在主控台中建立安全群組規則

您可以在佈建安全群組期間或之後建立入埠及出埠規則。

1. 從瀏覽器中，開啟 IBM Cloud 主控台。

2. 選取導覽功能表 ，然後按一下基礎結構 > 網路 > 安全群組。

3. 從 VPC 的安全群組表格中，選擇下列其中一項:

   • 若要在佈建新的安全群組時建立規則，請按一下 建立，然後遵循 設定資源的安全群組 中的指示。
   • 若要建立現有安全群組的規則，請按一下安全群組的名稱以檢視其「詳細資料」頁面，然後繼續步驟 4。

4. 若要建立及管理規則，請選取規則標籤。

5. 請從以下選項中選擇一項：

   • 若要建立入埠規則，請在「入埠規則」表格上選取 建立，並完成下列欄位。 然後，按一下建立。

     • 協定 - 指定要強制執行的協定（ ICMP_TCP_UDP、ANY 或其他 IPv4 協定之一）。
     • 埠-指定套用規則的埠。 選取 任何 或指定 埠範圍 (最小及最大埠值)。 TCP 和 UDP 的埠值必須是介於 1 和 65535 之間的數字。 ICMP 的有效埠值為 0 至 254。
     • 來源類型 - 選擇允許此規則傳輸流量的網路介面集合。 您可以針對入埠允許的資料流量選取 任何、IP 位址或 CIDR 區塊。 或者，您可以在相同的 VPC 中指定安全群組，以容許進入或離開連接至所選取安全群組的所有實例的資料流量。
     • 目的地類型-選取 任何、IP 位址或 CIDR 區塊。

   • 若要建立出埠規則，請在「出埠規則」表格上選取 建立，並完成下列欄位。 然後，按一下建立。

     • 協定 - 指定要執行的協定（ TCP、UDP、ICMP 或 TCP-UDP-ICMP ）。
     • 埠-指定套用規則的埠。 選取 任何 或指定 埠範圍 (最小及最大埠值)。 TCP 和 UDP 的埠值必須是介於 1 和 65535 之間的數字。 ICMP 的有效埠值為 0 至 254。
     • 目的地類型-選取 任何、IP 位址、CIDR 區塊或 安全群組。
     • 來源類型-選取 任何、IP 位址或 CIDR 區塊。

從 CLI 建立安全群組規則

若要使用 CLI 來建立安全群組規則 (入埠及出埠)，請輸入下列指令。

ibmcloud is security-group-rule-add GROUP DIRECTION PROTOCOL [--vpc VPC] [--local LOCAL_ADDRESS | CIDR_BLOCK] [--remote REMOTE_ADDRESS | CIDR_BLOCK | SECURITY_GROUP] [--icmp-type ICMP_TYPE [--icmp-code ICMP_CODE]] [--port-min PORT_MIN] [--port-max PORT_MAX] [--output JSON] [-q, --quiet]

其中：

GROUP

安全群組的 ID 或名稱。

DIRECTION

要施行的資料流量方向。 下列其中一項: inbound、outbound。

PROTOCOL

套用規則的通訊協定。 以下任一項：tcp, udp, icmp, icmp_tcp_udp gre, ip_in_ip, ah, esp, l2tp, rsvp, sctp, vrrp，或 number_<N>.

--vpc

VPC 的 ID 或名稱。 此選項僅需用於在該VPC內透過名稱指定唯一資源。

--local

此規則允許傳入流量（或對於傳出流量而言，允許傳出流量）的本機 IP 位址或本機 IP 位址範圍。 可以指定為 IP 位址或 CIDR 區塊。 其中之一：LOCAL_ADDRESS, CIDR_BLOCK。一個 的 CIDR 0.0.0.0/0 區塊允許流量前往所有本地 IP 位址（或對於出站規則，允許來自所有本地 IP 位址的流量）。

--remote

此規則容許資料流量的來源網路介面集。 它可指定為、REMOTE_ADDRESS 或 SECURITY_GROUP``CIDR_BLOCK。 若未指定來源，則允許來自任何來源的流量（或對於出站規則，允許流向任何來源）。

--icmp-type

要容許的 ICMP 資料流量類型。 有效值範圍從 0 至 254。 只有在通訊協定設定為 icmp 時，才會指定此選項。 如果未指定，容許所有類型。

--icmp-code

要容許的 ICMP 資料流量代碼。 有效值範圍從 0 至 255。 只有在通訊協定設定為 icmp 時，才會指定此選項。 如果未指定，容許所有程式碼。

-port-min

最小埠號。 有效值範圍為 1 至 65535。 只有在通訊協定設定為 tcp 或 udp 時，才會指定此選項。 若未指定，則允許所有連接埠（預設值：1）。

--port-max

最大埠號。 有效值範圍為 1 至 65535。 只有在通訊協定設定為 tcp 或 udp 時，才會指定此選項。 若未指定，則允許所有連接埠（預設值：65535）。

--output

輸出格式。 其中一個 JSON。

--q, --quiet

暫停詳細輸出。

使用 API 建立安全群組規則

安全群組規則 POST 要求接受名為 local 的選用內容，其具有兩個內容:

address

此規則容許入埠資料流量的目標 IP 位址 (或出埠規則的來源 IP 位址)。

cidr_block

此規則容許入埠資料流量的 IP 位址範圍 (或出埠規則的 IP 位址範圍)。

如果未指定 local 內容，則預設值為 cidr_block: 0.0.0.0/0。

您可以使用 API 來建立安全群組規則:

1. 使用正確的變數來設定 API 環境。

2. 將安全群組 ID 儲存在變數中，以在 API 指令中使用:

   export security_group_id=<security_group_id>
   

3. 若要建立安全群組規則，以容許從遠端位址範圍 10.1.2.0/24 至本端 IP 位址 192.168.1.100 的入埠 TCP 資料流量，請執行下列指令:

      curl -sX POST "$vpc_api_endpoint/v1/security_groups/$security_group_id/rules?version=$version&generation=2" \
        -H "Authorization: Bearer ${iam_token}" \
        -d '{
              "direction": "inbound",
              "local": {
                "address": "192.168.1.100"
              }
              "protocol": "tcp",
              "remote": {
                "cidr_block": "10.1.2.0/24"
              }
            }'
   

   輸出範例：

   {
     "direction": "inbound",
     "href": "https://us-south.iaas.cloud.ibm.com/v1/security_groups/r006-568b4cc2-b6d1-4ee4-898a-841be283a4cd/rules/r006-8d123cf9-9a4e-48d9-ad5e-dabf1e5b5773",
     "id": "r006-8d123cf9-9a4e-48d9-ad5e-dabf1e5b5773",
     "ip_version": "ipv4",
     "local": {
       "address": "192.168.1.100"
     }
     "protocol": "tcp",
     "remote": {
       "cidr_block": "10.1.2.0/24"
     }
   }
   

使用 Terraform 建立安全群組規則

要使用 Terraform，請下載 Terraform CLI 並設定 Provider IBM Cloud 外掛程式。 如需相關資訊，請參閱 Terraform 入門。

下列 Terraform 範例顯示如何建立入埠安全群組規則。 資源中的 local 參數接受 IP 位址或 CIDR 區塊，並且也處於資料來源 ibm_is_security_group_rules 和 ibm_is_security_group_rule 的回應狀態和回應。

resource "ibm_is_security_group_rule" "example2" {
  group     = ibm_is_security_group.example.id
  direction = "inbound"
  remote    = "127.0.0.1"
  local = "192.168.3.0/24"
  udp {
    port_min = 805
    port_max = 807
  }
}