Sobre grupos de segurança

IBM Cloud® Os grupos de segurança para VPC oferecem uma maneira prática de aplicar regras que estabelecem filtragem para uma instância de servidor virtual, com base em seu endereço IP. Os alvos dos grupos de segurança incluem interfaces de rede de instâncias de servidores virtuais, gateways de terminais e balanceadores de carga. Ao criar um grupo de segurança, você o configura para criar os padrões de tráfego de rede que você deseja.

Por padrão, um grupo de segurança é configurado com regras que negam todo o tráfego de entrada e permitem todo o tráfego de saída. À medida que novas regras são adicionadas a um grupo de segurança, as novas regras redefinem o escopo do tráfego permitido de entrada ou saída.

As regras são stateful. Para ter regras stateful significa quando você cria uma regra que permite o tráfego de uma maneira, a regra automaticamente permite o tráfego reverso. Por exemplo, se você criar uma regra para permitir o tráfego de entrada TCP na porta 80, o grupo de segurança também permitirá o tráfego de resposta de saída TCP na porta 80 de volta ao host de origem. Você não precisa criar outra regra.

Os grupos de segurança têm o escopo definido para uma única VPC. Esse escopo implica que um grupo de segurança pode ser associado a qualquer destino de grupo de segurança dentro da mesma VPC. É possível configurar uma regra de grupo de segurança para permitir o tráfego entre todos os membros de um grupo de segurança

Quando você cria uma VPC, ela é atribuída a um grupo de segurança padrão. É possível modificar as configurações do grupo de segurança padrão e as regras dos grupos de segurança individuais

Quando você cria um recurso que usa um grupo de segurança e não especifica um grupo de segurança, a interface de rede primária do recurso é anexada ao grupo de segurança default daquele VPC do recurso.

A atualização das regras para o grupo de segurança default é um processo separado da atualização do grupo de segurança padrão Se você editar as regras do grupo de segurança padrão, essas regras editadas serão aplicadas a todos os servidores atuais e futuros no grupo. Para obter mais informações, consulte Atualizando regras do grupo de segurança padrão.

Não é possível aninhar grupos de segurança uns dentro dos outros, mas é possível fazer referência a grupos de segurança remotos. Referenciar um grupo de segurança remoto em uma regra aplica essa regra a todos os destinos do grupo de segurança de referência anexados a essa regra.

Um grupo de segurança não pode fazer referência a outro grupo de segurança em uma zona diferente na mesma região.

Destinos do grupo de segurança

Um destino é qualquer recurso ao qual você anexa ou remove um grupo de segurança. Os alvos dos grupos de segurança incluem interfaces de rede de instâncias de servidores virtuais, gateways de terminais e balanceadores de carga.

Cada recurso que pode enviar e receber tráfego pode ter um grupo de segurança configurado para ele. Os recursos podem incluir interfaces de servidor virtual, servidores bare metal, balanceadores de carga, quaisquer gateways de ponto final ao longo do seu caminho de dados e muito mais.

É possível associar um grupo de segurança a qualquer recurso em seu caminho de dados.

Considerações sobre cotas:

Cada grupo de segurança criado pelo usuário suporta até 1.000 alvos. O grupo de segurança padrão, que é aplicado automaticamente a todos os alvos em uma VPC, não está sujeito a esse limite de 1.000 alvos. Esse comportamento garante que a atribuição automática ao grupo de segurança padrão não restrinja o provisionamento.

Grupos de segurança versus ACLs de rede

Os grupos de segurança estão vinculados a um recurso, enquanto que as Listas de Controle de Acesso à Rede (NACLs) estão vinculadas à sub-rede.

As NACLs são aplicáveis no nível da sub-rede, portanto, qualquer recurso na sub-rede com uma NACL associada segue as regras da NACL. No entanto, esse não é o caso dos grupos de segurança. Os grupos de segurança devem ser atribuídos explicitamente ao recurso. Além disso, ao contrário dos NACLs, um grupo de segurança pode ser aplicado a vários recursos em diferentes sub-redes e até mesmo em diferentes zonas.

