Configuration de règles de sécurité de réseau VCN pour le service de stockage de fichiers

Dans ce scénario, la cible de montage qui exporte le système de fichiers se trouve dans un sous-réseau différent de celui de l'instance vers laquelle vous voulez monter le système de fichiers. Les règles de sécurité doivent être configurées pour la cible de montage et l'instance dans une liste de sécurité pour chaque sous-réseau ou un groupe de sécurité de réseau pour chaque ressource.

Configurez les règles de sécurité suivantes pour la cible de montage. Spécifiez l'adresse IP ou le bloc CIDR de l'instance en tant que source pour les règles de trafic entrant :

• Trafic entrant avec état depuis le CIDR de l'instance source TOUS les ports sources vers les ports de destination 111, 2048, 2049 et 2050, protocole TCP.
• Trafic entrant avec état depuis le CIDR de l'instance source TOUS les ports sources vers les ports de destination 111 et 2048, protocole UDP.

Ensuite, configurez les règles de sécurité suivantes pour l'instance. Spécifiez l'adresse IP ou le bloc CIDR de la cible de montage en tant que destination pour les règles de trafic sortant :

• trafic sortant avec état depuis TOUS les ports sources vers les ports CIDR de la cible de montage de destination 111, 2048, 2049 et 2050, protocole TCP.
• trafic sortant avec état depuis TOUS les ports sources vers les ports CIDR de la cible de montage de destination 111 et 2048, protocole UDP.

Voici un exemple des règles de ce scénario configurées dans les règles de liste de sécurité pour l'instance et la cible de montage. Cet exemple présente les règles pour des blocs CIDR source et de destination spécifiques.

Règles de trafic entrant pour le NSG ou la liste de sécurité du sous-réseau de la cible de montage. Le bloc CIDR de l'instance 10.0.0.0/24 est la source :

Règles de trafic sortant pour le groupe de sécurité de réseau ou la liste de sécurité du sous-réseau de l'instance. Le bloc CIDR de la cible de montage 10.0.1.0/24 est la destination :

Dans ce scénario, la cible de montage qui exporte le système de fichiers se trouve dans le même sous-réseau que l'instance dans laquelle vous voulez monter le système de fichiers.

• Trafic entrant avec état depuis le CIDR de l'instance source TOUS les ports sources vers les ports de destination 111, 2048, 2049 et 2050, protocole TCP.
• Trafic entrant avec état depuis le CIDR de l'instance source TOUS les ports sources vers les ports de destination 111 et 2048, protocole UDP.
• trafic sortant avec état depuis TOUS les ports sources vers les ports CIDR de la cible de montage de destination 111, 2048, 2049 et 2050, protocole TCP.
• trafic sortant avec état depuis TOUS les ports sources vers les ports CIDR de la cible de montage de destination 111 et 2048, protocole UDP.

Voici un exemple de règles pour ce scénario configurées pour un sous-réseau unique qui contient à la fois la cible de montage et l'instance. Dans cet exemple, la cible de montage et l'instance se trouvent dans le bloc CIDR 10.0.0.0/24 :

Dans ce scénario, le chiffrement en transit protège des données entre des instances et des systèmes de fichiers montés à l'aide du chiffrement TLS v.1.2 (Transport Layer Security). Voir Utilisation du chiffrement TLS en transit pour plus d'informations.

Vous pouvez limiter la source à l'adresse IP ou au bloc CIDR de votre choix.

Configurez les règles de sécurité suivantes pour la cible de montage :

• Trafic entrant avec état à partir du CIDR source TOUS les ports sources vers le port de destination 2051, protocole TCP.

Voici un exemple de règle pour ce scénario configuré dans la liste de sécurité pour le groupe de sécurité de réseau ou le sous-réseau de la cible de montage. Cet exemple montre les règles pour le bloc CIDR source spécifique 10.0.0.0/24 en tant que source :

Dans ce scénario, le trafic entre une cible de montage et le port LDAPS d'un serveur LDAP est autorisé.

Vous pouvez limiter la source à l'adresse IP de la cible de montage et l'adresse IP de destination au sous-réseau de votre serveur LDAP.

