Сценарии
Вы можете добавить входящие и исходящие правила к network ACL для контроля трафика в подсети и из неё. Network ACL правила сопоставляются в порядке возрастания, либо по системно‑сгенерированным номерам правил, либо по указанным вами.
- Добавление правила Network ACL (номера правил по умолчанию): Правила сопоставляются в порядке их номера, начиная с наименьшего. Номер правила автоматически назначается в зависимости от времени его добавления.
В Table 1 находятся два пользовательских входящих правила (правило A и правило B) и одно правило по умолчанию. Номер правила A равен 1, а номер правила B — 2. Правило по умолчанию является последним правилом, используемым для сопоставления трафика. Когда вы добавляете правило C, его номер будет 3, которое будет сопоставляться позже правил A и B, но раньше правила по умолчанию.
Table 1 Номера правил по умолчаниюНомер правила (правила A и B)
Номер правила (правила A, B и C)
Пользовательское правило A
1
Пользовательское правило A
1
--
--
Пользовательское правило B
2
Пользовательское правило B
2
Пользовательское правило C
3
Правило по умолчанию
*
Правило по умолчанию
*
- Добавление правила Network ACL (Пользовательские номера правил): Если вы хотите, чтобы правило совпадало раньше или позже конкретного правила, вы можете вставить правило выше или ниже конкретного правила.
В Table 2 находятся два пользовательских входящих правила (правило A и правило B) и одно правило по умолчанию. Номер правила A равен 1, а номер правила B — 2. Правило по умолчанию является последним правилом, используемым для сопоставления трафика. Если вы хотите, чтобы правило C совпадало раньше, чем правило B, вы можете вставить правило C выше правила B. После добавления правила C его номер будет 2, а номер правила B — 3.
Table 2 Пользовательские номера правилНомер правила (правила A и B)
Номер правила (правила A, B и C)
Пользовательское правило A
1
Пользовательское правило A
1
--
--
Пользовательское правило C
2
Пользовательское правило B
2
Пользовательское правило B
3
Правило по умолчанию
*
Правило по умолчанию
*
Добавление Network ACL правила (Номера правил по умолчанию)
- Войдите в консоль управления.
- нажмите
в левом верхнем углу и выберите проект. - Нажмите
в левом верхнем углу и выберите Network > Virtual Private Cloud.Отображается страница Virtual Private Cloud.
- В панели навигации слева выберите Access Control > Network ACLs.
Отображается список network ACL.
- В списке network ACL найдите целевой network ACL и нажмите его имя.
Отображается страница сводки network ACL.
- На вкладке Inbound Rules или Outbound Rules нажмите Add Rule.
Отображается диалоговое окно Add Inbound Rule или Add Outbound Rule.
- Настройте необходимые параметры.
- Нажмите
, чтобы добавить дополнительные правила. - Найдите строку, содержащую правило network ACL, и нажмите Replicate в столбце Operation, чтобы реплицировать существующее правило.
Table 3 Описание параметровПараметр
Описание
Пример значения
Type
Network ACL type. Доступно два варианта:
- IPv4
- IPv6
IPv4
Action
action для network ACL правила. Доступно два варианта:
- Allow: разрешает совпадающий трафик входящий и исходящий из подсети.
- Deny: запрещает совпадающий трафик входящий и исходящий из подсети.
Allow
Protocol
Протокол, поддерживаемый network ACL для сопоставления трафика. Значение может быть TCP, UDP, или ICMP.
TCP
Source
Source, из которого трафик разрешается или отклоняется. Source может быть:
- IP address
- Один IP-адрес: IP address/mask
Пример IPv4-адреса: 192.168.10.10/32
Пример IPv6-адреса: 2002:50::44/128
- Диапазон IP-адресов в нотации CIDR: IP address/mask
Пример диапазона IPv4-адресов: 192.168.52.0/24
Пример диапазона IPv6-адресов: 2407:c080:802:469::/64
- Все IP-адреса
0.0.0.0/0 представляет все IPv4-адреса.
::/0 представляет все IPv6-адреса.
- Один IP-адрес: IP address/mask
- IP address group: Источник — IP address group. IP address group — это набор из одного или более IP-адресов. Вы можете выбрать доступный IP address group из drop-down list. IP address group может помочь управлять диапазонами IP-адресов и IP-адресами с одинаковыми требованиями к безопасности более удобным способом.
Либо источник, либо назначение правила network ACL может использовать IP address group. Например, если источник использует IP address group, адрес назначения не может использовать IP address group.
192.168.0.0/24
Source Port Range
Порты или диапазоны портов источника, используемые для сопоставления трафика. Значение находится в диапазоне от 1 до 65535.
Введите порты в следующем формате:
- Индивидуальный порт: Введите порт, например 22.
- Последовательные порты: Введите диапазон портов, например 22-30.
- Несмежные порты: Введите порты и диапазоны портов, например 22,24-30. Можно ввести не более 20 портов и диапазонов портов. Каждый диапазон портов должен быть уникальным.
- Все порты: Оставьте поле пустым или введите 1-65535.
22-30
Назначение
Назначение, к которому разрешён или запрещён трафик. Назначение может быть:
- IP-адрес
- Один IP-адрес: IP address/mask
Пример IPv4-адреса: 192.168.10.10/32
Пример IPv6-адреса: 2002:50::44/128
- Диапазон IP-адресов в нотации CIDR: IP address/mask
Пример диапазона IPv4-адресов: 192.168.52.0/24
Пример диапазона IPv6-адресов: 2407:c080:802:469::/64
- Все IP-адреса
0.0.0.0/0 представляет все IPv4-адреса.
::/0 представляет все IPv6-адреса.
- Один IP-адрес: IP address/mask
- IP address group: Назначение является группой IP address group. Группа IP address group — это набор из одного или более IP‑адресов. Вы можете выбрать доступную группу IP address group из выпадающего списка. Группа IP address group может помочь вам управлять диапазонами IP‑адресов и IP‑адресами с одинаковыми требованиями к безопасности более удобным способом.
Для правила network ACL источник или назначение могут использовать IP address group. Например, если источник использует IP address group, адрес назначения не может использовать IP address group.
0.0.0.0/0
Destination Port Range
Порты назначения или диапазоны портов, используемые для сопоставления трафика. Значение находится в диапазоне от 1 до 65535.
22-30
Description
Дополнительная информация о network ACL правиле. Этот параметр является необязательным.
Описание может содержать не более 255 символов и не может содержать угловые скобки (\u003c или \u003e).
N/A
- Нажмите
- Нажмите OK.
Вернитесь к списку правил, чтобы проверить новое правило.
- Правила получают номер в порядке их добавления, при этом правила с меньшими номерами сопоставляются раньше.
- Если статус нового правила Enabled, правило применяется.
Добавление Network ACL правила (Пользовательские номера правил)
- Войдите в консоль управления.
- Нажмите в левом верхнем углу и выберите проект.
- Нажмите
в левом верхнем углу и выберите Network > Virtual Private Cloud.Отображается страница Virtual Private Cloud.
- В панели навигации слева выберите Access Control > Network ACLs.
Отображается список network ACL.
- В списке network ACL найдите целевой network ACL и нажмите его имя.
Отображается страница сведений network ACL.
- Нажмите вкладку Inbound Rules или Outbound Rules и вставьте правило.
- Locate the target rule and choose More > Insert Rule Above in the Operation column. The new rule will be matched earlier than the current rule.
- Locate the target rule and choose More > Insert Rule Below in the Operation column. The new rule will be matched later than the current rule.