As NACLs são stateless.

Como as NACLs não são stateful, se você deseja permitir o tráfego de ambas as formas em um destino deve configurar duas regras.

Grupos de segurança em instâncias e zonas

Diretrizes do grupo de segurança

As diretrizes a seguir explicam como os grupos de segurança funcionam, como as regras são aplicadas e as práticas recomendadas para anexá-las às interfaces de rede.

Regras

Cada grupo de segurança define diferentes conjuntos de regras de rede que determinam o tráfego de entrada e saída de uma interface de rede virtual.
As regras do grupo de segurança só podem ser permissivas. O tráfego é bloqueado por padrão.
As mudanças nas regras de grupo de segurança são aplicadas automaticamente e podem ser modificadas a qualquer momento.
A ordem das regras dentro de um grupo de segurança não faz diferença. A prioridade sempre cai na regra menos restritiva.
As regras são stateful. As conexões estabelecidas antes de uma mudança de grupo de segurança não são alteradas. As novas conexões obedecem às regras existentes no momento em que a conectividade é estabelecida.
Os grupos de segurança não substituem os firewalls do sistema operacional em uma instância de servidor virtual ou servidor físico. Mesmo se existir, no sistema operacional, um firewall mais restritivo do que aquele que é aplicado pelo grupo de segurança, as regras do sistema operacional ainda serão cumpridas.
Se sua instância de servidor virtual ou servidor bare metal precisar de acesso a serviços internos, como um servidor de atualizações, armazenamento conectado à rede (NAS) ou monitoramento avançado, certifique-se de que as regras do grupo de segurança permitam o tráfego para esses serviços internos.

Destinos

Um grupo de segurança pode ser anexado a vários alvos.
Um ou mais grupos de segurança podem ser anexados a:
- uma interface de rede virtual
- uma interface de rede de instância
- uma interface de rede de servidor bare metal
- um gateway de ponto final
- um balanceador de carga
- um servidor VPN.
Todas as regras dos grupos de segurança anexados se aplicam coletivamente ao destino.
Se vários grupos de segurança estiverem anexados, o tráfego será permitido ou bloqueado com base na regra menos restritiva entre todos os grupos.

Definir regras do grupo de segurança

Todo grupo de segurança consiste em um conjunto de regras. O grupo de segurança examina todas as suas regras antes de permitir que qualquer tráfego entre ou saia da instância. As regras que são usadas para controlar o tráfego de entrada são independentes das regras que são usadas para controlar o tráfego de saída.

Ao criar um novo grupo de segurança, inicialmente todo o tráfego de entrada é restrito e o tráfego de saída é permitido. Portanto, deve-se incluir regras ao grupo para permitir o tráfego de entrada e aplicar restrições no tráfego de saída.

Como um recurso pode estar associado a vários grupos de segurança, todas as regras de cada grupo de segurança associado são combinadas para formar um único conjunto de regras. Este conjunto de regras é usado para determinar se o tráfego deve ser negado ou permitido para entrar e sair do recurso. Para toda regra de segurança que você incluir no grupo de segurança, deve-se especificar os valores para os campos a seguir:

