, dass Sie die Quelle aus einem bestimmten Teilnetz-CIDR angeben oder aber eine Sicherheitsgruppe, zu der die Quelleneinheiten gehören. Die Verwendung eines bestimmten CIDRs oder einer verschachtelten Sicherheitsgruppe wird bevorzugt; die Angabe einzelner IP-Adressen funktioniert jedoch auch.

Eine verschachtelte Sicherheitsgruppe stellt nur dann eine Option dar, wenn sich Clients in derselben VPC befinden. Wenn sich die Clients in einer anderen VPC oder vor Ort befinden und über Transit Gateway oder Direct Link mit der VPC der Lastausgleichsfunktion verbunden sind, müssen Sie die Clients anhand von IP-Adressen oder CIDRs angeben.

Regeln für ausgehenden Datenverkehr

Konfigurationsinformationen zu ausgehenden Regeln für private Load Balancer
Protokoll Zieltyp Ziel Wert
TCP Sicherheitsgruppe Back-end target security group Back-end target port
TCP Sicherheitsgruppe Back-end target security group Health check port (sofern abweichend vom Back-End-Zielport)

Stellen Sie sicher, dass Ihre Back-End-Ziele in einer Sicherheitsgruppe enthalten sind und in den Regeln für ausgehenden Datenverkehr als Ziel konfiguriert sind. Durch die Verwendung einer verschachtelten Sicherheitsgruppe ist es möglich, dass Ihre Lastausgleichsfunktion für Anwendungen (ALB) nur ausgehenden Datenverkehr zu den Back-End-Ziel-Ports und dem Port für Statusprüfungen zulässt.

Darüber hinaus müssen Ihre Back-End-Ziele über Konnektivität zum DNS-Auflöser verfügen, damit der Name der Lastausgleichsfunktion aufgelöst werden kann. Dies liegt daran, dass auf Lastausgleichsfunktionen über ihren DNS-Namen zugegriffen wird.

Sicherheitsgruppe bei der Bereitstellung der Lastausgleichsfunktion anhängen (zuordnen)

Bei der Erstellung einer Lastausgleichsfunktion für Anwendungen (ALB) können Sie bis zu fünf Sicherheitsgruppen anhängen. Wenn Sie bei der Erstellung der Lastausgleichsfunktion keine Sicherheitsgruppe angeben, wird die Standardsicherheitsgruppe für Ihre VPC verwendet.

Wenn Sie nicht zumindest eine Sicherheitsgruppe auswählen, wird empfohlen, die Regeln für die Standardsicherheitsgruppe entsprechend zu aktualisieren, um eventuelle Unterbrechungen des Datenverkehrs der Lastausgleichsfunktion bei neu erstellten Lastausgleichsfunktionen für Anwendungen zu minimieren.

Voraussetzung: Sicherheitsgruppen und Regeln konfigurieren

Stellen Sie sicher, dass die Sicherheitsgruppen, die Sie an Ihre ALB anhängen möchten, tatsächlich vorhanden sind. Stellen Sie ebenfalls sicher, dass ihre Regeln für den Datenverkehr der Lastausgleichsfunktion konfiguriert sind. Wenn Sie eine Sicherheitsgruppe erstellen müssen, gehen Sie wie in den folgenden Schritten beschrieben vor. Alternativ können Sie auch den Anweisungen in der Dokumentation zur API von IBM Cloud VPC folgen, um eine Sicherheitsgruppe zu erstellen.

Gehen Sie zum Erstellen einer Sicherheitsgruppe über die Benutzerschnittstelle (UI) wie folgt vor:

  1. Öffnen Sie in Ihrem Browser die „ IBM Cloud “-Konsole und melden Sie sich bei Ihrem Konto an.

  2. Wählen Sie das Navigationsmenü „ Menüsymbol“ und klicken Sie dann auf das Symbol „Infrastruktur -VPC“ > „Netzwerk“ > „Sicherheitsgruppen“.

