Netzlastausgleichsfunktion mit Sicherheitsgruppen integrieren

Mit dem „ IBM Cloud® “ ( Network Load Balancer for VPC, NLB) können Sie Sicherheitsgruppen zuweisen, um die Sicherheit Ihrer Anwendung zu erhöhen.

Die folgenden Informationen gelten nicht für Private Path-Netzwerk-Load Balancer.

Sicherheitsgruppen sind eine praktische Möglichkeit, Ihre NLB-Instanzen zu schützen. Wenn Ihrem Load Balancer eine Sicherheitsgruppe zugewiesen ist, haben Sie die volle Kontrolle über den eingehenden und ausgehenden Datenverkehr zu und von den Listenern des Load Balancers sowie dessen Zielen. Anstatt die Load Balancer anhand ihrer IP-Adressen oder ihres CIDR-Bereichs zu identifizieren, können Ziele einfach die Sicherheitsgruppe des Load Balancers als Quelle in ihrer eigenen Sicherheitsgruppendefinition verwenden. Dadurch wird sichergestellt, dass der Datenverkehr von allen Load-Balancer-Geräten automatisch zugelassen wird, unabhängig von deren IP-Adressen.

Wenn einer Netzlastausgleichsfunktion keine Sicherheitsgruppen zugeordnet sind, lassen die Sicherheitsgruppenregeln den gesamten Datenverkehr zu und die Filterung erfolgt auf VSI-Ebene (gemäß den iptables-Regeln).

Regeln für den Netzverkehr

Die folgenden Tabellen enthalten bewährte Vorgehensweisen für den eingehenden und ausgehenden Datenverkehr sowohl für Lastverteiler in öffentlichen als auch in privaten Netzwerken.

Öffentliche Netzlastausgleichsfunktion

Regeln für eingehenden Datenverkehr

Es ist üblich, eingehenden Datenverkehr aus allen Quellen zum Listener-Port eines öffentlichen Load Balancers zuzulassen. Zum Beispiel:

Konfigurationsinformationen für Eingangsregeln öffentlicher Load Balancer
Protokoll Quellentyp Quelle Wert
TCP IP-Adresse 0.0.0.0/0 Listener port

Sollten Sie jedoch den eingehenden Datenverkehr einschränken müssen, können Sie einen Quell-CIDR angeben, beispielsweise 209.173.53.167/20. Dadurch können alle öffentlichen IP-Adressen innerhalb dieses IP-Bereichs auf den öffentlichen Load Balancer zugreifen. Zum Beispiel:

Konfigurationsinformationen für Eingangsregeln öffentlicher Load Balancer aus einem bestimmten CIDR-Bereich
Protokoll Quellentyp Quelle Wert
TCP IP-Adresse 209.173.53.167/20 Listener port

Regeln für ausgehenden Datenverkehr

Stellen Sie sicher, dass Ihre Ziele einer Sicherheitsgruppe angehören und in den ausgehenden Regeln als Ziel konfiguriert sind. Weitere Informationen finden Sie unter Informationen zu Sicherheitsgruppen.

Konfigurationsinformationen für ausgehende Regeln von Lastverteilern
Protokoll Zieltyp Ziel Wert
TCP Sicherheitsgruppe target target port
TCP Sicherheitsgruppe target Health check port

Sie können die ausgehenden Regeln großzügiger konfigurieren als hier gezeigt (Sie können beispielsweise den gesamten Datenverkehr zu jedem beliebigen Ziel zulassen). Dies wird jedoch aus Sicherheitsgründen nicht empfohlen.

Private Netzlastausgleichsfunktion

Regeln für eingehenden Datenverkehr

Konfigurationsinformationen für Eingangsregeln für private Load Balancer
Protokoll Quellentyp Quelle Wert
TCP IP-Adresse Subnet CIDR or VPC security group Listener port

Es ist gängige Praxis, die Eingangsregeln für einen privaten Load Balancer auf die eigene Workload zu beschränken. Stellen Sie sicher, dass Sie die Quelle aus einem bestimmten Teilnetz-CIDR angeben oder aber eine Sicherheitsgruppe, zu der die Quelleneinheiten gehören. Die Verwendung eines bestimmten CIDR-Bereichs wird bevorzugt; es können jedoch auch einzelne IP-Adressen verwendet werden. Weitere Informationen finden Sie unter Informationen zu Sicherheitsgruppen.

Regeln für ausgehenden Datenverkehr

Konfigurationsinformationen zu ausgehenden Regeln für private Load Balancer
Protokoll Zieltyp Ziel Wert
TCP Sicherheitsgruppe Target security group Target port
TCP Sicherheitsgruppe Target security group Health check port(falls abweichend vom Zielport)

Stellen Sie sicher, dass Ihre Ziele einer Sicherheitsgruppe angehören und in Ihren ausgehenden Regeln als Ziel konfiguriert sind. Weitere Informationen finden Sie unter Informationen zu Sicherheitsgruppen.