Direção - A direção do tráfego a cumprir, seja de entrada ou de saída.
Protocolo — Indica o protocolo ao qual esta regra se aplica. Os valores são ICMP_TCP_UDP, ou ANY, ou um dos IPv4 protocols.
- Se o valor for ANY, isso significa que essa regra se aplica ao protocolo ANY. Então, é inválido especificar o intervalo de porta (PortMin, PortMax).
- Se protocolo for tcp ou udp, a regra também poderá conter o intervalo de porta (PortMin, PortMax). Configure ambas as portas ou nenhuma delas. Quando Nenhuma é definido, o tráfego é permitido em todas as portas. Para uma única porta, deve-se configurar ambas as portas para o mesmo valor.
- Quando o protocolo é icmp, é possível, opcionalmente, especificar a propriedade type. Se especificada, o tráfego ICMP será permitido apenas para o tipo ICMP especificado. Além disso, se você especificar type, poderá opcionalmente especificar a propriedade de código para permitir o tráfego apenas para o código ICMP especificado.
Remoto - Descreve o conjunto de interfaces de rede para o qual essa regra permite o tráfego (ou do qual, para as regras de saída). É possível especificar este valor como um endereço IP, um bloco CIDR ou todos os identificadores de um único grupo de segurança (ID, CRN e nome). Se este valor for omitido, um bloco CIDR de 0.0.0.0/0 será usado para permitir o tráfego de qualquer origem (ou para qualquer origem, para as regras de saída).

Você pode nomear regras de grupo de segurança. No entanto, o sistema não faz nenhuma correlação entre o nome e a configuração da regra. Por exemplo, se você nomear uma regra inbound-https-from-my-subnet, o sistema não verificará se a regra funciona conforme o nome indica. É sua responsabilidade gerenciar os nomes e as configurações das regras do seu grupo de segurança para garantir a consistência, se necessário.

Para obter mais informações sobre como configurar regras de grupo de segurança usando a CLI, consulte a lista de comandos. Para obter mais informações sobre como configurar regras de grupo de segurança usando a API, consulte Configurando o grupo de segurança para sua instância de servidor virtual usando a API.

Limitações

Atualmente, os pacotes do protocolo ESP são suportados apenas em instâncias com Gen2 perfis. Em instâncias com outros perfis e em todos os servidores bare metal, os pacotes ESP de entrada e saída são sempre descartados. Embora as regras do grupo de segurança possam ser configuradas para o tráfego ESP com a API VPC, essas regras afetam apenas instâncias com Gen2 perfis. O protocolo ESP não é exibido como uma opção no IBM Cloud console para evitar confusão entre as gerações de perfis de instância. Para obter mais informações, consulte os perfis de instância do x86-64.

Introdução

Para começar, decida se deseja criar um novo grupo de segurança para o seu recurso e crie seu grupo de segurança.

Casos de uso grupo de segurança

Criar um grupo de segurança é uma maneira padrão de um usuário aplicar regras que filtram padrões de tráfego de rede para e a partir de seus recursos. Sua capacidade de executar as seguintes ações depende do seu nível de autorização em sua conta. Entre em contato com o administrador se você tiver dúvidas sobre as autorizações de sua conta.

Caso de uso 1: Alterando um grupo de segurança padrão do recurso

Cada VPC tem um grupo de segurança padrão, que é um grupo de segurança que é criado para um usuário. Esse grupo de segurança padrão também possui uma regra padrão Essa regra padrão é a mesma regra padrão designada a grupos de segurança criados antes de customizar a configuração do grupo de segurança, incluindo ou removendo regras.

Um grupo de segurança padrão é diferente da regra padrão para novos grupos de segurança.. Você pode personalizar tanto a regra do seu grupo de segurança padrão quanto a regra padrão atribuída a novos grupos de segurança.

Por exemplo, imagine que você faz parte de uma organização e alguém com acesso à conta da sua organização modifica a regra do grupo de segurança padrão. Após a modificação, a regra é diferente da regra padrão que você obtém ao criar um novo grupo de segurança. Seu membro da equipe é um cliente muito bem consciente, e eles mudam as configurações do grupo de segurança padrão para negar todo o tráfego de rede de entrada e saída.

Neste exemplo, quando você cria um recurso, ele é inicialmente atribuído ao grupo de segurança padrão da sua VPC. A regra padrão desse grupo de segurança nega todo o tráfego de rede de entrada e saída devido às regras de negação configuradas pelo membro da equipe responsável pela segurança. Como resultado, o tráfego de e para o seu novo recurso tem o mesmo comportamento de negação aplicado.

