VCN-Sicherheitsregeln für File Storage konfigurieren

In diesem Szenario befindet sich das Mountziel, das das Dateisystem exportiert, in einem anderen Subnetz als die Instanz, in die Sie das Dateisystem mounten möchten. Sicherheitsregeln müssen sowohl für das Mountziel als auch für die Instanz in einer Sicherheitsliste für jedes Subnetz oder in einer Netzwerksicherheitsgruppe (NSG) für jede Ressource konfiguriert werden.

Richten Sie die folgenden Sicherheitsregeln für das Mountziel ein. Geben Sie die IP-Adresse der Instanz oder den CIDR-Block als Quelle für Ingress-Regeln an:

• Vom CIDR der Quellinstanz werden alle Quellports zu den Zielports 111, 2048, 2049 und 2050, dem TCP-Protokoll, zustandsbehaftet ingressiert.
• Ingress von Quellinstanz-CIDR ALLE Quellports zu den Zielports 111 und 2048, UDP-Protokoll.

Richten Sie als Nächstes die folgenden Sicherheitsregeln für die Instanz ein. Geben Sie die IP-Adresse oder den CIDR-Block des Mount-Ziels als Ziel für Egress-Regeln an:

• Der zustandsbehaftete Egress-Traffic von allen Quellports zu den CIDR-Ports des Ziels 111, 2048, 2049 und 2050, dem TCP-Protokoll.
• Der zustandslose Egress-Traffic von allen Quellports zu den Ziel-Mountziel-CIDR-Ports 111 und 2048, dem UDP-Protokoll.

Im Folgenden finden Sie ein Beispiel der Regeln für dieses Szenario, die in den Sicherheitslistenregeln für die Instanz und das Mountziel eingerichtet sind. Dieses Beispiel zeigt Regeln für bestimmte Quell- und Ziel-CIDR-Blöcke.

ingress-Regeln für die NSG oder Subnetzsicherheitsliste des mount-Ziels. Der Instanz-CIDR-Block 10.0.0.0/24 ist die Quelle:

Egress-Regeln für die NSG oder Subnetzsicherheitsliste der Instanz. Der Mountziel -CIDR-Block 10.0.1.0/24 ist das Ziel:

In diesem Szenario befindet sich das Mount-Ziel, das das Dateisystem exportiert, im selben Subnetz wie die Instanz, in die Sie das Dateisystem mounten möchten.

• Vom CIDR der Quellinstanz werden alle Quellports zu den Zielports 111, 2048, 2049 und 2050, dem TCP-Protokoll, zustandsbehaftet ingressiert.
• Ingress von Quellinstanz-CIDR ALLE Quellports zu den Zielports 111 und 2048, UDP-Protokoll.
• Der zustandsbehaftete Egress-Traffic von allen Quellports zu den CIDR-Ports des Ziels 111, 2048, 2049 und 2050, dem TCP-Protokoll.
• Der zustandslose Egress-Traffic von allen Quellports zu den Ziel-Mountziel-CIDR-Ports 111 und 2048, dem UDP-Protokoll.

Im Folgenden finden Sie ein Beispiel für die Regeln für dieses Szenario, die für ein einzelnes Subnetz eingerichtet sind, das sowohl das Mountziel als auch die Instanz enthält. In diesem Beispiel befinden sich sowohl das Mountziel als auch die Instanz im CIDR-Block 10.0.0.0/24:

In diesem Szenario werden Daten zwischen Instanzen und gemounteten Dateisystemen durch die Verschlüsselung von TLS v.1.2 (Transport Layer Security) gesichert. Weitere Informationen finden Sie unter Using In-Transit TLS Encryption.

Sie können die Quelle auf die IP-Adresse oder den CIDR-Block Ihrer Wahl begrenzen.

Richten Sie die folgenden Sicherheitsregeln für das Mountziel ein:

• Zustandsvoller Ingress von Quell-CIDR allen Quellports zum Zielport 2051, TCP-Protokoll.

Im Folgenden finden Sie ein Beispiel für die Regel für dieses Szenario, die in der Sicherheitsliste für die NSG oder das Subnetz des Mountziels eingerichtet ist. Das folgende Beispiel zeigt Regeln für den spezifischen Quell-CIDR-Block 10.0.0.0/24 als Quelle:

In diesem Szenario ist der Datenverkehr zwischen einem Mountziel und dem LDAPS-Port eines LDAP-Servers zulässig.

Sie können die Quelle auf die IP-Adresse des Mountziels und die IP-Zieladresse im Subnetz des LDAP-Servers begrenzen.