Außerdem müssen Ihre Ziele über eine Verbindung zum DNS-Resolver verfügen, um den Namen Ihres Load Balancers auflösen zu können. Dies liegt daran, dass auf Lastausgleichsfunktionen über ihren DNS-Namen zugegriffen wird.

Sicherheitsgruppe bei der Bereitstellung der Lastausgleichsfunktion anhängen (zuordnen)

Beim Erstellen eines Netzwerk-Load-Balancers können Sie bis zu fünf Sicherheitsgruppen zuweisen. Wenn Sie bei der Erstellung der Lastausgleichsfunktion keine Sicherheitsgruppe angeben, wird die Standardsicherheitsgruppe für Ihre VPC verwendet.

Wenn Sie nicht mindestens eine Sicherheitsgruppe auswählen, müssen Sie Ihre Standardsicherheitsgruppenregeln aktualisieren, um die Unterbrechung des Datenverkehrs bei neu erstellten Netzlastausgleichsfunktionen zu minimieren.

Voraussetzung: Sicherheitsgruppen und Regeln konfigurieren

Stellen Sie sicher, dass Sie die Sicherheitsgruppen erstellt haben, die Sie Ihrer NLB zuordnen möchten. Stellen Sie ebenfalls sicher, dass ihre Regeln für den Datenverkehr der Lastausgleichsfunktion konfiguriert sind. Wenn Sie eine Sicherheitsgruppe erstellen müssen, gehen Sie wie folgt vor.

Alternativ können Sie die „ IBM Cloud VPC “-API verwenden, um eine Sicherheitsgruppe zu erstellen.

Gehen Sie zum Erstellen einer Sicherheitsgruppe über die Benutzerschnittstelle (UI) wie folgt vor:

  1. Öffnen Sie in Ihrem Browser die „ IBM Cloud “-Konsole und melden Sie sich bei Ihrem Konto an.

  2. Wählen Sie das Navigationsmenü „ Menüsymbol“ und klicken Sie dann auf das Symbol „Infrastruktur -VPC“ > „Netzwerk“ > „Sicherheitsgruppen“.

  3. Klicken Sie auf Erstellen.

  4. Geben Sie einen eindeutigen Namen für Ihre Sicherheitsgruppe an.

  5. Wählen Sie die VPC für Ihre Sicherheitsgruppe aus. Die Sicherheitsgruppe muss in derselben VPC wie die Lastausgleichsfunktion erstellt werden.

  6. Klicken Sie auf Hinzufügen, um die Regeln für eingehende und ausgehende Daten zu konfigurieren, die definieren, welche Art von Datenverkehr zu und von der Sicherheitsgruppe zulässig ist. Geben Sie für jede Regel die folgenden Informationen an:

    • Geben Sie einen CIDR-Block oder eine IP-Adresse für den zulässigen Datenverkehr an. Alternativ hierzu können Sie eine Sicherheitsgruppe in derselben VPC-Instanz angeben, um den Datenverkehr zu oder von allen Quellen zuzulassen, die der ausgewählten Sicherheitsgruppe zugeordnet sind.
    • Wählen Sie die Protokolle und Ports aus, für die die Regel gilt. Informationen zu den bewährten Verfahren zu Netzregeln enthält der Abschnitt Regeln für den Netzverkehr.

    Tipps:

    • Alle Regeln werden ausgewertet, unabhängig von der Reihenfolge, in der sie hinzugefügt wurden.
    • Regeln sind statusabhängig, was bedeutet, dass der Verkehr, der als Antwort auf zulässigen Datenverkehr zurückgegeben wird, automatisch zulässig ist. Wenn Sie zum Beispiel eine Regel erstellen, die eingehenden TCP-Datenverkehr an Port 80 zulässt, ermöglicht die Regel auch den ausgehenden TCP-Datenverkehr an den Ursprungshost, ohne dass eine weitere Regel hierfür erforderlich ist.

  7. Optional: Bearbeiten Sie die Schnittstellen, wenn Sie beabsichtigen, diese Sicherheitsgruppe auf Ihre übrigen Instanzen anzuwenden. Die Zuordnung von Sicherheitsgruppen durch Anhängen erfolgt im Abschnitt für die Lastausgleichsfunktion.

  8. Klicken Sie auf Sicherheitsgruppe erstellen, wenn Sie die Erstellung von Regeln abgeschlossen haben.

Beispiel einer Sicherheitsgruppe

Konfigurieren Sie beispielsweise die folgenden Eingangsregeln, die den gesamten Datenverkehr auf Port 80 für einen TCP-Listener zulassen ( TCP, Port 80).