Se você não estiver satisfeito com a regra padrão do grupo de segurança, uma solução é criar um grupo de segurança diferente com configurações personalizadas e aplicá-lo ao seu recurso. Outra solução é alterar a regra no grupo de segurança padrão.. Criar outro grupo de segurança com configurações personalizadas é a solução mais fácil, pois você pode criar regras que se aplicam ao único recurso que deseja afetar. Se você alterar a regra do grupo de segurança padrão, essas alterações serão aplicadas não apenas ao recurso que você deseja afetar, mas a todos os outros recursos atribuídos ao grupo de segurança padrão.

Quaisquer novas regras criadas no grupo de segurança padrão são aplicadas a todos os recursos atuais e futuros atribuídos ao grupo de segurança padrão.

Para obter mais informações sobre como atualizar o grupo de segurança padrão, consulte Atualização de regras do grupo de segurança padrão

Caso de uso 2: Personalização de grupos e regras de segurança durante o provisionamento

O diagrama a seguir ilustra as opções de customização em potencial quando você cria um novo recurso. Se um usuário criar um recurso e não realizar nenhuma ação adicional para especificar um grupo de segurança ao qual ele será anexado, seu novo recurso será atribuído ao grupo de segurança padrão da VPC. Esse grupo de segurança padrão assume a regra padrão do grupo de segurança ou segue uma regra personalizada que foi previamente configurada pelos membros da sua conta.

Se o usuário decidir atribuir o novo recurso a um novo grupo de segurança, o novo grupo de segurança será automaticamente atribuído à regra padrão do grupo de segurança. Em seguida, o usuário pode optar por não realizar nenhuma ação adicional ou personalizar as regras para criar uma regra de grupo de segurança personalizada para seu novo grupo de segurança. Essas novas regras se aplicam também ao novo recurso criado e atribuído ao novo grupo de segurança:

Opções de personalização do grupo de segurança e da regra do grupo de segurança ao criar um novo — de personalização do grupo de segurança e da regra do grupo de segurança ao criar um novo

Caso de uso 3: Permitir tráfego entre membros de um grupo de segurança

A maneira mais convencional de configurar seu grupo de segurança é controlar o tráfego de e para seus destinos com regras específicas que filtram por endereços IP e portas.

Uma maneira mais dinâmica de configurar seu grupo de segurança é permitir todo o tráfego de entrada proveniente de outros destinos que também fazem parte do grupo de segurança. Quando você permite o tráfego entre membros de um grupo de segurança, não é necessário configurar permissões individuais entre cada membro atual e cada novo membro de um grupo de segurança. Quando recursos são adicionados ou excluídos do grupo de segurança, as permissões se aplicam a todos os membros.

Por exemplo, você pode ter o host A e o host B em um grupo de segurança e adicionar o host C. Normalmente, você precisaria realizar manutenção para permitir que o host A e o host B enviassem tráfego de e para o host C depois de adicionar o host C ao grupo de segurança.

Para facilitar esse processo, é possível definir uma regra na qual você permite todo o tráfego, desde que seja de outro membro do seu grupo. Então, conforme você adiciona ou remove membros de um grupo, a regra muda automaticamente para permitir que os membros do grupo enviem tráfego entre si.

A seguir estão instruções UI para definição de regras em um grupo de segurança para permitir todo o tráfego entre membros desse grupo de segurança:

A partir do seu navegador, abra o IBM Cloud console.
Selecione o de navegação Menu de navegação e clique no de infraestrutura > Rede > Grupos de segurança.
Na seção “Grupos de segurança”, selecione o objeto de grupo de segurança que você deseja modificar.
Clique em Criar + na tabela Regras de entrada. Aparece uma janela Criar regra de entrada.
Na seção Protocolo, selecione TCP-UDP-ICMP.
Na seção Tipo de origem, selecione Grupo de segurança.
Clique em Criar para aplicar essas alterações.