Informationen zu Sicherheitsgruppen

IBM Cloud® Mit Sicherheitsgruppen für VPC können Sie auf einfache Weise Regeln anwenden, die eine Filterung für eine virtuelle Serverinstanz auf der Grundlage ihrer IP-Adresse festlegen. Zu den Zielen von Sicherheitsgruppen gehören Netzwerkschnittstellen virtueller Serverinstanzen, Endpunkt-Gateways und Lastverteiler. Bei der Erstellung einer Sicherheitsgruppe konfigurieren Sie sie zur Erstellung der gewünschten Netzverkehrsmuster.

Standardmäßig wird eine Sicherheitsgruppe mit Regeln konfiguriert, die den gesamten eingehenden Datenverkehr verweigern und den gesamten abgehenden Datenverkehr zulassen. Wenn einer Sicherheitsgruppe neue Regeln hinzugefügt werden, definieren die neuen Regeln den Bereich des zulässigen eingehenden oder ausgehenden Datenverkehrs neu.

Die Regeln sind zustandsbehaftet. Statusabhängige Regeln bedeuten, dass bei der Erstellung einer Regel, die Datenverkehr unidirektional zulässt, der umgekehrte Datenverkehr automatisch zugelassen wird. Wenn Sie beispielsweise eine Regel erstellen, die eingehenden TCP-Datenverkehr auf Port 80 zulässt, lässt die Sicherheitsgruppe auch den ausgehenden TCP-Datenverkehr auf Port 80 zurück zum Ursprungshost zu. Sie müssen keine weitere Regel erstellen.

Der Geltungsbereich einer Sicherheitsgruppe ist auf eine einzelne VPC-Instanz begrenzt. Dieser Geltungsbereich bedeutet, dass eine Sicherheitsgruppe jedem Sicherheitsgruppen-Ziel innerhalb derselben VPC zugeordnet werden kann. Sie können eine Sicherheitsgruppenregel definieren, um den Datenverkehr zwischen allen Mitgliedern einer Sicherheitsgruppe zuzulassen.

Wenn Sie eine VPC erstellen, wird diese einer Standard-Sicherheitsgruppe zugewiesen. Sie können die Standardsicherheitsgruppeneinstellungen und die Regeln einzelner Sicherheitsgruppen ändern.

Wenn Sie eine Ressource erstellen, die eine Sicherheitsgruppe verwendet und keine Sicherheitsgruppe angibt, wird die primäre Netzschnittstelle der Ressource der Standardsicherheitsgruppe der VPC dieser Ressource zugeordnet.

Die Aktualisierung der Regeln für die Sicherheitsgruppe default ist ein separater Prozess von der Aktualisierung der Standardsicherheitsgruppe. Wenn Sie die Regeln der Standardsicherheitsgruppe bearbeiten, gelten diese bearbeiteten Regeln für alle aktuellen und zukünftigen Server der Gruppe. Weitere Informationen finden Sie unter Standardsicherheitsgruppenregeln aktualisieren.

Sie können Sicherheitsgruppen nicht ineinander verschachteln, aber Sie können auf Remote-Sicherheitsgruppen verweisen. Durch Verweisen auf eine Remote-Sicherheitsgruppe in einer Regel wird diese Regel auf alle Referenz-Sicherheitsgruppenziele angewendet, die dieser Regel zugeordnet sind.

Eine Sicherheitsgruppe kann nicht auf eine andere Sicherheitsgruppe in einer anderen Zone in derselben Region verweisen.

Sicherheitsgruppenziele

Ein Ziel ist jede Ressource, die Sie einer Sicherheitsgruppe hinzufügen oder aus dieser entfernen. Zu den Zielen von Sicherheitsgruppen gehören Netzwerkschnittstellen virtueller Serverinstanzen, Endpunkt-Gateways und Lastverteiler.

Jede Ressource, die Datenverkehr senden und empfangen kann, kann über eine dafür konfigurierte Sicherheitsgruppe verfügen. Zu den Ressourcen können virtuelle Server-Schnittstellen, Bare-Metal-Server, Load Balancer, alle Endpunkt-Gateways entlang Ihres Datenpfads und vieles mehr gehören.

Sie können eine Sicherheitsgruppe einer beliebigen Ressource im Datenpfad zuordnen.

