Regole di sicurezza

Informazioni sulle VNIC e sulle risorse padre

Una VNIC è un componente del servizio di networking che consente a una risorsa in rete, ad esempio un'istanza di computazione, di connettersi a una rete VCN (Virtual Cloud Network). La VNIC determina il modo in cui l'istanza si connette agli endpoint all'interno e all'esterno della VCN. Ogni VNIC risiede nella subnet di una VCN.

Quando crei un'istanza di computazione, viene creata automaticamente una VNIC per l'istanza nella subnet dell'istanza. L'istanza viene considerata la risorsa padre per la VNIC. Puoi aggiungere altre VNIC (secondarie) a un'istanza di computazione. Per questo motivo, le VNIC di un'istanza vengono visualizzate in modo prominente come parte delle risorse correlate di un'istanza di computazione nella console.

È possibile creare altri tipi di risorse padre che determinano anche la creazione automatica di una VNIC. Ad esempio, quando crei un load balancer, il servizio Load balancer crea automaticamente le VNIC per bilanciare il traffico nel set backend. Inoltre, quando crei un sistema DB, il servizio di database crea automaticamente le VNIC come nodi del sistema DB. Questi servizi creano e gestiscono automaticamente tali VNIC. Per questo motivo, tali VNIC non sono immediatamente visibili nella console allo stesso modo delle VNIC per le istanze di computazione.

Per utilizzare un gruppo NSG, inserire le VNIC desiderate nel gruppo. Tuttavia, in genere si utilizza la risorsa padre quando si aggiunge una VNIC al gruppo e non la VNIC stessa. Ad esempio, quando crei un'istanza di computazione, puoi facoltativamente specificare un gruppo NSG per l'istanza. Sebbene l'istanza venga inserita concettualmente nel gruppo, in realtà si sta inserendo la VNIC primaria dell'istanza nel gruppo di sicurezza di rete. Le regole di sicurezza del gruppo si applicano a tale VNIC, non all'istanza. Inoltre, se aggiungi una VNIC secondaria all'istanza, puoi facoltativamente specificare un gruppo NSG per tale VNIC e le regole si applicano a tale VNIC, non all'istanza. Tenere presente che tutte le VNIC in un determinato gruppo NSG devono trovarsi nella VCN a cui appartiene il gruppo NSG.

Allo stesso modo, quando inserisci un load balancer in un gruppo di sicurezza di rete, inserisci concettualmente il load balancer nel gruppo. Tuttavia, stai effettivamente inserendo le VNIC gestite dal servizio Load Balancer nel gruppo di sicurezza di rete.

L'appartenenza alla VNIC di un gruppo NSG nella risorsa padre e non nel gruppo NSG stesso. In altre parole, per aggiungere una risorsa padre a un gruppo NSG, eseguire l'azione sulla risorsa padre (specificando i gruppi NSG a cui deve essere aggiunta la risorsa padre). Non eseguire l'azione sul gruppo NSG (specificando quali VNIC o risorse padre devono essere aggiunte al gruppo NSG). Analogamente, per rimuovere una VNIC da un gruppo NSG, eseguire l'azione aggiornando la risorsa padre e non il gruppo NSG. Ad esempio, per aggiungere la VNIC di un'istanza di computazione esistente a un gruppo NSG, è necessario aggiornare le proprietà di tale VNIC e specificare il gruppo NSG. Ad esempio, con l'API REST, si chiama UpdateVnic. Nella console è possibile visualizzare l'istanza, quindi la VNIC di interesse, quindi modificare le proprietà della VNIC.

Per un elenco delle risorse padre che supportano l'uso dei gruppi di sicurezza di rete, vedere Supporto per i gruppi di sicurezza di rete.

Gruppo di sicurezza rete come origine o destinazione di una regola

C'è un'importante differenza nel modo in cui puoi scrivere le regole di sicurezza per i gruppi NSG rispetto alle liste di sicurezza.

Quando scrivi regole per un gruppo NSG, puoi specificare un NSG come origine del traffico (per le regole in entrata) o destinazione del traffico (per le regole in uscita). In contrasto con le regole della lista di sicurezza, in cui si specifica un CIDR come origine o destinazione.

