Informazioni sui gruppi di sicurezza

IBM Cloud® I gruppi di sicurezza per VPC offrono un modo pratico per applicare regole che definiscono il filtraggio su un'istanza di server virtuale di destinazione, in base al suo indirizzo IP. Gli obiettivi dei gruppi di sicurezza includono le interfacce di rete delle istanze dei server virtuali, i gateway degli endpoint e i bilanciatori di carico. Quando crei un gruppo di sicurezza, lo configuri per creare i modelli di traffico di rete che desideri.

Per impostazione predefinita, un gruppo di sicurezza è configurato con regole che negano tutto il traffico in entrata e consentono tutto il traffico in uscita. Man mano che nuove regole vengono aggiunte a un gruppo di sicurezza, le nuove regole ridefiniscono l'ambito del traffico in entrata o in uscita consentito.

Le regole sono stateful. Avere regole con stato significa che quando crei una regola che consente il traffico in un modo, la regola consente automaticamente il traffico inverso. Ad esempio, se si crea una regola per consentire il traffico TCP in entrata sulla porta 80, il gruppo di sicurezza consente anche la risposta del traffico TCP in uscita sulla porta 80 all'host di origine. Non è necessario creare un'altra regola.

L'ambito dei gruppi di sicurezza è limitato a un solo VPC. Tale ambito implica che un gruppo di sicurezza possa essere associato a qualsiasi gruppo di sicurezza di destinazione all’interno della stessa VPC. Puoi impostare una regola del gruppo di sicurezza per consentire il traffico tra tutti i membri di un gruppo di sicurezza.

Quando crei una VPC, questa viene assegnata a un gruppo di sicurezza predefinito. È possibile modificare le impostazioni predefinite del gruppo di protezione e le regole dei singoli gruppi di protezione.

Quando crei una risorsa che utilizza un gruppo di sicurezza e non specifichi un gruppo di protezione, l'interfaccia di rete primaria della risorsa viene collegata al gruppo di protezione predefinito del VPC di quella risorsa.

L'aggiornamento delle regole per il gruppo di sicurezza predefinito è un processo separato dall'aggiornamento del gruppo di protezione predefinito. Se modifichi le regole del gruppo di sicurezza predefinito, tali regole modificate vengono poi applicate a tutti i server correnti e futuri nel gruppo. Per ulteriori informazioni, vedi Aggiornamento delle regole del gruppo di sicurezza predefinite.

Non è possibile nidificare gruppi di sicurezza uno dentro l'altro, ma è possibile fare riferimento a gruppi di sicurezza remoti. Il riferimento a un gruppo di sicurezza remoto in una regola applica tale regola a tutti i destinatari del gruppo di sicurezza di riferimento associati a tale regola.

Un gruppo di sicurezza non può fare riferimento a un altro gruppo di sicurezza in una zona diversa nella stessa regione.

Destinazioni del gruppo di protezione

Un target è qualsiasi risorsa a cui si associa o da cui si disassocia un gruppo di sicurezza. Gli obiettivi dei gruppi di sicurezza includono le interfacce di rete delle istanze dei server virtuali, i gateway degli endpoint e i bilanciatori di carico.

Ogni risorsa in grado di inviare e ricevere traffico può avere un gruppo di sicurezza configurato appositamente. Le risorse possono includere interfacce server virtuali, server bare metal, bilanciatori di carico, qualsiasi gateway endpoint lungo il percorso dei dati e altro ancora.

È possibile associare un gruppo di sicurezza a qualsiasi risorsa lungo il percorso dati.

Considerazioni sulle quote:

Ogni gruppo di sicurezza creato dall'utente supporta fino a 1.000 obiettivi. Il gruppo di sicurezza predefinito, che viene applicato automaticamente a tutti i target in una VPC, non è soggetto a questo limite di 1.000 target. Questo comportamento garantisce che l'assegnazione automatica al gruppo di sicurezza predefinito non limiti il provisioning.

Confronto tra gruppi di sicurezza e ACL di rete

I gruppi di protezione sono collegati a una risorsa, mentre i NACL (Network Access Control List) sono collegati alla sottorete.

I NACL sono applicabili a livello di sottorete, quindi qualsiasi risorsa nella sottorete con un NACL associato segue le regole del NACL. Tuttavia, non è il caso dei gruppi di protezione. I gruppi di protezione devono essere assegnati esplicitamente alla risorsa. Inoltre, a differenza dei NACL, un gruppo di sicurezza può essere applicato a più risorse tra le sottoreti e anche tra le zone.