  3. Klicken Sie auf Erstellen.

  4. Geben Sie einen eindeutigen Namen für Ihre Sicherheitsgruppe an.

  5. Wählen Sie die VPC für Ihre Sicherheitsgruppe aus. Die Sicherheitsgruppe muss in derselben VPC wie die Lastausgleichsfunktion erstellt werden.

  6. Klicken Sie auf Hinzufügen, um die Regeln für eingehende und ausgehende Daten zu konfigurieren, die definieren, welche Art von Datenverkehr zu und von der Sicherheitsgruppe zulässig ist. Geben Sie für jede Regel die folgenden Informationen an:

    • Geben Sie einen CIDR-Block oder eine IP-Adresse für den zulässigen Datenverkehr an. Alternativ hierzu können Sie eine Sicherheitsgruppe in derselben VPC-Instanz angeben, um den Datenverkehr zu oder von allen Quellen zuzulassen, die der ausgewählten Sicherheitsgruppe zugeordnet sind.
    • Wählen Sie die Protokolle und Ports aus, für die die Regel gilt. Informationen zu den bewährten Verfahren zu Netzregeln enthält der Abschnitt Regeln für den Netzverkehr.

    Tipps:

    • Alle Regeln werden ausgewertet, unabhängig von der Reihenfolge, in der sie hinzugefügt werden.
    • Regeln sind statusabhängig, was bedeutet, dass der Verkehr, der als Antwort auf zulässigen Datenverkehr zurückgegeben wird, automatisch zulässig ist. Wenn Sie zum Beispiel eine Regel erstellen, die eingehenden TCP-Datenverkehr an Port 80 zulässt, ermöglicht die Regel auch den ausgehenden TCP-Datenverkehr an den Ursprungshost, ohne dass eine weitere Regel hierfür erforderlich ist.

  7. Optional: Bearbeiten Sie die Schnittstellen, wenn Sie beabsichtigen, diese Sicherheitsgruppe auf Ihre übrigen Instanzen anzuwenden. Die Zuordnung von Sicherheitsgruppen durch Anhängen erfolgt im Abschnitt für die Lastausgleichsfunktion.

  8. Klicken Sie auf Sicherheitsgruppe erstellen, wenn Sie die Erstellung von Regeln abgeschlossen haben.

Beispiel einer Sicherheitsgruppe

Konfigurieren Sie zum Beispiel die folgenden Regeln für eingehenden Datenverkehr, die den gesamten Datenverkehr an Port 80 für einen HTTP-Listener (TCP-Port 80) zulassen.

Beispiel für Konfigurationsinformationen für eingehende Regeln
Protokoll Quellentyp Quelle Wert
TCP Any 0.0.0.0/0 Port 80

Konfigurieren Sie dann Regeln für den ausgehenden Datenverkehr, die TCP-Datenverkehr zu Ihrem Back-End-Ziel zulassen:

Beispiel für Konfigurationsinformationen für ausgehende Regeln
Protokoll Zieltyp Ziel Wert
TCP Any 10.11.12.13/32 (IP-Adresse des Back-End-Ziels) 80 (Port des Back-End-Ziels)
TCP Any 10.11.12.14/32 (IP-Adresse des Back-End-Ziels) 80 (Port des Back-End-Ziels für Statusprüfungen)

Prozedur: Sicherheitsgruppen bei der ALB-Erstellung anhängen

Führen Sie die folgenden Schritte aus, um Sicherheitsgruppen bei der Erstellung Ihrer Lastausgleichsfunktion für Anwendungen (ALB) anzuhängen:

  1. Öffnen Sie in Ihrem Browser die „ IBM Cloud “-Konsole und melden Sie sich bei Ihrem Konto an.
  2. Wählen Sie das Navigationsmenü „ Menüsymbol“ und klicken Sie dann auf das Symbol „Infrastruktur -VPC“ > „Netzwerk“ > „Lastenausgleich“.
  3. Klicken Sie auf Erstellen.
  4. Konfigurieren Sie den Namen, die VPC, den Typ, das Teilnetz, die Listener und die Pools nach Bedarf.
  5. Wählen Sie in der Tabelle der Sicherheitsgruppen anhand der entsprechenden Kontrollkästchen die Sicherheitsgruppen aus, die Sie anhängen möchten.
  6. Klicken Sie auf Erstellen, um die Lastausgleichsfunktion bereitzustellen.