Richten Sie die folgenden Sicherheitsregeln für das Mountziel ein:

• Zustandsbehafteter Egress-Traffic von TCP ALL-Ports zu LDAP-Server-IP (oder dem entsprechenden CIDR-Port 636).
  Hinweis
  
  Bei dieser Regel wird davon ausgegangen, dass LDAPS den Standardport 636 verwendet. Ändern Sie diesen Wert, wenn Ihr LDAP-Server einen anderen Port verwendet.

Wenn Sie einen vom Kunden verwalteten DNS-Server verwenden, benötigt das Mountziel auch die folgenden Sicherheitsregeln:

• Zustandsbehafteter Egress-Traffic von TCP ALL-Ports zu DNS-Server-IP (oder dem entsprechenden CIDR-Port 53).
• Zustandsbehafteter Egress-Traffic von UDP ALL-Ports zu DNS-Server-IP (oder dem entsprechenden CIDR-Port 53).

1. Öffnen Sie das Navigationsmenü , und wählen Sie Networking aus. Wählen Sie dann Virtuelle Cloud-Netzwerke aus.

2. Wählen Sie im Abschnitt Geltungsbereich das Compartment mit dem VCN aus, in dem sich das Subnetz befindet.

3. Klicken Sie auf den Namen des VCN.
4. Klicken Sie auf der Detailseite für das Cloud-Netzwerk unter Ressourcen auf Sicherheitslisten.
5. Klicken Sie auf den Namen der Sicherheitsliste, die vom Subnetz verwendet wird.
6. Klicken Sie unter Ressourcen auf Ingress-Regeln.

7. Klicken Sie auf Ingress-Regeln hinzufügen.

   • Geben Sie an, dass es sich um eine zustandsbehaftete Regel handelt, indem Sie das Kontrollkästchen nicht aktivieren. (Weitere Informationen zu zustandsbehafteten und zustandslosen Regeln finden Sie unter Zustandsbehaftete und zustandslose Regeln). Standardmäßig sind Regeln zustandsbehaftet, es sei denn, Sie geben etwas anderes an.
   • Um Traffic aus dem Subnetz des Cloud-Netzwerks zuzulassen, klicken Sie auf Quelltyp, wählen Sie CIDR aus, und geben Sie dann den CIDR-Block für das Subnetz ein. Beispiel: 10.0.0.0/24.
   • Klicken Sie auf IP-Protokoll, und wählen Sie das Protokoll aus. Beispiel: TCP.

   • Geben Sie unter Quellportbereich die Portbereiche an, von denen Sie Traffic zulassen möchten. Sie können auch den Standardwert Alle akzeptieren, um Traffic von jedem Quellport zuzulassen.

   • Klicken Sie auf Zielportbereich, und geben Sie einzelne Ports oder einen Portbereich ein. Beispiel: 2048-2050.
8. Klicken Sie auf + Zusätzliche Ingress-Regel, um weitere Ingress-Regeln zu erstellen.
9. Klicken Sie anschließend auf Ingress-Regeln hinzufügen.
10. Erstellen Sie als Nächstes die Egress-Regeln. Klicken Sie unter Ressourcen auf Egress-Regeln.

11. Klicken Sie auf Egress-Regeln hinzufügen.

    • Geben Sie an, dass es sich um eine zustandsbehaftete Regel handelt, indem Sie das Kontrollkästchen nicht aktivieren.
    • Klicken Sie auf Zieltyp, wählen Sie CIDR aus, und geben Sie dann den CIDR-Block für das Subnetz ein. Beispiel: 10.0.0.0/24.
    • Klicken Sie auf IP-Protokoll, und wählen Sie das Protokoll aus. Beispiel: TCP.

    • Geben Sie unter Quellportbereich einzelne Ports oder einen Portbereich ein. Beispiel: 2048-2050.

    • Übernehmen Sie unter Zielportbereich den Standardwert Alle, um Traffic an jeden Zielport zuzulassen.
12. Klicken Sie auf + Zusätzliche Egress-Regel, um weitere Egress-Regeln zu erstellen.
13. Klicken Sie anschließend auf Egress-Regeln hinzufügen.

Voraussetzung: Machen Sie sich mit den Bestandteilen von Sicherheitsregeln vertraut.

1. Öffnen Sie das Navigationsmenü , und wählen Sie Networking aus. Wählen Sie dann Virtuelle Cloud-Netzwerke aus.
2. Klicken Sie auf das gewünschte VCN.
3. Klicken Sie unter Ressourcen auf Netzwerksicherheitsgruppen.
4. Klicken Sie auf Netzwerksicherheitsgruppe erstellen.

