Configuration des règles de sécurité de réseaux cloud virtuels pour File Storage

Dans ce scénario, la cible de montage qui exporte le système de fichiers se trouve sur un sous-réseau différent de celui de l'instance sur laquelle vous voulez monter le système de fichiers. Les règles de sécurité doivent être configurées à la fois pour la cible de montage et pour l'instance dans une liste de sécurité pour chaque sous-réseau ou dans un groupe de sécurité réseau pour chaque ressource.

Configurez les règles de sécurité suivantes pour la cible de montage. Indiquez le bloc CIDR ou l'adresse IP de l'instance comme source pour les règles entrantes :

• Entrante avec état à partir de TOUS les ports source de l'instance source CIDR vers les ports de destination 111, 2048, 2049 et 2050, protocole TCP
• Entrée avec état à partir de CIDR d'instance source vers les ports de destination 111 et 2048, protocole UDP

Ensuite, configurez les règles de sécurité suivantes pour l'instance. Indiquez le bloc CIDR ou l'adresse IP de la cible de montage comme destination pour les règles sortantes :

• Sortie avec conservation de statut de tous les ports source vers le protocole TCP des ports CIDR de cible de montage de destination 111, 2048, 2049 et 2050
• Sortie avec état à partir de TOUS les ports source vers les ports CIDR de cible de montage de destination 111 et 2048, protocole UDP

Voici un exemple de règles pour cette configuration de scénario dans les règles de liste de sécurité pour l'instance et la cible de montage. Cet exemple présente les règles pour des blocs CIDR source et de destination spécifiques.

Règles entrantes pour la liste de sécurité de sous-réseau ou de groupe de sécurité réseau de la cible de montage. Le bloc CIDR de l'instance 10.0.0.0/24 est la source :

Règles sortantes pour la liste de sécurité de sous-réseau ou de groupe de sécurité réseau de l'instance. Le bloc CIDR de la cible de montage 10.0.1.0/24 est la destination :

Dans ce scénario, la cible de montage qui exporte le système de fichiers se trouve sur le même sous-réseau que l'instance sur laquelle vous voulez monter le système de fichiers.

• Entrante avec état à partir de TOUS les ports source de l'instance source CIDR vers les ports de destination 111, 2048, 2049 et 2050, protocole TCP
• Entrée avec état à partir de CIDR d'instance source vers les ports de destination 111 et 2048, protocole UDP
• Sortie avec conservation de statut de tous les ports source vers le protocole TCP des ports CIDR de cible de montage de destination 111, 2048, 2049 et 2050
• Sortie avec état à partir de TOUS les ports source vers les ports CIDR de cible de montage de destination 111 et 2048, protocole UDP

Voici un exemple de règles pour la configuration de ce scénario pour un seul sous-réseau contenant à la fois la cible de montage et l'instance. Dans cet exemple, la cible de montage et l'instance se trouvent dans le bloc CIDR 10.0.0.0/24 :

Dans ce scénario, le cryptage en transit sécurise les données entre les instances et les systèmes de fichiers montés à l'aide du cryptage TLS version 1.2 (Transport Layer Security). Pour plus d'informations, reportez-vous à Utilisation du cryptage TLS en transit.

Vous pouvez limiter la source à l'adresse IP ou au bloc CIDR de votre choix.

Configurez les règles de sécurité suivantes pour la cible de montage :

• Entrante avec conservation de statut à partir de tous les ports source CIDR source vers le port de destination 2051, protocole TCP.

Voici un exemple de règle pour ce scénario configuré dans la liste de sécurité pour le sous-réseau ou le groupe de sécurité réseau de la cible de montage. Cet exemple montre les règles pour le bloc CIDR source spécifique 10.0.0.0/24 en tant que source :

Dans ce scénario, le trafic entre une cible de montage et le port LDAPS d'un serveur LDAP est autorisé.

Vous pouvez limiter la source à l'adresse IP de la cible de montage et l'adresse IP de destination au sous-réseau de votre serveur LDAP.