Überlegungen zu Quoten:

Jede vom Benutzer erstellte Sicherheitsgruppe unterstützt bis zu 1.000 Ziele. Die Standardsicherheitsgruppe, die automatisch auf alle Ziele in einer VPC angewendet wird, unterliegt nicht dieser Begrenzung auf 1.000 Ziele. Dieses Verhalten stellt sicher, dass die automatische Zuweisung zur Standardsicherheitsgruppe die Bereitstellung nicht einschränkt.

Sicherheitsgruppen versus Netz-ACLs

Sicherheitsgruppen sind an eine Ressource gebunden, während NACLs (Network Access Control Lists) an das Teilnetz gebunden sind.

NACLs gelten auf Subnetzebene, sodass alle Ressourcen im Subnetz, denen eine NACL zugeordnet ist, den Regeln der NACL unterliegen. Dies gilt jedoch nicht für Sicherheitsgruppen. Sicherheitsgruppen müssen der Ressource explizit zugewiesen werden. Außerdem kann eine Sicherheitsgruppe – anders als bei NACLs – auf mehrere Ressourcen über Subnetze hinweg und sogar über Zonen hinweg angewendet werden.

NACLs sind statusunabhängig.

Da NACLs nicht _statusabhängig_sind, müssen Sie zwei Regeln festlegen, wenn Sie den Datenverkehr auf beiden Wegen auf einem Ziel zulassen wollen.

Instanz- und zonenübergreifende Sicherheitsgruppen

Richtlinien für Sicherheitsgruppen

Die folgenden Richtlinien erläutern die Funktionsweise von Sicherheitsgruppen, die Anwendung von Regeln und bewährte Verfahren für deren Zuordnung zu Netzwerkschnittstellen.

Rules

Jede Sicherheitsgruppe definiert verschiedene Sätze von Netzwerkregeln, die den ein- und ausgehenden Datenverkehr für eine virtuelle Netzwerkschnittstelle regeln.
Sicherheitsgruppenregeln können nur zulässig sein. Standardmäßig wird Datenverkehr geblockt.
Änderungen an Sicherheitsgruppenregeln werden automatisch angewendet und können jederzeit geändert werden.
Die Reihenfolge der Regeln innerhalb einer Sicherheitsgruppe spielt keine Rolle. Vorrang hat jeweils die am wenigsten einschränkende Regel.
Regeln sind statusabhängig. Verbindungen, die vor einer Änderung der Sicherheitsgruppe hergestellt wurden, werden nicht geändert. Neue Verbindungen entsprechen den Regeln, die zu der Zeit vorhanden sind, zu der die Konnektivität etabliert wird.
Sicherheitsgruppen überschreiben nicht die Firewalls des Betriebssystems auf einer virtuellen Serverinstanz oder einem Bare-Metal-Server. Auch wenn unter dem Betriebssystem eine Firewall vorhanden ist, die einschränkender ist als die Vorgaben der Sicherheitsgruppe, werden die Betriebssystemregeln dennoch umgesetzt.
Wenn Ihre virtuelle Serverinstanz oder Ihr Bare-Metal-Server Zugriff auf interne Dienste benötigt, wie beispielsweise einen Update-Server, einen netzwerkgebundenen Speicher (NAS) oder erweiterte Überwachungsfunktionen, stellen Sie sicher, dass die Regeln der Sicherheitsgruppe den Datenverkehr für diese internen Dienste zulassen.

Ziele

Eine Sicherheitsgruppe kann mehreren Zielen zugeordnet werden.
Eine oder mehrere Sicherheitsgruppen können angehängt werden an:
- eine virtuelle Netzwerkschnittstelle
- eine Instanz-Netzwerkschnittstelle
- eine Netzwerkschnittstelle eines Bare-Metal-Servers
- ein Endpunkt-Gateway
- ein Load Balancer
- ein VPN-Server.
Alle Regeln aus den angehängten Sicherheitsgruppen gelten gemeinsam für das Ziel.
Wenn mehrere Sicherheitsgruppen angehängt sind, wird der Datenverkehr basierend auf der am wenigsten restriktiven Regel aller Gruppen zugelassen oder blockiert.

Sicherheitsgruppenregeln definieren

Jede Sicherheitsgruppe enthält eine Reihe von Regeln. Die Sicherheitsgruppe überprüft alle ihre Regeln, bevor sie Datenverkehr in die Instanz hinein- oder aus ihr herauslässt. Die Regeln für eingehenden Datenverkehrs sind unabhängig von den Regeln für ausgehenden Datenverkehr.