La possibilità di specificare un gruppo NSG significa che è possibile scrivere facilmente regole per controllare il traffico tra due gruppi NSG diversi. I gruppi NSG devono trovarsi nella stessa VCN.

Inoltre, se si desidera controllare il traffico tra le VNIC in un gruppo NSG specifico, è possibile scrivere regole che specificano il gruppo NSG della regola come origine (per le regole in entrata) o destinazione (per le regole in uscita).

Per ulteriori informazioni, vedere Panoramica dei gruppi di sicurezza di rete.

Differenze API REST

Il modello API REST per i gruppi NSG presenta alcune differenze di base rispetto alle liste di sicurezza. Per ulteriori informazioni, vedere Utilizzo dell'interfaccia API.

Regole predefinite

La VCN viene fornita automaticamente con una lista di sicurezza predefinita che contiene diverse regole di sicurezza predefinite per iniziare a utilizzare il servizio di networking. Quando crei una subnet, la lista di sicurezza predefinita viene associata alla subnet a meno che non specifichi una lista di sicurezza personalizzata già creata nella VCN.

Per il confronto, la VCN NON dispone di un gruppo di sicurezza di rete predefinito.

Limiti

Le due caratteristiche hanno limiti diversi. Per esaminare un elenco dei limiti applicabili e le istruzioni per richiedere un incremento del limite, consulta i limiti del servizio.

Usa gruppi di sicurezza di rete

Oracle consiglia di utilizzare i gruppi NSG per i componenti che hanno tutti lo stesso livello di sicurezza. Ad esempio, in un'architettura a più livelli, si avrebbe un gruppo NSG separato per ogni livello. Le VNIC di un determinato livello appartengono tutte al gruppo NSG di tale livello. All'interno di un determinato livello, potresti avere un particolare sottoinsieme delle VNIC del livello che hanno requisiti di sicurezza aggiuntivi e speciali. Pertanto, creare un altro gruppo NSG per tali regole aggiuntive e inserire tale sottoinsieme di VNIC sia nel gruppo NSG del livello che nel gruppo NSG aggiuntivo.

Oracle consiglia inoltre di utilizzare i gruppi NSG perché Oracle assegnerà la priorità ai gruppi NSG rispetto alle liste di sicurezza durante l'implementazione di miglioramenti futuri.

Acquisire familiarità con le regole predefinite degli elenchi di sicurezza

La VCN viene fornita automaticamente con una lista di sicurezza predefinita che contiene diverse regole di sicurezza predefinite per iniziare a utilizzare il servizio di networking. Queste regole esistono perché abilitano la connettività di base. Anche se si sceglie di non utilizzare le liste di sicurezza o la lista di sicurezza predefinita, acquisire familiarità con le regole in modo da comprendere meglio i tipi di traffico richiesti dalle risorse cloud in rete. È possibile utilizzare tali regole nei gruppi NSG o in qualsiasi lista di sicurezza personalizzata impostata.

La lista di sicurezza predefinita non include regole per abilitare il ping. Se è necessario utilizzare il ping, vedere Regole per abilitare il ping.

Non eliminare regole di sicurezza predefinite in modo non discriminatorio

Per impostazione predefinita, la VCN potrebbe disporre di subnet che utilizzano la lista di sicurezza predefinita. Non eliminare alcuna delle regole di sicurezza predefinite dell'elenco a meno che non si sia prima confermato che le risorse nella VCN non le richiedono. In caso contrario, potresti interrompere la connettività della tua VCN.

Verificare che le regole del firewall del sistema operativo siano allineate alle regole di sicurezza

sudo firewall-cmd --zone=public --permanent --add-port=1521/tcp
								
sudo firewall-cmd --reload

Utilizzare le metriche VNIC per risolvere i problemi relativi ai pacchetti eliminati a causa delle regole di sicurezza

Il servizio di networking offre le metriche per le VNIC, che mostrano i livelli di traffico VNIC (pacchetti e byte). Due delle metriche riguardano i pacchetti in entrata e in uscita che violano le regole di sicurezza e vengono pertanto eliminati. Puoi utilizzare queste metriche per risolvere i problemi relativi alle regole di sicurezza e stabilire se le tue VNIC ricevono il traffico desiderato.

