Regole di sicurezza

Informazioni sulle VNIC e sulle risorse padre

Una VNIC è un componente del servizio di networking necessario per una risorsa in rete, ad esempio un'istanza di computazione, per connettersi a una rete cloud virtuale (VCN). La VNIC influisce sul modo in cui l'istanza si connette agli endpoint all'interno e all'esterno della VCN. Ogni VNIC risiede in una subnet in una VCN.

Quando crei un'istanza di computazione, viene creata automaticamente una VNIC per l'istanza nella subnet dell'istanza. L'istanza viene considerata la risorsa padre per la VNIC. Puoi aggiungere altre VNIC (secondarie) a un'istanza di computazione. Per questo motivo, le VNIC di un'istanza vengono visualizzate in modo prominente come parte delle risorse correlate di un'istanza di computazione nella console.

Anche altri tipi di risorse padre determinano la creazione automatica di una VNIC. Ad esempio, quando crei un load balancer, il servizio Load balancer crea automaticamente VNIC per il bilanciamento del traffico nel set backend. Inoltre, quando crei un sistema DB, il servizio di database crea automaticamente le VNIC come nodi del sistema DB. Tali servizi creano e gestiscono tali VNIC per l'utente. Per questo motivo, queste VNIC non sono così ovvie nella console allo stesso modo delle VNIC per le istanze di computazione.

Per utilizzare un gruppo NSG, inserisci attivamente le VNIC nel gruppo, una VNIC non fa mai parte di un gruppo NSG perché si trova in una determinata subnet. Tuttavia, in genere si lavora con la risorsa padre quando si aggiunge una VNIC al gruppo, non con la VNIC stessa. Ad esempio, quando crei un'istanza di computazione, puoi facoltativamente specificare un gruppo NSG per l'istanza. Sebbene l'istanza venga inserita concettualmente nel gruppo, si sta inserendo la VNIC primaria dell'istanza nel gruppo di sicurezza di rete. Le regole di sicurezza del gruppo si applicano a tale VNIC, non all'istanza. Inoltre, se aggiungi una VNIC secondaria all'istanza, puoi facoltativamente specificare un NSG per tale VNIC e le regole si applicano a tale VNIC, non all'istanza. Tenere presente che tutte le VNIC in un gruppo NSG devono trovarsi nella stessa VCN a cui appartiene il gruppo NSG.

Allo stesso modo, quando inserisci un load balancer in un gruppo di sicurezza di rete, concettualmente inserisci il load balancer nel gruppo. Tecnicamente stai inserendo le VNIC gestite dal servizio Load Balancer nel gruppo di sicurezza di rete.

È possibile gestire l'appartenenza alla VNIC di un gruppo NSG alla risorsa padre e non al gruppo NSG stesso. Ad esempio, per aggiungere una risorsa padre a un gruppo NSG, è possibile eseguire l'azione sulla risorsa padre specificando a quali gruppi NSG viene aggiunta la risorsa padre. Non si esegue l'azione sul gruppo NSG (specificando quali VNIC o risorse padre aggiungere al gruppo NSG). Analogamente, per rimuovere una VNIC da un gruppo NSG, eseguire tale azione aggiornando la risorsa padre, non il gruppo NSG. Ad esempio, per aggiungere una VNIC di un'istanza di computazione esistente a un gruppo NSG, è necessario aggiornare le proprietà della VNIC e specificare il gruppo NSG. Ad esempio, con l'API REST, si chiama UpdateVnic. Nella console è possibile visualizzare l'istanza, quindi la VNIC di interesse, quindi modificare le proprietà della VNIC.

Per un elenco delle risorse padre che supportano l'uso dei gruppi di sicurezza di rete, vedere Supporto per i gruppi di sicurezza di rete.

Gruppo di sicurezza rete come origine o destinazione di una regola

Una differenza importante nel modo in cui è possibile scrivere regole di sicurezza per i gruppi NSG rispetto alle liste di sicurezza: quando si scrivono regole per un gruppo NSG, è possibile specificare un gruppo NSG come origine del traffico (per le regole di entrata) o destinazione del traffico (per le regole di uscita). Per risolvere questo problema, utilizzare le regole della lista di sicurezza, in cui è possibile specificare un CIDR come origine o destinazione.