Wenn Sie eine neue Sicherheitsgruppe erstellen, wird zunächst der gesamte eingehende Datenverkehr eingeschränkt, während der ausgehende Datenverkehr zugelassen wird. Aus diesem Grund müssen Sie Regeln zu der Gruppe hinzufügen, um eingehenden Datenverkehr zuzulassen und Einschränkungen auf den ausgehenden Datenverkehr anzuwenden.

Da eine Ressource mehreren Sicherheitsgruppen zugeordnet werden kann, werden alle Regeln aus jeder zugeordneten Sicherheitsgruppe zu einem einzigen Regelsatz zusammengefasst. Dieser Satz von Regeln wird verwendet, um zu bestimmen, ob der Datenverkehr zu und von der Ressource abgelehnt oder zugelassen werden soll. Für jede Sicherheitsregel, die Sie zu der Sicherheitsgruppe hinzufügen, müssen Sie Werte für die folgenden Felder angeben:

Richtung - Die zu erzwingende Richtung für den Datenverkehr (eingehend oder ausgehend).
Protokoll – Gibt das Protokoll an, für das diese Regel gilt. Die Werte sind ICMP_TCP_UDP, oder ANY, oder einer der IPv4 protocols.
- Wenn der Wert „ ANY “ lautet, bedeutet dies, dass diese Regel für das Protokoll „ ANY “ gilt. Wenn dies zutrifft, ist es nicht zulässig, den Portbereich anzugeben (PortMin, PortMax).
- Wenn das Protokoll tcp oder udp angegeben ist, kann die Regel auch den Portbereich (PortMin, PortMax) enthalten. Stellen Sie entweder beide Anschlüsse ein oder keinen. Wenn kein Port festgelegt wird, ist Datenverkehr für alle Ports zulässig. Bei einem einzelnen Port müssen Sie für beide Ports denselben Wert angeben.
- Wenn das Protokoll auf icmp gesetzt ist, können Sie optional die Eigenschaft type angeben. Wenn diese Eigenschaft angegeben ist, wird nur der ICMP-Datenverkehr für den angegebenen ICMP-Typ zugelassen. Wenn Sie type angeben, können Sie außerdem optional die Codeeigenschaft angeben, um nur den Datenverkehr für den angegebenen ICMP-Code zuzulassen.
Fern - Beschreibt die Gruppe der Netzschnittstellen, für die diese Regel eingehenden Datenverkehr zulässt (oder in der Gegenrichtung ausgehenden Datenverkehr). Für diesen Wert können entweder eine IP-Adresse, einen CIDR-Block oder alle IDs einer einzelnen Sicherheitsgruppe (ID, CRN und Name) angeben. Wenn dieser Wert nicht angegeben ist, wird ein CIDR-Block von 0.0.0.0/0 verwendet, um den Datenverkehr von einer beliebigen Quelle zuzulassen (oder zu einer beliebigen Quelle bei Regeln für ausgehenden Datenverkehr) zuzulassen.

Sie können Sicherheitsgruppenregeln benennen. Das System stellt jedoch keine Verbindung zwischen dem Namen und der Konfiguration der Regel her. Wenn Sie beispielsweise eine Regel benennen inbound-https-from-my-subnet, überprüft das System nicht, ob die Regel so funktioniert, wie ihr Name vermuten lässt. Es liegt in Ihrer Verantwortung, die Namen und Konfigurationen Ihrer Sicherheitsgruppenregeln bei Bedarf auf Konsistenz zu überprüfen.

Weitere Informationen zum Einrichten von Sicherheitsgruppenregeln mithilfe der CLI finden Sie im Spickzettel mit der Befehlsliste. Weitere Informationen zum Einrichten von Sicherheitsgruppenregeln mithilfe der API finden Sie unter Einrichten der Sicherheitsgruppe für Ihre virtuelle Serverinstanz mithilfe der API.

Einschränkungen

Derzeit werden ESP-Protokollpakete nur auf Instanzen mit Gen2 Profilen unterstützt. Bei Instanzen mit anderen Profilen und auf allen Bare-Metal-Servern werden eingehende und ausgehende ESP-Pakete immer verworfen. Obwohl Sicherheitsgruppenregeln für ESP-Datenverkehr mit der VPC-API konfiguriert werden können, wirken sich solche Regeln nur auf Instanzen mit Gen2 Profilen aus. Das ESP-Protokoll wird in der IBM Cloud Konsole nicht als Auswahlmöglichkeit angezeigt, um Verwechslungen zwischen den Instanzprofilgenerationen zu vermeiden. Weitere Informationen finden Sie unter „ x86-64-Instanzprofile “.