Stellen Sie sicher, dass die Regeln Ihrer Sicherheitsgruppen den Datenverkehr der Lastausgleichsfunktion zulassen. Stellen Sie ebenfalls sicher, dass die Ports für Listener, Pool und Statusprüfungen in Ihrer Sicherheitsgruppe als zulässig definiert sind.

Sicherheitsgruppen an- und abhängen

Führen Sie die folgenden Schritte aus, um eine Sicherheitsgruppe an eine vorhandene Lastausgleichsfunktion anzuhängen:

Lastausgleichsfunktionen, die vor dem 25. Februar 2021 erstellt wurden, besitzen keine angehängte (zugeordnete) Sicherheitsgruppe und lassen daher den gesamten ein- und ausgehenden Datenverkehr zu. Wenn Sie eine Sicherheitsgruppe an eine Lastausgleichsfunktion anhängen, die über keine Sicherheitsgruppe verfügt, ist es nicht möglich, diesen Vorgang rückgängig zu machen, sodass die Lastausgleichsfunktion keine Sicherheitsgruppe mehr besitzt. Es ist möglich, das vorherige Verhalten, bei dem der ganze eingehende und ausgehende Datenverkehr zugelassen wurde, wiederherzustellen, indem Sie eine Sicherheitsgruppe mit Regeln zum Zulassen des gesamten ein- und ausgehenden Datenverkehrs anhängen. Eine solche Regel ist jedoch grundsätzlich weniger sicher als eine restriktivere Sicherheitsgruppe und wird daher nicht empfohlen.

  1. Öffnen Sie in Ihrem Browser die „ IBM Cloud “-Konsole und melden Sie sich bei Ihrem Konto an.
  2. Wählen Sie das Navigationsmenü „ Menüsymbol“ und klicken Sie dann auf das Symbol „Infrastruktur -VPC“ > „Netzwerk“ > „Lastenausgleich“.
  3. Wählen Sie in der Liste der Lastausgleichsfunktionen die entsprechende Lastausgleichsfunktion aus, um die zugehörige Detailseite anzuzeigen.
  4. Klicken Sie auf die Registerkarte Angehängte Sicherheitsgruppen, damit die angehängten Sicherheitsgruppen angezeigt werden.
  5. Klicken Sie zum Anhängen einer oder mehrerer Sicherheitsgruppen auf Zuordnen. Sie können bis zu maximal fünf Sicherheitsgruppen zum Anhängen an eine ALB auswählen.
  6. Wählen Sie die Sicherheitsgruppe aus, die angehängt werden soll.
  7. Klicken Sie auf Zuordnen.

Führen Sie die folgenden Schritte aus, um eine Sicherheitsgruppe von einer Lastausgleichsfunktion abzuhängen:

  1. Öffnen Sie in Ihrem Browser die „ IBM Cloud “-Konsole und melden Sie sich bei Ihrem Konto an.
  2. Wählen Sie das Navigationsmenü „ Menüsymbol“ und klicken Sie dann auf das Symbol „Infrastruktur -VPC“ > „Netzwerk“ > „Lastenausgleich“.
  3. Wählen Sie in der Liste der Lastausgleichsfunktionen die entsprechende Lastausgleichsfunktion aus, um die zugehörige Detailseite anzuzeigen.
  4. Klicken Sie auf die Registerkarte Angehängte Sicherheitsgruppen, damit die angehängten Sicherheitsgruppen angezeigt werden.
  5. Um eine Sicherheitsgruppe abzuhängen, klicken Sie auf das Aktionsmenü der Sicherheitsgruppe Aktionssymbol.
  6. Klicken Sie auf Zuordnung aufheben.