Beispiel für Konfigurationsinformationen für eingehende Regeln
Protokoll Quellentyp Quelle Wert
TCP Any 0.0.0.0/0 Port 80

Konfigurieren Sie anschließend die ausgehenden Regeln, die den Datenverkehr von TCP zu Ihrem Ziel zulassen:

Beispiel für Konfigurationsinformationen für ausgehende Regeln
Protokoll Zieltyp Ziel Wert
TCP Any 10.11.12.13/32 (Ziel-IP-Adresse) 80 (Zielport)
TCP Any 10.11.12.14/32 (Ziel-IP-Adresse) 80 (Ziel-Port für den Gesundheitscheck)

Vorgehensweise: Zuweisen von Sicherheitsgruppen bei der Erstellung einer NLB

Gehen Sie wie folgt vor, um Sicherheitsgruppen beim Erstellen der Netzlastausgleichsfunktion zuzuordnen:

  1. Öffnen Sie in Ihrem Browser die „ IBM Cloud “-Konsole und melden Sie sich bei Ihrem Konto an.
  2. Wählen Sie das Navigationsmenü „ Menüsymbol“ und klicken Sie dann auf das Symbol „Infrastruktur -VPC“ > „Netzwerk“ > „Lastenausgleich“.
  3. Klicken Sie auf Erstellen.
  4. Konfigurieren Sie den Namen, die VPC, den Typ, das Teilnetz, die Listener und die Pools nach Bedarf.
  5. Aktivieren Sie in der Tabelle „Sicherheitsgruppen“ die Kontrollkästchen der Sicherheitsgruppen, die Sie hinzufügen möchten.
  6. Klicken Sie auf Erstellen, um die Lastausgleichsfunktion bereitzustellen.

Stellen Sie sicher, dass die Regeln Ihrer Sicherheitsgruppen den Datenverkehr der Lastausgleichsfunktion zulassen. Stellen Sie ebenfalls sicher, dass die Ports für Listener, Pool und Statusprüfungen in Ihrer Sicherheitsgruppe als zulässig definiert sind.

Sicherheitsgruppen an- und abhängen

Führen Sie die folgenden Schritte aus, um eine Sicherheitsgruppe an eine vorhandene Lastausgleichsfunktion anzuhängen:

Load Balancer, die vor der Version „ 07 August 2023 “ erstellt wurden, sind keiner Sicherheitsgruppe zugeordnet und lassen den gesamten ein- und ausgehenden Datenverkehr zu. Wenn Sie eine Sicherheitsgruppe einer Lastausgleichsfunktion zuordnen, die über keine verfügt, können Sie sie nie entfernen. Es ist möglich, das vorherige Verhalten, bei dem der ganze eingehende und ausgehende Datenverkehr zugelassen wurde, wiederherzustellen, indem Sie eine Sicherheitsgruppe mit Regeln zum Zulassen des gesamten ein- und ausgehenden Datenverkehrs anhängen. Diese Regel ist jedoch inhärent unsicher und wird nicht empfohlen.

  1. Öffnen Sie in Ihrem Browser die „ IBM Cloud “-Konsole und melden Sie sich bei Ihrem Konto an.
  2. Wählen Sie das Navigationsmenü „ Menüsymbol“ und klicken Sie dann auf das Symbol „Infrastruktur -VPC“ > „Netzwerk“ > „Lastenausgleich“.
  3. Wählen Sie in der Liste der Lastausgleichsfunktionen die entsprechende Lastausgleichsfunktion aus, um die zugehörige Detailseite anzuzeigen.
  4. Klicken Sie auf die Registerkarte Angehängte Sicherheitsgruppen, damit die angehängten Sicherheitsgruppen angezeigt werden.
  5. Klicken Sie zum Anhängen einer oder mehrerer Sicherheitsgruppen auf Zuordnen. Sie können maximal fünf Sicherheitsgruppen auswählen, die Sie Ihrem NLB zuordnen möchten.
  6. Wählen Sie die Sicherheitsgruppe aus, die angehängt werden soll.
  7. Klicken Sie auf Zuordnen.

Führen Sie die folgenden Schritte aus, um eine Sicherheitsgruppe von einer Lastausgleichsfunktion abzuhängen:

  1. Öffnen Sie in Ihrem Browser die „ IBM Cloud “-Konsole und melden Sie sich bei Ihrem Konto an.
  2. Wählen Sie das Navigationsmenü „ Menüsymbol“ und klicken Sie dann auf das Symbol „Infrastruktur -VPC“ > „Netzwerk“ > „Lastenausgleich“.
  3. Wählen Sie in der Liste der Lastausgleichsfunktionen die entsprechende Lastausgleichsfunktion aus, um die zugehörige Detailseite anzuzeigen.
  4. Klicken Sie auf die Registerkarte Angehängte Sicherheitsgruppen, damit die angehängten Sicherheitsgruppen angezeigt werden.
  5. Um eine Sicherheitsgruppe abzuhängen, klicken Sie auf das Aktionsmenü der Sicherheitsgruppe Aktionssymbol.
  6. Klicken Sie auf Zuordnung aufheben.