Gli NACL sono stateless.

Poiché i NACL non sono con stato, se si desidera consentire il traffico in entrambi i modi su una destinazione, è necessario impostare due regole.

Linee guida del gruppo di sicurezza

Le seguenti linee guida spiegano come funzionano i gruppi di sicurezza, come vengono applicate le regole e le migliori pratiche per collegarli alle interfacce di rete.

Regole

Ogni gruppo di sicurezza definisce diversi insiemi di regole di rete che regolano il traffico in entrata e in uscita per un'interfaccia di rete virtuale.
Le regole dei gruppi di sicurezza possono essere solo permissive. Il traffico è bloccato per impostazione predefinita.
Le modifiche alle regole del gruppo di sicurezza vengono applicate automaticamente e possono essere effettuate in qualsiasi momento.
L'ordine delle regole all'interno di un gruppo di sicurezza non ha importanza. La priorità spetta sempre alla regola meno restrittiva.
Le regole sono con stato. Le connessioni stabilite prima di una modifica al gruppo di sicurezza non vengono modificate. Le nuove connessioni sono soggette alle regole in vigore al momento in cui viene stabilita la connessione.
I gruppi di sicurezza non hanno la precedenza sui firewall del sistema operativo su un'istanza di server virtuale o su un server bare metal. Anche se nel sistema operativo esiste un firewall più restrittivo rispetto a quanto applicato dal gruppo di sicurezza, verranno ancora applicate le regole del sistema operativo.
Se l'istanza del server virtuale o il server bare metal necessita di accedere a servizi interni, quali un server di aggiornamento, un dispositivo di archiviazione collegato in rete (NAS) o strumenti di monitoraggio avanzati, assicurarsi che le regole del gruppo di sicurezza consentano il traffico verso tali servizi interni.

Destinazioni

Un gruppo di sicurezza può essere associato a più destinazioni.
Uno o più gruppi di sicurezza possono essere associati a:
- un'interfaccia di rete virtuale
- un'interfaccia di rete di istanza
- un'interfaccia di rete server bare metal
- un gateway endpoint
- un bilanciatore di carico
- un server VPN.
Tutte le regole dei gruppi di sicurezza allegati si applicano collettivamente alla destinazione.
Se sono collegati più gruppi di sicurezza, il traffico viene consentito o bloccato in base alla regola meno restrittiva tra tutti i gruppi.

Definizione delle regole del gruppo di sicurezza

Ogni gruppo di sicurezza consiste in una serie di regole. Il gruppo di sicurezza esamina tutte le proprie regole prima di consentire al traffico di entrare o uscire dall'istanza. Le regole utilizzate per controllare il traffico in entrata sono indipendenti dalle regole utilizzate per controllare il traffico in uscita.

Quando crei un nuovo gruppo di protezione, inizialmente tutto il traffico in entrata è limitato e il traffico in uscita è consentito. Pertanto, è necessario aggiungere regole al gruppo per consentire il traffico in entrata e per applicare restrizioni al traffico in uscita.

Poiché una risorsa può essere associata a più gruppi di sicurezza, tutte le regole di ciascun gruppo di sicurezza associato vengono combinate per formare un unico insieme di regole. Questo insieme di regole viene utilizzato per determinare se il traffico deve essere negato o consentito in entrata e in uscita dalla risorsa. Per ogni regola di sicurezza che si aggiunge al gruppo di sicurezza, è necessario specificare i valori per i campi seguenti:

Direzione - La direzione del traffico da applicare, in entrata o in uscita.
Protocollo - Indica il protocollo a cui si applica questa regola. I valori sono ICMP_TCP_UDP, oppure ANY, oppure uno dei IPv4 protocols.
- Se il suo valore è ANY, significa che questa regola si applica al ANY protocollo. Quindi, non è valido specificare l'intervallo di porte ( PortMin, PortMax ).
- Se il protocollo lo è tcp O udp, la regola può contenere anche l'intervallo di porte (PortMin,PortMax ). Impostare entrambe le porte o nessuna. Quando nessuno dei due è impostato, il traffico è consentito su tutte le porte. Per una singola porta, è necessario impostare entrambe le porte sullo stesso valore.
- Quando il protocollo è icmp, è possibile specificare facoltativamente la proprietà type. Se specificato, il traffico ICMP è consentito solo per il tipo ICMP specificato. Inoltre, se si specifica type, è possibile specificare facoltativamente la proprietà del codice per consentire il traffico solo per il codice ICMP specificato.
Remoto - Descrive la serie di interfacce di rete a cui questa regola consente il traffico (o da cui, per le regole in uscita). È possibile specificare questo valore come un indirizzo IP, un blocco CIDR o tutti gli ID di un singolo gruppo di sicurezza (ID, CRN e nome). Se questo valore viene omesso, viene utilizzato un blocco CIDR di 0.0.0.0/0 per consentire il traffico da qualsiasi origine (o verso qualsiasi origine, per le regole in uscita).