Configurez les règles de sécurité suivantes pour la cible de montage :

• Sortie avec conservation de statut à partir de TOUS les ports TCP vers le port IP de serveur LDAP (ou CIDR correspondant) 636.
  Remarque
  
  Cette règle suppose que LDAPS utilise le port par défaut 636. Modifiez cette valeur si votre serveur LDAP utilise un autre port.

Si vous utilisez un serveur DNS géré par le client, la cible de montage a également besoin des règles de sécurité suivantes :

• Sortie avec conservation de statut à partir de TOUS les ports TCP vers le port IP de serveur DNS (ou CIDR correspondant) 53.
• Sortie avec conservation de statut à partir de TOUS les ports UDP vers le port IP de serveur DNS (ou CIDR correspondant) 53.

1. Ouvrez le menu de navigation , sélectionnez Fonctions de réseau, puis Réseaux cloud virtuels.

2. Dans la section Portée, sélectionnez le compartiment contenant le réseau cloud virtuel auquel appartient le sous-réseau.

3. Cliquez sur le nom du réseau cloud virtuel.
4. Sur la page de détails du réseau cloud, dans Ressources, cliquez sur Listes de sécurité.
5. Cliquez sur le nom de la liste de sécurité utilisée par le sous-réseau.
6. Dans Ressources, cliquez sur Règles entrantes.

7. Cliquez sur Ajouter des règles entrantes.

   • Indiquez qu'il s'agit d'une règle avec conservation de statut en laissant la case à cocher désélectionnée. (Pour plus d'informations sur les règles avec et sans conservation de statut, reportez-vous à Règles avec conservation de statut et sans conservation de statut.) Par défaut, les règles sont avec conservation de statut, sauf indication contraire.
   • Pour autoriser le trafic à partir du sous-réseau du réseau cloud, cliquez sur Type de source, sélectionnez CIDR, puis entrez le bloc CIDR pour le sous-réseau. Par exemple : 10.0.0.0/24.
   • Cliquez sur Protocole IP, puis choisissez le protocole. Par exemple, TCP.

   • Dans Plage de ports source, indiquez la plage de ports à partir de laquelle le trafic doit être autorisé. Vous pouvez également accepter la valeur par défaut Tous pour autoriser le trafic à partir de n'importe quel port source.

   • Cliquez sur Plage de ports de destination, puis entrez des ports individuels ou une plage de ports. Par exemple, 2048-2050.
8. Cliquez sur + Règle entrante supplémentaire pour créer d'autres règles entrantes.
9. Lorsque vous avez terminé, cliquez sur Ajouter des règles entrantes.
10. Ensuite, créez les règles sortantes. Dans Ressources, cliquez sur Règles sortantes.

11. Cliquez sur Ajouter des règles sortantes.

    • Indiquez qu'il s'agit d'une règle avec conservation de statut en laissant la case à cocher désélectionnée.
    • Cliquez sur Type de destination, sélectionnez CIDR, puis entrez le bloc CIDR pour le sous-réseau. Par exemple : 10.0.0.0/24.
    • Cliquez sur Protocole IP, puis choisissez le protocole. Par exemple, TCP.

    • Dans Plage de ports source, entrez des ports individuels ou une plage de ports. Par exemple, 2048-2050.

    • Dans Plage de ports de destination, acceptez la valeur par défaut Tous pour autoriser le trafic vers n'importe quel port de destination.
12. Cliquez sur + Règle sortante supplémentaire pour créer d'autres règles sortantes.
13. Lorsque vous avez terminé, cliquez sur Ajouter des règles sortantes.

Prérequis : familiarisez-vous avec les parties des règles de sécurité.

1. Ouvrez le menu de navigation , sélectionnez Fonctions de réseau, puis Réseaux cloud virtuels.
2. Cliquez sur le réseau cloud virtuel qui vous intéresse.
3. Sous Ressources, cliquez sur Groupes de sécurité réseau.
4. Cliquez sur Créer un groupe de sécurité réseau.

