ACL-1 のルールの例

ACL-2 のルールの例

この例は一般的なケースだけを示しています。 シナリオによっては、より細かいトラフィック制御が必要になることがあります。

• ネットワーク管理者が、操作の目的でリモート・ネットワークから 10.10.10.0/24 サブネットにアクセスする必要があるとします。 この場合は、インターネットからこのサブネットへの SSH トラフィックを許可する必要があります。
• 2 つのサブネット間で許可するプロトコル・スコープを絞り込むこともできます。

ステップ 1. ACL を作成する

次の CLI コマンドを使用して、my_web_subnet_acl および my_backend_subnet_acl という 2 つの ACL を作成します。

ibmcloud is network-acl-create my-web-subnet-acl $vpc_id --source-acl-id $old_acl_id
ibmcloud is network-acl-create my-backend-subnet-acl $vpc_id --source-acl-id $old_acl_id

新しく作成された ACL の ID が応答として返されます。 後でコマンドで使用するので、その両方の ACL の ID を保存します。 次のように、webacl および bkacl という変数を使用することができます。

webacl="0738-ba9e785a-3e10-418a-811c-56cfe5669676"
bkacl="0738-a4e28308-8ee7-46ab-8108-9f881f22bdbf"

ステップ 2 ACL のデフォルトのルールを取得する

インバウンドおよびアウトバウンドのデフォルトの ACL ルールの前に新しいルールを挿入するために、ルールを追加する前に、それらのデフォルトのルールを取得します。

ibmcloud is network-acl-rules $webacl
ibmcloud is network-acl-rules $bkacl

すべてのプロトコルのすべての IPv4 トラフィックを許可するインバウンドとアウトバウンドのデフォルトのルールが応答として返されます。

Getting rules of network acl ba9e785a-3e10-418a-811c-56cfe5669676 under account Demo Account as user demouser...

inbound
ID                                     Name                                                          Action   IPv*   Protocol   Source      Destination   Created
0738-e2b30627-1a1d-447b-859f-ac9431986b6f   allow-all-inbound-rule-2d86bc3f-58e4-436a-8c1a-9b0a710556d6   allow    ipv4   all        0.0.0.0/0   0.0.0.0/0     2 months ago

outbound
ID                                     Name                                                         Action   IPv*   Protocol   Source      Destination   Created
0738-173a3492-0544-472e-91c0-7828cbcb62d4   allow-all-outbound-rule-2d86bc3f-58e4-436a-8c1a-9b0a710556d6   allow    ipv4   all        0.0.0.0/0   0.0.0.0/0     2 months ago

後でコマンドで値を使用できるように、この両方の ACL ルールの ID を変数に保存します。 例えば、次のように ID を変数 inrule および outrule に保存することができます。

inrule="0738-e2b30627-1a1d-447b-859f-ac9431986b6f"
outrule="0738-173a3492-0544-472e-91c0-7828cbcb62d4"

ステップ 3。 説明に従って新規 ACL ルールを追加する

この例では、先にインバウンド・ルールを追加してから、その後、アウトバウンド・ルールを追加します。

デフォルトのインバウンド・ルールの前に新しいインバウンド・ルールを挿入します。

ibmcloud is network-acl-rule-add my_web_acl_rule200 $webacl deny inbound all 0.0.0.0/0 0.0.0.0/0 \
--before-rule-id $in-rule

この手順を行うたびに、ACL ルールの ID を変数に保存して、後でコマンドで使用できるようにします。 例えば、次のように変数 acl200 を使用できます。

acl200="0738-90930627-1a1d-447b-859f-ac9431986b6f"

次は、acl200 にルールを追加します。

ibmcloud is network-acl-rule-add my_web_acl_rule100 $webacl allow inbound all 10.10.20.0/24 0.0.0.0/0 \
--before-rule-id $acl200

ACL のセットアップが完了するまでルールを追加していきます。各 ID を変数として保存します。

acl100="0738-78340627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule20 $webacl allow inbound tcp 0.0.0.0/0 0.0.0.0/0 \
--source-port-min 443 --source-port-max 443 --before-rule-id $acl100
acl20="32450627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule10 $webacl allow inbound tcp 0.0.0.0/0 0.0.0.0/0 \
--source-port-max 80 --source-port-min 80 --before-rule-id $acl20

デフォルトのアウトバウンド・ルールの前に新しいアウトバウンド・ルールを挿入します。

ibmcloud is network-acl-rule-add my_web_acl_rule200e $webacl deny outbound all 0.0.0.0/0 0.0.0.0/0 \
--before-rule-id $outrule
acl200e="11110627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule100e $webacl allow outbound all 0.0.0.0/0 10.10.20.0/24 \
--before-rule-id $acl200e
acl100e="22220627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule20e $webacl allow outbound tcp 0.0.0.0/0 0.0.0.0/0 \
--source-port-max 443 --source-port-min 443 --before-rule-id $acl100e
acl20e="33330627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule10e $webacl allow outbound tcp 0.0.0.0/0 0.0.0.0/0 \
--source-port-max 80 --source-port-min 80 --before-rule-id $acl20e

ステップ 4: 新しく作成した ACL を使用して 2 つのサブネットを作成する

サブネットを 2 つ作成し、新規サブネットのそれぞれに ACL を 1 つ関連付けます。

ibmcloud is subnet-create my-web-subnet $vpc_id $zone --ipv4_cidr_block 10.10.10.0/24 \
 --network-acl-id $webacl
ibmcloud is subnet-create my-backend-subnet$vpc_id $zone --ipv4_cidr_block 10.10.20.0/24 \
--network-acl-id $bkacl