È possibile assegnare un nome alle regole dei gruppi di sicurezza. Tuttavia, il sistema non stabilisce alcuna correlazione tra il nome e la configurazione della regola. Ad esempio, se si assegna un nome a una regola inbound-https-from-my-subnet, il sistema non verifica che la regola funzioni come suggerisce il nome. È responsabilità dell'utente gestire i nomi e le configurazioni delle regole dei gruppi di sicurezza per garantire la coerenza, se necessario.

Per ulteriori informazioni sulla configurazione delle regole dei gruppi di sicurezza tramite la CLI, consulta il foglio di riferimento dell'elenco dei comandi. Per ulteriori informazioni sulla configurazione delle regole dei gruppi di sicurezza tramite l'API, vedere Configurazione del gruppo di sicurezza per l'istanza del server virtuale tramite l'API.

Limitazioni

Attualmente, i pacchetti del protocollo ESP sono supportati solo su istanze con Gen2 profili. Nelle istanze con altri profili e su tutti i server bare metal, i pacchetti ESP in entrata e in uscita vengono sempre eliminati. Sebbene sia possibile configurare regole di gruppo di sicurezza per il traffico ESP con l'API VPC, tali regole influiscono solo sulle istanze con Gen2 profili. Il protocollo ESP non viene visualizzato come opzione nella IBM Cloud console per evitare confusione tra le generazioni dei profili delle istanze. Per ulteriori informazioni, consultare i profili delle istanze di x86-64.

Introduzione

Per iniziare, decidere se creare un nuovo gruppo di sicurezza per la risorsa e creare il gruppo di sicurezza.

Casi di utilizzo del gruppo di sicurezza

La creazione di un gruppo di protezione è un modo standard per un utente di applicare regole che filtrano i modelli di traffico di rete da e verso le proprie risorse. La tua capacità di eseguire queste operazioni dipende dal tuo livello di autorizzazione nel tuo account. Contattare l'amministratore se si hanno domande sulle autorizzazioni dell'account.

Caso di uso 1: modifica del gruppo di protezione predefinito di una risorsa

Ogni VPC ha un gruppo di sicurezza predefinito, che è un gruppo di sicurezza creato per un utente. Tale gruppo di protezione predefinito ha anche una regola predefinita. Questa regola predefinita è la stessa assegnata ai gruppi di sicurezza creati prima di personalizzare l'impostazione del gruppo di sicurezza aggiungendo o rimuovendo le regole.

Un gruppo di sicurezza predefinito è diverso dalla regola predefinita per i nuovi gruppi di protezione. È possibile personalizzare sia la regola sul gruppo di sicurezza predefinito, sia la regola predefinita assegnata ai nuovi gruppi di sicurezza.

Ad esempio, immagina di far parte di un'organizzazione e che qualcuno con accesso all'account della tua organizzazione modifichi la regola del gruppo di sicurezza predefinito. Dopo la modifica, la regola è diversa dalla regola predefinita che si ottiene quando si crea un nuovo gruppo di sicurezza. Il membro del tuo gruppo è un cliente attento alla sicurezza e modifica le impostazioni del gruppo di protezione predefinito per negare tutto il traffico di rete in entrata e in uscita.

In questo esempio, quando crei una risorsa, questa viene inizialmente assegnata al gruppo di sicurezza predefinito della tua VPC. La regola predefinita di questo gruppo di sicurezza nega tutto il traffico di rete in entrata e in uscita a causa delle regole di negazione impostate dal membro del team attento alla sicurezza. Di conseguenza, al traffico da e verso la nuova risorsa viene applicato lo stesso comportamento di rifiuto.