Configurez les règles de sécurité suivantes pour la cible de montage :

• Trafic sortant avec état depuis TOUS les ports TCP vers l'adresse IP du serveur LDAP (ou le port CIDR correspondant) 636.
  Note
  
  Cette règle suppose que LDAPS utilise le port par défaut 636. Modifiez cette valeur si votre serveur LDAP utilise un port différent.

Si vous utilisez un serveur DNS géré par le client, la cible de montage nécessite également les règles de sécurité suivantes :

• Trafic sortant avec état depuis TOUS les ports TCP vers l'adresse IP du serveur DNS (ou le bloc CIDR correspondant) 53.
• Trafic sortant avec état depuis TOUS les ports UDP vers l'adresse IP du serveur DNS (ou le bloc CIDR correspondant) 53.

1. Ouvrez le menu de navigation , sélectionnez Service de réseau, puis Réseaux en nuage virtuels.

2. Dans la section Portée, sélectionnez le compartiment qui contient le réseau VCN dans lequel se trouve le sous-réseau.

3. Cliquez sur le nom du réseau en nuage virtuel.
4. Dans la page des détails du réseau en nuage, sous Ressources, cliquez sur Listes de sécurité.
5. Cliquez sur le nom de la liste de sécurité utilisée par le sous-réseau.
6. Sous Ressources, cliquez sur Règles de trafic entrant.

7. Cliquez sur Ajouter des règles de trafic entrant.

   • Indiquez qu'il s'agit d'une règle avec état en laissant la case à cocher vide. (Pour plus d'informations sur les règles avec et sans état, voir Règles avec état et règles sans état). Par défaut, les règles sont avec état, sauf indication contraire.
   • Pour autoriser le trafic provenant du sous-réseau du réseau en nuage, cliquez sur Type de source, sélectionnez CIDR, puis entrez le bloc CIDR pour le sous-réseau. Par exemple, 10.0.0.0/24.
   • Cliquez sur Protocole IP, puis sélectionnez le protocole. Par exemple, TCP.

   • Dans la zone Intervalle de ports sources, indiquez l'intervalle de ports depuis lequel vous voulez autoriser le trafic. Vous pouvez également accepter la valeur par défaut Tous pour autoriser le trafic provenant de n'importe quel port source.

   • Cliquez sur Intervalle de ports de destination, puis entrez des ports individuels ou un intervalle de ports. Par exemple, 2048-2050.
8. Cliquez sur + Règle de trafic entrant supplémentaire pour créer d'autres règles de trafic entrant.
9. Lorsque vous avez terminé, cliquez sur Ajouter des règles de trafic entrant.
10. Créez ensuite les règles de trafic sortant. Sous Ressources, cliquez sur Règles de trafic sortant.

11. Cliquez sur Ajouter des règles sortantes.

    • Indiquez qu'il s'agit d'une règle avec état en laissant la case à cocher vide.
    • Cliquez sur Type de destination, sélectionnez CIDR, puis entrez le bloc CIDR pour le sous-réseau. Par exemple, 10.0.0.0/24.
    • Cliquez sur Protocole IP, puis sélectionnez le protocole. Par exemple, TCP.

    • Cliquez sur Intervalle de ports sources, puis entrez des ports individuels ou un intervalle de ports. Par exemple, 2048-2050.

    • Sous Intervalle de ports de destination, acceptez la valeur par défaut Tous pour autoriser le trafic vers n'importe quel port de destination.
12. Cliquez sur + Règle sortante supplémentaire pour créer d'autres règles de trafic sortant.
13. Lorsque vous avez terminé, cliquez sur Ajouter des règles de trafic sortant.

Préalables : Se familiariser avec les éléments des règles de sécurité.

1. Ouvrez le menu de navigation , sélectionnez Service de réseau, puis Réseaux en nuage virtuels.
2. Cliquez sur le réseau VCN qui vous intéresse.
3. Sous Ressources, cliquez sur Groupes de sécurité de réseau.
4. Cliquez sur Créer un groupe de sécurité de réseau.