La possibilità di specificare un gruppo NSG significa che è possibile scrivere facilmente regole per controllare il traffico tra due gruppi NSG diversi. I gruppi NSG devono trovarsi nella stessa VCN.

Inoltre, per controllare il traffico tra le VNIC in un gruppo NSG specifico, è possibile scrivere regole che specificano il GNS della regola come origine (per le regole di entrata) o destinazione (per le regole di uscita).

Per ulteriori informazioni, vedere Panoramica dei gruppi di sicurezza di rete.

Differenze API REST

Il modello API REST per i gruppi NSG presenta alcune differenze di base rispetto alle liste di sicurezza. Per ulteriori informazioni, vedere Utilizzo dell'interfaccia API.

Regole predefinite

Una VCN viene fornita automaticamente con una lista di sicurezza predefinita che contiene diverse regole di sicurezza predefinite che consentono di iniziare a utilizzare il servizio di networking. Quando crei una subnet, la lista di sicurezza predefinita viene associata alla subnet a meno che non specifichi una lista di sicurezza personalizzata già creata nella VCN.

In confronto, la VCN non dispone di un gruppo di sicurezza di rete predefinito.

Limiti

Le due caratteristiche hanno limiti diversi. Per esaminare un elenco dei limiti applicabili e le istruzioni per richiedere un incremento del limite, consulta i limiti del servizio.

Usa gruppi di sicurezza di rete

Si consiglia di utilizzare i gruppi NSG per i componenti che hanno tutti la stessa postura di sicurezza. Ad esempio, in un'architettura multilivello, è necessario disporre di un gruppo NSG separato per ogni livello. Le VNIC di un livello appartenerebbero tutte al gruppo NSG di quel livello. All'interno di un livello specifico, è possibile che si disponga di un sottoinsieme specifico delle VNIC del livello con requisiti di sicurezza speciali aggiuntivi. Pertanto, è necessario creare un altro gruppo NSG per tali regole aggiuntive e inserire tale sottoinsieme di VNIC sia nel gruppo NSG del livello che nel gruppo NSG aggiuntivo.

Oracle consiglia inoltre di utilizzare i gruppi NSG perché Oracle dà la priorità ai gruppi NSG rispetto alle liste di sicurezza durante l'implementazione di miglioramenti futuri.

Acquisire familiarità con le regole predefinite degli elenchi di sicurezza

Una VCN viene fornita automaticamente con una lista di sicurezza predefinita che contiene diverse regole di sicurezza predefinite che consentono di iniziare a utilizzare il servizio di networking. Queste regole esistono perché abilitano la connettività di base. Anche se non si utilizzano le liste di sicurezza o la lista di sicurezza predefinita, acquisire familiarità con le regole in modo da comprendere meglio i tipi di traffico richiesti dalle risorse cloud in rete. È possibile utilizzare tali regole nei gruppi NSG o in qualsiasi lista di sicurezza personalizzata impostata.

La lista di sicurezza predefinita non include regole per abilitare il ping. Se è necessario utilizzare il ping, vedere Regole per abilitare il ping.

Non eliminare regole di sicurezza predefinite in modo non discriminatorio

Una VCN potrebbe disporre di subnet che utilizzano la lista di sicurezza predefinita per impostazione predefinita. Non eliminare alcuna regola di sicurezza predefinita della lista a meno che non si sia verificato per la prima volta che le risorse nella VCN non le richiedono. In caso contrario, potresti interrompere la connettività della VCN.

Verificare che le regole del firewall del sistema operativo siano allineate alle regole di sicurezza

sudo firewall-cmd --zone=public --permanent --add-port=1521/tcp
								
sudo firewall-cmd --reload

Utilizzare le metriche VNIC per risolvere i problemi relativi ai pacchetti eliminati a causa delle regole di sicurezza

Il servizio di networking offre metriche per le VNIC, che mostrano i livelli di traffico VNIC (pacchetti e byte). Due delle metriche riguardano i pacchetti in entrata e in uscita che violano le regole di sicurezza e vengono pertanto eliminati. È possibile utilizzare queste metriche per risolvere i problemi relativi alle regole di sicurezza e se le VNIC ricevono il traffico appropriato.