Se non sei soddisfatto della regola predefinita del gruppo di sicurezza, una soluzione consiste nel creare un gruppo di sicurezza diverso con impostazioni personalizzate e applicarlo alla tua risorsa. Un'altra soluzione consiste nel modificare la regola sul gruppo di protezione predefinito. Creare un altro gruppo di sicurezza con impostazioni personalizzate è la soluzione più semplice perché consente di creare regole applicabili alla singola risorsa che si desidera modificare. Se modifichi la regola del gruppo di sicurezza predefinito, tali modifiche si applicano non solo alla risorsa che desideri modificare, ma anche a tutte le altre risorse assegnate al gruppo di sicurezza predefinito.

Qualsiasi nuova regola creata sul gruppo di sicurezza predefinito viene applicata a tutte le risorse attuali e future assegnate al gruppo di sicurezza predefinito.

Per ulteriori informazioni sull'aggiornamento del gruppo di sicurezza predefinito, vedi Aggiornamento delle regole del gruppo di sicurezza predefinito.

Caso d'uso 2: Personalizzazione dei gruppi di sicurezza e delle regole durante il provisioning

Il seguente diagramma illustra le potenziali opzioni di personalizzazione quando si crea una nuova risorsa. Se un utente crea una risorsa e non intraprende ulteriori azioni per specificare un gruppo di sicurezza a cui associarla, la nuova risorsa viene assegnata al gruppo di sicurezza predefinito della VPC. Questo gruppo di sicurezza predefinito assume la regola del gruppo di sicurezza predefinita o segue una regola personalizzata precedentemente configurata dai membri del tuo account.

Se l'utente decide di assegnare la nuova risorsa a un nuovo gruppo di sicurezza, il nuovo gruppo di sicurezza viene automaticamente assegnato alla regola del gruppo di sicurezza predefinita. Quindi, l'utente può scegliere di non intraprendere ulteriori azioni oppure personalizzare le regole per creare una regola di gruppo di sicurezza personalizzata per il proprio nuovo gruppo di sicurezza. Queste nuove regole si applicano anche alla nuova risorsa creata e assegnata al nuovo gruppo di protezione:

Opzioni di personalizzazione del gruppo di sicurezza e delle regole del gruppo di sicurezza durante la creazione di una nuova — di personalizzazione del gruppo di sicurezza e delle regole del gruppo di sicurezza durante la creazione di una nuova

Caso d'uso 3: Consenti traffico tra i membri di un gruppo di sicurezza

Il modo più convenzionale per impostare il tuo gruppo di sicurezza è controllare il traffico da e verso le tue destinazioni con regole specifiche che filtrano in base agli indirizzi IP e alle porte.

Un modo più dinamico per configurare il gruppo di sicurezza consiste nell'autorizzare tutto il traffico in entrata proveniente da altri target che fanno anch'essi parte del gruppo di sicurezza. Quando si autorizza il traffico tra i membri di un gruppo di sicurezza, non è necessario impostare autorizzazioni individuali tra ciascun membro attuale e ciascun nuovo membro di un gruppo di sicurezza. Quando vengono aggiunte o eliminate risorse dal gruppo di sicurezza, le autorizzazioni si applicano a tutti i membri.

Ad esempio, è possibile avere l'host A e l'host B in un gruppo di sicurezza e aggiungere l'host C. Normalmente, dopo aver aggiunto l'host C al gruppo di sicurezza, sarebbe necessario eseguire la manutenzione per consentire all'host A e all'host B di inviare traffico da e verso l'host C.

Per rendere questo processo più semplice, è possibile definire una regola in cui si consente tutto il traffico finché proviene da un altro membro del gruppo. Quindi, quando aggiungi o rimuovi membri da un gruppo, la regola cambia automaticamente per consentire ai membri del gruppo di scambiarsi traffico tra loro.

Le seguenti sono istruzioni IU per definire le regole in un gruppo di sicurezza per consentire tutto il traffico tra i membri di quel gruppo di sicurezza:

Dal tuo browser, apri la consoleIBM Cloud.
Selezionare il menu di navigazione , quindi fare clic su Icona Infrastruttura > Rete > Gruppi di sicurezza.
Nei gruppi di protezione, selezionare l'oggetto del gruppo di protezione che si desidera modificare.
Fai clic su Crea + nella tabella Regole in entrata. Viene visualizzata una finestra Crea regola in entrata.
Nella sezione Protocollo, selezionare TCP-UDP-IPCM.
Nella sezione Tipo di origine, selezionare Gruppo di sicurezza.
Fare clic su Crea per applicare queste modifiche.