5. Entrez les informations suivantes :

   • Nom : Nom descriptif du groupe de sécurité de réseau. Il n'est pas nécessaire que le nom soit unique; vous pouvez le modifier plus tard. Évitez d'entrer des informations confidentielles.
   • Créer dans le compartiment : Compartiment où vous souhaitez créer le groupe de sécurité de réseau s'il est différent du compartiment dans lequel vous travaillez actuellement.
   • Show Tagging Options (Afficher les options de marquage) : Si vous êtes autorisé à créer une ressource, vous disposez également des autorisations nécessaires pour appliquer des marqueurs à structure libre à cette ressource. Pour appliquer un marqueur défini, vous devez être autorisé à utiliser l'espace de noms de marqueur. Pour plus d'informations sur le marquage, voir Marqueurs de ressource. Si vous ne savez pas si vous devez appliquer des marqueurs, ignorez cette option ou demandez à un administrateur. Vous pouvez appliquer des marqueurs plus tard.

6. Cliquez sur Suivant.

7. Indiquez les règles de trafic entrant.

   • Indiquez qu'il s'agit d'une règle avec état en laissant la case à cocher vide. (Pour plus d'informations sur les règles avec et sans état, voir Règles avec état et règles sans état). Par défaut, les règles sont avec état, sauf indication contraire.
   • Dans la zone Direction, sélectionnez Entrant.
   • Pour autoriser le trafic provenant du sous-réseau du réseau en nuage, cliquez sur Type de source, sélectionnez CIDR, puis entrez le bloc CIDR pour le sous-réseau. Par exemple, 10.0.0.0/24.
   • Cliquez sur Protocole IP, puis sélectionnez le protocole. Par exemple, TCP.

   • Dans la zone Intervalle de ports sources, indiquez l'intervalle de ports depuis lequel vous voulez autoriser le trafic. Vous pouvez également accepter la valeur par défaut Tous pour autoriser le trafic provenant de n'importe quel port source.

   • Cliquez sur Intervalle de ports de destination, puis entrez des ports individuels ou un intervalle de ports. Par exemple, 2048-2050.
8. Cliquez sur + Une autre règle pour créer d'autres règles de trafic entrant.

9. Entrez des règles de trafic sortant.

   • Indiquez qu'il s'agit d'une règle avec état en laissant la case à cocher vide.
   • Dans la zone Direction, sélectionnez Sortant.
   • Cliquez sur Type de destination, sélectionnez CIDR, puis entrez le bloc CIDR pour le sous-réseau. Par exemple, 10.0.0.0/24.
   • Cliquez sur Protocole IP, puis sélectionnez le protocole. Par exemple, TCP.

   • Cliquez sur Intervalle de ports sources, puis entrez des ports individuels ou un intervalle de ports. Par exemple, 2048-2050.

   • Sous Intervalle de ports de destination, acceptez la valeur par défaut Tous pour autoriser le trafic vers n'importe quel port de destination.
10. Cliquez sur + Une autre règle pour créer d'autres règles de trafic sortant.
11. Lorsque vous avez terminé, cliquez sur Créer.

• Lors de la création d'une cible de montage avec un système de fichiers : Voir Création d'un système de fichiers.
• Lors de la création d'une seule cible de montage : Voir Création d'une cible de montage.

• Pour une cible de montage existante :

  1. Ouvrez le menu de navigation et sélectionnez Stockage. Sous Stockage de fichiers, sélectionnez Cibles de montage.

  2. Dans la section Portée de la liste, sélectionnez un compartiment.

  3. Trouvez la cible de montage qui vous intéresse, cliquez sur le menu Actions (trois points), puis sur Voir les détails de la cible de montage.

  4. Dans l'onglet Informations sur la cible de montage, cliquez sur le lien Modifier à côté de Groupes de sécurité de réseau.

  5. Sélectionnez un compartiment et un groupe de sécurité de réseau dans la liste.
  6. Cliquez sur Enregistrer.

Voir Ajout ou suppression d'une ressource d'un groupe de sécurité de réseau pour des instructions expliquant comment ajouter une instance à un groupe de sécurité de réseau.