Regole con conservazione dello stato

Se si contrassegna una regola di sicurezza come con conservazione dello stato, significa che si desidera utilizzare il monitoraggio della connessione per qualsiasi traffico corrispondente a tale regola. Ciò significa che quando un'istanza riceve traffico corrispondente alla regola di entrata con conservazione dello stato, la risposta viene tracciata e restituita automaticamente all'host di origine, indipendentemente dalle regole di uscita applicabili all'istanza. Inoltre, quando un'istanza invia traffico che corrisponde a una regola di uscita con conservazione dello stato, la risposta in entrata viene consentita automaticamente, indipendentemente dalle regole di entrata.

Ad esempio, potresti avere una regola di sicurezza in entrata con conservazione dello stato per un'istanza (Istanza A) che deve ricevere e rispondere al traffico HTTP dall'host B. L'host B può essere qualsiasi host, indipendentemente dal fatto che si tratti di un'istanza. L'istanza A e l'host B comunicano perché la regola di entrata con conservazione dello stato consente il traffico da qualsiasi indirizzo IP di origine (0.0.0.0/0) solo alla porta di destinazione 80 (protocollo TCP). Non è richiesta alcuna regola di uscita per consentire il traffico delle risposte poiché le risposte vengono tracciate e consentite automaticamente.

Regole senza conservazione dello stato

La figura successiva mostra l'istanza A e l'host B come in precedenza, ma ora con regole di sicurezza senza conservazione dello stato. Come per la regola con conservazione dello stato nella sezione precedente, la regola di entrata senza conservazione dello stato consente il traffico da tutti gli indirizzi IP e da qualsiasi porta, solo sulla porta di destinazione 80 (utilizzando il protocollo TCP). Per consentire il traffico di risposta, è necessario disporre di una regola di uscita senza conservazione dello stato corrispondente che consenta il traffico verso qualsiasi indirizzo IP di destinazione (0.0.0.0/0) e qualsiasi porta, solo dalla porta di origine 80 (utilizzando il protocollo TCP).

Se invece l'istanza A deve avviare il traffico HTTP e ottenere la risposta, è necessario un set diverso di regole senza conservazione dello stato. Come mostrato nella figura successiva, la regola di uscita avrebbe la porta di origine = tutto e la porta di destinazione = 80 (HTTP). La regola di entrata avrebbe quindi la porta di origine 80 e la porta di destinazione = tutto.

Se si dovesse utilizzare l'associazione delle porte sull'istanza A per specificare esattamente da quale porta provenire il traffico HTTP, è possibile specificare che come porta di origine nella regola di uscita e la porta di destinazione nella regola di entrata.

Dettagli di tracciamento connessione per regole con conservazione dello stato

Oracle utilizza il monitoraggio delle connessioni per consentire le risposte per il traffico che corrisponde a regole con conservazione dello stato (vedere Regole con conservazione dello stato e senza conservazione dello stato). Ogni istanza dispone di un numero massimo di connessioni concorrenti di cui è possibile tenere traccia, in base alla forma dell'istanza.

Per determinare il traffico di risposta per TCP, UDP e ICMP, Oracle esegue il monitoraggio della connessione su questi elementi per il pacchetto:

• Protocollo
• Indirizzo IP di origine e destinazione
• Porte di origine e destinazione (solo per TCP e UDP)

Le connessioni tracciate vengono mantenute finché viene ricevuto traffico per la connessione. Se una connessione è inattiva abbastanza a lungo, si verificherà il timeout e verrà rimossa. Una volta rimosse, le risposte per una regola di sicurezza con conservazione dello stato verranno eliminate. Nella tabella seguente vengono visualizzati i timeout di inattività predefiniti.

Abilitazione dei messaggi di ricerca automatica MTU percorso per le regole senza conservazione dello stato

Se decidi di utilizzare regole di sicurezza senza conservazione dello stato per consentire il traffico verso/da endpoint esterni alla VCN, è importante aggiungere una regola di sicurezza che consenta il codice 4 del traffico ICMP di tipo 3 in entrata dall'origine 0.0.0.0/0 e da qualsiasi porta di origine. Questa regola consente alle istanze di ricevere messaggi di frammentazione della ricerca automatica MTU del percorso. Questa regola è fondamentale per stabilire una connessione alle istanze. Senza di essa, si possono verificare problemi di connettività. Per ulteriori informazioni, vedere Connessione in sospeso.