Einführung

Entscheiden Sie zunächst, ob Sie eine neue Sicherheitsgruppe für Ihre Ressource erstellen möchten, und erstellen Sie Ihre Sicherheitsgruppe.

Anwendungsfälle für Sicherheitsgruppen

Das Erstellen einer Sicherheitsgruppe ist eine Standardmethode für einen Benutzer, um Regeln anzuwenden, die Netzverkehrsmuster zu und von ihren Ressourcen filtern. Ihre Fähigkeit, die folgenden Aktionen auszuführen, hängt von Ihrer Berechtigungsstufe in Ihrem Konto ab. Wenden Sie sich an Ihren Administrator, wenn Sie Fragen zu Ihren Kontoautorisierungen haben.

Anwendungsfall 1: Standardsicherheitsgruppe einer Ressource ändern

Jede VPC verfügt über eine Standardsicherheitsgruppe, bei der es sich um eine Sicherheitsgruppe handelt, die für einen Benutzer erstellt wird. Diese Standardsicherheitsgruppe hat auch eine Standardregel. Diese Standardregel ist dieselbe Standardregel, die Sicherheitsgruppen zugeordnet ist, die Sie erstellen, bevor Sie die Einstellung der Sicherheitsgruppe durch Hinzufügen oder Entfernen von Regeln anpassen.

Eine Standardsicherheitsgruppe unterscheidet sich von der Standardregel für neue Sicherheitsgruppen. Sie können sowohl die Regel für Ihre Standard-Sicherheitsgruppe als auch die Standardregel, die neuen Sicherheitsgruppen zugewiesen wird, anpassen.

Stellen Sie sich beispielsweise vor, Sie sind Mitglied einer Organisation und jemand mit Zugriff auf das Konto Ihrer Organisation ändert die Regel der Standard-Sicherheitsgruppe. Nach der Änderung unterscheidet sich die Regel von der Standardregel, die Sie beim Erstellen einer neuen Sicherheitsgruppe erhalten. Ihr Teammitglied ist ein sehr sicherheitsbewusster Kunde und ändert die Standardsicherheitsgruppeneinstellungen, um den gesamten eingehenden und ausgehenden Netzverkehr zu verweigern.

In diesem Beispiel wird eine Ressource beim Erstellen zunächst der Standard-Sicherheitsgruppe Ihrer VPC zugewiesen. Die Regel dieser Standard-Sicherheitsgruppe verweigert den gesamten eingehenden und ausgehenden Netzwerkverkehr aufgrund der Verweigerungsregeln, die Ihr sicherheitsbewusstes Teammitglied eingerichtet hat. Infolgedessen wird für den Datenverkehr zu und von Ihrer neuen Ressource dasselbe Ablehnungsverhalten angewendet.

Wenn Sie mit der Standardregel für Sicherheitsgruppen unzufrieden sind, besteht eine Lösung darin, eine andere Sicherheitsgruppe mit benutzerdefinierten Einstellungen zu erstellen und diese auf Ihre Ressource anzuwenden. Eine weitere Lösung ist die Änderung der Regel für die Standardsicherheitsgruppe. Das Erstellen einer weiteren Sicherheitsgruppe mit benutzerdefinierten Einstellungen ist die einfachste Lösung, da Sie Regeln erstellen können, die für die einzelne Ressource gelten, auf die Sie Einfluss nehmen möchten. Wenn Sie die Regel der Standard-Sicherheitsgruppe ändern, gelten diese Änderungen nicht nur für die Ressource, auf die Sie Einfluss nehmen möchten, sondern für alle anderen Ressourcen, die der Standard-Sicherheitsgruppe zugewiesen sind.

Alle neuen Regeln, die Sie für die Standard-Sicherheitsgruppe erstellen, werden auf alle aktuellen und zukünftigen Ressourcen angewendet, die der Standard-Sicherheitsgruppe zugewiesen sind.

Weitere Informationen zum Aktualisieren der Standardsicherheitsgruppe finden Sie unter Standardsicherheitsgruppenregeln aktualisieren.