5. Entrez les informations suivantes :

   • Nom : nom descriptif du groupe de sécurité réseau. Le nom n'a pas besoin d'être unique et vous pouvez le modifier ultérieurement. Evitez de saisir des informations confidentielles.
   • Créer dans le compartiment : compartiment dans lequel créer le groupe de sécurité réseau, s'il est différent du compartiment dans lequel vous travaillez actuellement.
   • Afficher les options de balisage : si vous êtes autorisé à créer une ressource, vous disposez également des droits d'accès nécessaires pour lui appliquer des balises à forme libre. Pour appliquer une balise defined, vous devez être autorisé à utiliser la balise namespace. Pour plus d'informations sur le balisage, reportez-vous à Balises de ressource. Si vous n'êtes pas sûr d'appliquer des balises, ignorez cette option ou demandez à un administrateur. Vous pouvez appliquer des balises ultérieurement.

6. Cliquez sur Suivant.

7. Entrez les règles entrantes.

   • Indiquez qu'il s'agit d'une règle avec conservation de statut en laissant la case à cocher désélectionnée. (Pour plus d'informations sur les règles avec et sans conservation de statut, reportez-vous à Règles avec conservation de statut et sans conservation de statut.) Par défaut, les règles sont avec conservation de statut, sauf indication contraire.
   • Dans Direction, choisissez Entrée.
   • Pour autoriser le trafic à partir du sous-réseau du réseau cloud, cliquez sur Type de source, sélectionnez CIDR, puis entrez le bloc CIDR pour le sous-réseau. Par exemple : 10.0.0.0/24.
   • Cliquez sur Protocole IP, puis choisissez le protocole. Par exemple, TCP.

   • Dans Plage de ports source, indiquez la plage de ports à partir de laquelle le trafic doit être autorisé. Vous pouvez également accepter la valeur par défaut Tous pour autoriser le trafic à partir de n'importe quel port source.

   • Cliquez sur Plage de ports de destination, puis entrez des ports individuels ou une plage de ports. Par exemple, 2048-2050.
8. Cliquez sur + Une autre règle pour créer d'autres règles entrantes.

9. Entrez les règles sortantes.

   • Indiquez qu'il s'agit d'une règle avec conservation de statut en laissant la case à cocher désélectionnée.
   • Dans Direction, choisissez Sortie.
   • Cliquez sur Type de destination, sélectionnez CIDR, puis entrez le bloc CIDR pour le sous-réseau. Par exemple : 10.0.0.0/24.
   • Cliquez sur Protocole IP, puis choisissez le protocole. Par exemple, TCP.

   • Dans Plage de ports source, entrez des ports individuels ou une plage de ports. Par exemple, 2048-2050.

   • Dans Plage de ports de destination, acceptez la valeur par défaut Tous pour autoriser le trafic vers n'importe quel port de destination.
10. Cliquez sur + Une autre règle pour créer d'autres règles sortantes.
11. Lorsque vous avez terminé, cliquez sur Créer.

• Lors de la création d'une cible de montage avec un système de fichiers, reportez-vous à Création d'un système de fichiers.
• Lors de la création de la cible de montage : reportez-vous à Création d'une cible de montage.

• Pour une cible de montage existante :

  1. Ouvrez le menu de navigation et sélectionnez Stockage. Sous File Storage, sélectionnez Cibles de montage.

  2. Dans la section Portée de la liste, sélectionnez un compartiment.

  3. Recherchez la source de montage qui vous intéresse, cliquez sur le menu Actions (trois points), puis sur Visualiser les détails de cette cible.

  4. Dans l'onglet Informations sur la cible de montage, cliquez sur le lien Modifier en regard de Groupes de sécurité réseau.

  5. Sélectionnez un compartiment et un groupe de sécurité réseau dans la liste.
  6. Cliquez sur Enregistrer.

Reportez-vous à Ajout ou suppression d'une ressource dans un groupe de sécurité réseau pour obtenir des instructions sur l'ajout d'une instance à un groupe de sécurité réseau.