5. Geben Sie Folgendes ein:

   • Name: Ein beschreibender Name für die Netzwerksicherheitsgruppe. Der Name muss nicht eindeutig sein und kann später geändert werden. Geben Sie keine vertraulichen Informationen ein.
   • Erstellen in Compartment: Das Compartment, in dem Sie die Netzwerksicherheitsgruppe erstellen möchten, wenn es sich von dem Compartment unterscheidet, in dem Sie derzeit arbeiten.
   • Taggingoptionen anzeigen: Wenn Sie Berechtigungen zum Erstellen einer Ressource haben, sind Sie auch berechtigt, Freiformtags auf diese Ressource anzuwenden. Um ein definiertes Tag anzuwenden, müssen Sie über die Berechtigungen verfügen, den Tag-Namespace zu verwenden. Weitere Informationen zum Tagging finden Sie unter Ressourcentags. Wenn Sie nicht sicher sind, ob Sie Tags anwenden sollen, überspringen Sie diese Option, oder fragen Sie einen Administrator. Sie können Tags später anwenden.

6. Klicken Sie auf Weiter.

7. Geben Sie Ingress-Regeln ein.

   • Geben Sie an, dass es sich um eine zustandsbehaftete Regel handelt, indem Sie das Kontrollkästchen nicht aktivieren. (Weitere Informationen zu zustandsbehafteten und zustandslosen Regeln finden Sie unter Zustandsbehaftete und zustandslose Regeln). Standardmäßig sind Regeln zustandsbehaftet, es sei denn, Sie geben etwas anderes an.
   • Wählen Sie unter Richtung die Option Ingress aus.
   • Um Traffic aus dem Subnetz des Cloud-Netzwerks zuzulassen, klicken Sie auf Quelltyp, wählen Sie CIDR aus, und geben Sie dann den CIDR-Block für das Subnetz ein. Beispiel: 10.0.0.0/24.
   • Klicken Sie auf IP-Protokoll, und wählen Sie das Protokoll aus. Beispiel: TCP.

   • Geben Sie unter Quellportbereich die Portbereiche an, von denen Sie Traffic zulassen möchten. Sie können auch den Standardwert Alle akzeptieren, um Traffic von jedem Quellport zuzulassen.

   • Klicken Sie auf Zielportbereich, und geben Sie einzelne Ports oder einen Portbereich ein. Beispiel: 2048-2050.
8. Klicken Sie auf + Weitere Regel, um weitere Ingress-Regeln zu erstellen.

9. Geben Sie Egress-Regeln ein.

   • Geben Sie an, dass es sich um eine zustandsbehaftete Regel handelt, indem Sie das Kontrollkästchen nicht aktivieren.
   • Wählen Sie unter Richtung die Option Egress aus.
   • Klicken Sie auf Zieltyp, wählen Sie CIDR aus, und geben Sie dann den CIDR-Block für das Subnetz ein. Beispiel: 10.0.0.0/24.
   • Klicken Sie auf IP-Protokoll, und wählen Sie das Protokoll aus. Beispiel: TCP.

   • Geben Sie unter Quellportbereich einzelne Ports oder einen Portbereich ein. Beispiel: 2048-2050.

   • Übernehmen Sie unter Zielportbereich den Standardwert Alle, um Traffic an jeden Zielport zuzulassen.
10. Klicken Sie auf + Weitere Regel, um weitere Egress-Regeln zu erstellen.
11. Wenn Sie fertig sind, klicken Sie auf Erstellen.

• Informationen zum Erstellen von Mountzielen und Dateisystemen finden Sie unter Dateisystem erstellen.
• Wenn Sie nur das Mount-Ziel erstellen: Siehe Mountziel erstellen.

• Bei einem vorhandenen Mountziel:

  1. Öffnen Sie das Navigationsmenü , und wählen Sie Speicher aus. Wählen Sie unter File Storage die Option Mountziele aus.

  2. Wählen Sie im Abschnitt Listengeltungsbereich ein Compartment aus.

  3. Suchen Sie das gewünschte Mountziel. Klicken Sie auf das Menü "Aktionen" () und dann auf Mountzieldetails anzeigen.

  4. Klicken Sie in der Registerkarte Informationen zu Mountziel neben Netzwerksicherheitsgruppen auf den Link Bearbeiten.

  5. Wählen Sie ein Compartment und eine NSG in der Liste aus.
  6. Klicken Sie auf Speichern.

Anweisungen zum Hinzufügen einer Instanz zu einer NSG finden Sie unter Ressource zu einer NSG hinzufügen oder daraus entfernen.