Anwendungsfall 2: Anpassen von Sicherheitsgruppen und -regeln während der Bereitstellung

Das folgende Diagramm veranschaulicht die potenziellen Anpassungsoptionen beim Erstellen einer neuen Ressource. Wenn ein Benutzer eine Ressource erstellt und keine weiteren Maßnahmen ergreift, um eine Sicherheitsgruppe anzugeben, der diese zugeordnet werden soll, wird die neue Ressource der Standard-Sicherheitsgruppe der VPC zugewiesen. Diese Standard-Sicherheitsgruppe übernimmt die Standard-Sicherheitsgruppenregel oder folgt einer benutzerdefinierten Regel, die zuvor von Mitgliedern Ihres Kontos konfiguriert wurde.

Wenn der Benutzer beschließt, die neue Ressource einer neuen Sicherheitsgruppe zuzuweisen, wird die neue Sicherheitsgruppe automatisch der Standard-Sicherheitsgruppenregel zugewiesen. Anschließend kann der Benutzer entweder keine weiteren Maßnahmen ergreifen oder die Regeln anpassen, um eine benutzerdefinierte Sicherheitsgruppenregel für seine neue Sicherheitsgruppe zu erstellen. Diese neuen Regeln gelten auch für die neu erstellte und der neuen Sicherheitsgruppe zugeordnete Ressource:

Anpassungsoptionen für Sicherheitsgruppen und Sicherheitsgruppenregeln bei der Erstellung einer neuen — und Sicherheitsgruppenregeln bei der Erstellung einer neuen

Anwendungsfall 3: Datenverkehr zwischen Mitgliedern einer Sicherheitsgruppe zulassen

Die konventionelle Methode zum Einrichten Ihrer Sicherheitsgruppe besteht darin, den Datenverkehr zu und von Ihren Zielen mit bestimmten Regeln zu steuern, die nach IP-Adressen und Ports filtern.

Eine dynamischere Möglichkeit, Ihre Sicherheitsgruppe einzurichten, besteht darin, den gesamten eingehenden Datenverkehr von anderen Zielen zuzulassen, die ebenfalls Teil der Sicherheitsgruppe sind. Wenn Sie den Datenverkehr zwischen Mitgliedern einer Sicherheitsgruppe zulassen, müssen Sie keine individuellen Berechtigungen zwischen jedem aktuellen Mitglied und jedem neuen Mitglied einer Sicherheitsgruppe einrichten. Wenn Ressourcen zur Sicherheitsgruppe hinzugefügt oder daraus gelöscht werden, gelten die Berechtigungen für alle Mitglieder.

Beispielsweise können Sie Host A und Host B in einer Sicherheitsgruppe haben und Host C hinzufügen. Normalerweise müssten Sie Wartungsarbeiten durchführen, damit Host A und Host B Datenverkehr an Host C senden und von diesem empfangen können, nachdem Sie Host C zur Sicherheitsgruppe hinzugefügt haben.

Um diesen Prozess zu vereinfachen, können Sie eine Regel definieren, in der Sie den gesamten Datenverkehr zulassen, solange er von einem anderen Mitglied Ihrer Gruppe stammt. Wenn Sie dann Mitglieder zu einer Gruppe hinzufügen oder aus ihr entfernen, ändert sich die Regel automatisch, sodass die Mitglieder der Gruppe untereinander Datenverkehr austauschen können.

Im Folgenden finden Sie Anweisungen für die Benutzerschnittstelle zum Definieren von Regeln in einer Sicherheitsgruppe, um den gesamten Datenverkehr zwischen Mitgliedern dieser Sicherheitsgruppe zuzulassen:

Öffnen Sie in Ihrem Browser die IBM Cloud-Konsole.
Wählen Sie das Navigationsmenü aus und klicken Sie dann auf „Infrastruktur- VPC“ > „Netzwerk“ > „Sicherheitsgruppen“.
Wählen Sie unter „Sicherheitsgruppen“ das Sicherheitsgruppenobjekt aus, das Sie bearbeiten möchten.
Klicken Sie in der Tabelle „Eingehende Regeln“ auf „ Erstellen + “. Das Fenster Eingangsregel erstellen wird angezeigt.
Wählen Sie im Abschnitt Protokoll die Option TCP-UDP-ICMP.
Wählen Sie im Abschnitt Quellentyp die Option Sicherheitsgruppe aus.
Klicken Sie auf Erstellen, um diese Änderungen anzuwenden.