Regole con conservazione dello stato

Se si contrassegna una regola di sicurezza come con conservazione dello stato, significa che si desidera utilizzare il monitoraggio della connessione per qualsiasi traffico corrispondente a tale regola. Ciò significa che quando un'istanza riceve traffico corrispondente alla regola di entrata con conservazione dello stato, la risposta viene tracciata e restituita automaticamente all'host di origine, indipendentemente dalle regole di uscita applicabili all'istanza. Inoltre, quando un'istanza invia traffico che corrisponde a una regola di uscita con conservazione dello stato, la risposta in entrata viene consentita automaticamente, indipendentemente dalle regole di entrata.

Ad esempio, è possibile disporre di una regola di sicurezza di entrata con conservazione dello stato per un'istanza (istanza A) che deve ricevere e rispondere al traffico HTTP dall'host B. L'host B può essere qualsiasi host, sia esso un'istanza o meno. L'istanza A e l'host B stanno comunicando perché la regola di entrata con conservazione dello stato consente il traffico da qualsiasi indirizzo IP di origine (0.0.0.0/0) solo alla porta di destinazione 80 (protocollo TCP). Non è richiesta alcuna regola di uscita per consentire il traffico delle risposte perché le risposte vengono tracciate e consentite automaticamente.

Regole senza conservazione dello stato

La figura successiva mostra l'istanza A e l'host B come in precedenza, ma ora con regole di sicurezza senza conservazione dello stato. Come per la regola con conservazione dello stato nella sezione precedente, la regola di entrata senza conservazione dello stato consente il traffico da tutti gli indirizzi IP e da qualsiasi porta, solo sulla porta di destinazione 80 (utilizzando il protocollo TCP). Per consentire il traffico di risposta, è necessario disporre di una regola di uscita senza conservazione dello stato corrispondente che consenta il traffico verso qualsiasi indirizzo IP di destinazione (0.0.0.0/0) e qualsiasi porta, solo dalla porta di origine 80 (utilizzando il protocollo TCP).

Se invece l'istanza A deve avviare il traffico HTTP e ottenere la risposta, è necessario un set diverso di regole senza conservazione dello stato. Come mostra la figura successiva, la regola di uscita avrebbe la porta di origine = all e la porta di destinazione = 80 (HTTP). La regola di entrata avrebbe quindi la porta di origine 80 e la porta di destinazione = tutto.

Se si dovesse utilizzare l'associazione delle porte sull'istanza A per specificare esattamente da quale porta provenire il traffico HTTP, è possibile specificare che come porta di origine nella regola di uscita e la porta di destinazione nella regola di entrata.

Dettagli di tracciamento connessione per regole con conservazione dello stato

Oracle utilizza il monitoraggio della connessione per consentire risposte per il traffico che corrisponde a regole con conservazione dello stato (vedere Confronto con conservazione dello stato con regole senza conservazione dello stato). Ogni istanza dispone di un numero massimo di connessioni concorrenti che è possibile tenere traccia, in base alla forma dell'istanza.

Per decidere il traffico di risposta per TCP, UDP e ICMP, Oracle esegue il tracciamento della connessione su questi elementi per il pacchetto:

• Protocollo
• Indirizzo IP di origine e destinazione
• Porte di origine e destinazione (solo per TCP e UDP)

Le connessioni monitorate vengono gestite fino a quando viene ricevuto traffico per la connessione. Se una connessione rimane inattiva abbastanza a lungo, si verifica il timeout e viene rimossa. Dopo la rimozione della connessione, le risposte per una regola di sicurezza con conservazione dello stato vengono eliminate. La tabella seguente mostra i timeout di inattività predefiniti:

Abilitazione dei messaggi di ricerca automatica MTU percorso per le regole senza conservazione dello stato

Se decidi di utilizzare regole di sicurezza senza conservazione dello stato per consentire il traffico da/verso gli endpoint esterni alla VCN, è importante aggiungere una regola di sicurezza che consenta l'ingresso del codice 4 del tipo di traffico ICMP 3 dalla porta di origine 0.0.0.0/0 e da qualsiasi porta di origine. Questa regola consente alle istanze di computazione di ricevere messaggi di frammentazione di ricerca automatica MTU percorso. Questa regola è fondamentale per stabilire una connessione alle istanze. Senza di esso, puoi riscontrare problemi di connettività. Per ulteriori informazioni, vedere In attesa di connessione.