ACL-1 规则示例

ACL-2 规则示例

此示例仅说明的是一般情况。 在您的场景中，您可能希望对流量进行更精细的控制：

• 您可能有一位网络管理员，出于操作需要，需要从远程网络访问 10.10.10.0/24 子网。 在这种情况下，您需要允许来自互联网的 SSH 流量进入该子网。
• 您可能希望缩小两个子网之间允许的协议作用域。

步骤 1. 创建 ACL

使用以下 CLI 命令来创建两个名为 my_web_subnet_acl 和 my_backend_subnet_acl 的 ACL:

ibmcloud is network-acl-create my-web-subnet-acl $vpc_id --source-acl-id $old_acl_id
ibmcloud is network-acl-create my-backend-subnet-acl $vpc_id --source-acl-id $old_acl_id

响应包含新创建的 ACL 标识。 请保存这两个 ACL 的标识，以便在稍后的命令中使用。 你可以使用名为 webacl 和 bkacl 的变量，如下所示：

webacl="0738-ba9e785a-3e10-418a-811c-56cfe5669676"
bkacl="0738-a4e28308-8ee7-46ab-8108-9f881f22bdbf"

步骤 2. 检索缺省 ACL 规则

在添加规则之前，请先检索默认的入站和出站访问控制列表（ACL）规则，以便将新规则插入到这些规则之前。

ibmcloud is network-acl-rules $webacl
ibmcloud is network-acl-rules $bkacl

响应显示允许所有协议中所有 IPv4 流量的缺省入站和出站规则。

Getting rules of network acl ba9e785a-3e10-418a-811c-56cfe5669676 under account Demo Account as user demouser...

inbound
ID                                     Name                                                          Action   IPv*   Protocol   Source      Destination   Created
0738-e2b30627-1a1d-447b-859f-ac9431986b6f   allow-all-inbound-rule-2d86bc3f-58e4-436a-8c1a-9b0a710556d6   allow    ipv4   all        0.0.0.0/0   0.0.0.0/0     2 months ago

outbound
ID                                     Name                                                         Action   IPv*   Protocol   Source      Destination   Created
0738-173a3492-0544-472e-91c0-7828cbcb62d4   allow-all-outbound-rule-2d86bc3f-58e4-436a-8c1a-9b0a710556d6   allow    ipv4   all        0.0.0.0/0   0.0.0.0/0     2 months ago

将这两个 ACL 规则的标识保存为变量，以便您可以在以后的命令中使用这些值。 例如，可以将标识保存在变量 inrule 和 outrule 中:

inrule="0738-e2b30627-1a1d-447b-859f-ac9431986b6f"
outrule="0738-173a3492-0544-472e-91c0-7828cbcb62d4"

步骤 3. 按照说明添加新的ACL规则

在此示例中，首先添加入站规则，然后添加出站规则。

在缺省入站规则之前插入新的入站规则。

ibmcloud is network-acl-rule-add my_web_acl_rule200 $webacl deny inbound any 0.0.0.0/0 0.0.0.0/0 \
--before-rule-id $in-rule

在每个步骤中，将ACL规则的ID保存到一个变量中，以便在后续命令中使用该ID。 例如，你可以使用变量 acl200：

acl200="0738-90930627-1a1d-447b-859f-ac9431986b6f"

现在，将规则添加到 acl200：

ibmcloud is network-acl-rule-add my_web_acl_rule100 $webacl allow inbound any 10.10.20.0/24 0.0.0.0/0 \
--before-rule-id $acl200

添加更多规则，直到 ACL 设置完成，并将每个标识都保存为一个变量。

acl100="0738-78340627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule20 $webacl allow inbound tcp 0.0.0.0/0 0.0.0.0/0 \
--source-port-min 443 --source-port-max 443 --before-rule-id $acl100
acl20="32450627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule10 $webacl allow inbound tcp 0.0.0.0/0 0.0.0.0/0 \
--source-port-max 80 --source-port-min 80 --before-rule-id $acl20

在缺省出站规则之前插入新的出站规则。

ibmcloud is network-acl-rule-add my_web_acl_rule200e $webacl deny outbound any 0.0.0.0/0 0.0.0.0/0 \
--before-rule-id $outrule
acl200e="11110627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule100e $webacl allow outbound any 0.0.0.0/0 10.10.20.0/24 \
--before-rule-id $acl200e
acl100e="22220627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule20e $webacl allow outbound tcp 0.0.0.0/0 0.0.0.0/0 \
--source-port-max 443 --source-port-min 443 --before-rule-id $acl100e
acl20e="33330627-1a1d-447b-859f-ac9431986b6f"
ibmcloud is network-acl-rule-add my_web_acl_rule10e $webacl allow outbound tcp 0.0.0.0/0 0.0.0.0/0 \
--source-port-max 80 --source-port-min 80 --before-rule-id $acl20e

步骤 4. 使用新创建的访问控制列表（ACL）创建这两个子网

创建两个子网，以便每个访问控制列表（ACL）都与其中一个新子网相关联。

ibmcloud is subnet-create my-web-subnet $vpc_id $zone --ipv4_cidr_block 10.10.10.0/24 \
 --network-acl-id $webacl
ibmcloud is subnet-create my-backend-subnet$vpc_id $zone --ipv4_cidr_block 10.10.20.0/24 \
--network-acl-id $bkacl