Təhlükəsizlik qrupu qaydaları
Təhlükəsizlik qrupu qaydaları necə işləyir: istiqamət, protokol, port diapazonu, mənbə və təyinat, IPv4 və IPv6, hazır şablonlar və standart qaydalar.
Təhlükəsizlik qrupu (security group) qaydası bir istiqamətdə bir növ trafikə icazə verir. Portdakı istənilən qrupun qaydasına uyğun gələn trafikə icazə verilir. Porta gələn və portdan çıxan bütün digər trafik atılır.
Hər qaydanın bu hissələri var:
| Hissə | Dəyərlər |
|---|---|
| İstiqamət | Porta daxil olan trafik üçün Ingress, ondan çıxan trafik üçün Egress. |
| Ether tipi | IPv4 və ya IPv6. |
| Protokol | TCP, UDP, ICMP və ya Any. |
| Portlar | TCP və UDP üçün: bir port, diapazon və ya bütün portlar. |
| Uzaq tərəf | Ünvan bloku və ya təhlükəsizlik qrupu. O, daxil olan (ingress) qaydanın mənbəyi, çıxan (egress) qaydanın isə təyinatıdır. |
| Təsvir | İxtiyari mətn. |
Qrupun səhifəsində qayda cədvəlləri bu hissələri Ether, Port range, Protocol, Source / dest və Description sütunlarında göstərir. Hər qaydanın Action sütununda Allow göstərilir.
İstiqamət
Daxil olan qayda onun göstərdiyi mənbələrdən gələn trafikə icazə verir. Çıxan qayda onun göstərdiyi təyinatlara gedən trafikə icazə verir. Məsələn, 203.0.113.10/32 ünvanından TCP 22 portu üçün daxil olan qayda bir ofis kompüterinə virtual maşına (instance) SSH bağlantıları açmağa imkan verir.
Vəziyyəti izləyən süzgəcləmə
Təhlükəsizlik qrupları bağlantıların vəziyyətini izləyir (stateful). Qayda bağlantıya icazə verdikdə, digər istiqamət üçün qaydalardan asılı olmayaraq, həmin bağlantının cavablarına avtomatik icazə verilir. Qaydaları bağlantıların başladığı istiqamət üçün yazırsınız:
0.0.0.0/0ünvanından TCP 443 portu üçün daxil olan qayda müştərilərə veb serverə qoşulmağa imkan verir. Serverin cavabları üçün çıxan qayda lazım deyil.0.0.0.0/0ünvanına çıxan qayda virtual maşına yeniləmələri endirməyə imkan verir. Endirmələr üçün daxil olan qayda lazım deyil.
Yalnız icazə verən qaydalar
Qaydalar yalnız trafikə icazə verir. Qadağan edən qaydalar yoxdur: heç bir qaydanın icazə vermədiyi trafik atılır. Qrupun Overview tab-vərəqəsi bunu Default action: Deny (implicit) kimi göstərir.
Portun bir neçə qrupu olduqda onların qaydaları toplanır. Portun qəbul etdiyi trafiki daraltmaq üçün qaydaları silin və ya qrupları ayırın; qrup əlavə etmək yalnız daha çox trafikə icazə verə bilər.
Protokollar və portlar
| Protokol | Portlar |
|---|---|
| TCP və UDP | Bir port, məsələn, 22; diapazon, məsələn, 8000–8080; və ya All ports. Portlar 1-dən 65535-ə qədərdir, diapazonun birinci portu isə sonuncudan böyük ola bilməz. |
| ICMP | Port yoxdur. Qayda ping kimi ICMP trafikinə uyğun gəlir. |
| Any | Port yoxdur. Qayda hər protokola və porta uyğun gəlir. |
Mənbə və təyinat
Qaydanın uzaq tərəfi bunlardan biridir:
- Ünvan bloku. IPv4 və ya IPv6 ünvanı və ya bloku, məsələn,
203.0.113.0/24.0.0.0.0/0hər IPv4 ünvanına,::/0isə hər IPv6 ünvanına uyğun gəlir. My IP seçimi cari ictimai ünvanınızı IPv4 üçün /32 bloku, IPv6 üçün isə /128 bloku kimi daxil edir. - Təhlükəsizlik qrupu. Qayda seçilmiş qrupdan istifadə edən hər portun trafikinə uyğun gəlir. Qrupun öz üzvləri arasında trafikə icazə vermək üçün eyni qrupu seçin. Qrupun səhifəsində qaydalar əlavə edərkən və ya redaktə edərkən uzaq tərəf kimi qrup seçə bilərsiniz; yaratma forması isə yalnız ünvan bloklarını qəbul edir.
Məsələn, app-sg qrupundan TCP 5432 portu üçün daxil olan qaydası olan db-sg verilənlər bazası qrupu, ünvanlarından asılı olmayaraq, app-sg qrupundakı tətbiq serverlərindən verilənlər bazası bağlantılarını qəbul edir.
Qayda dəqiq bir uzaq tərəf göstərir. Qrupun mövcud qaydasını təkrarlayan qayda ikinci dəfə əlavə edilmir.
IPv4 və IPv6
Qaydanın ether tipi onun ünvan blokunun ailəsinə uyğun olmalıdır: IPv4 bloku üçün IPv4, IPv6 bloku üçün IPv6. Qrupun səhifəsində qaydalar əlavə etdikdə ether tipini hər sətirdə seçirsiniz. Qrup yaratdıqda hər qaydanın ether tipi onun mənbəyinə uyğun müəyyən olunur, buna görə ::/0 kimi mənbə IPv6 qaydası yaradır.
Xidmətə hər iki ailə üzrə icazə vermək üçün hər biri üçün bir qayda əlavə edin, məsələn, 0.0.0.0/0 ünvanından HTTPS və ::/0 ünvanından HTTPS.
Standart qaydalar
Hər yeni təhlükəsizlik qrupu bütün çıxan trafikə icazə verən iki çıxan qayda alır: biri IPv4 üçün 0.0.0.0/0 ünvanına, digəri IPv6 üçün ::/0 ünvanına. Onları istənilən digər qayda kimi redaktə edə və ya silə bilərsiniz. Ona icazə verən çıxan qayda olmadıqda çıxan trafik atılır.
Yeni qrupda yalnız ona əlavə etdiyiniz daxil olan qaydalar olur.
Standart təhlükəsizlik qrupu
Hər layihənin (project) bulud tərəfindən yaradılan default adlı təhlükəsizlik qrupu var. O, təhlükəsizlik qrupları siyahısında görünür və onun qaydalarına baxmaq və onları dəyişmək üçün onu aça bilərsiniz. Qrup seçmədən virtual maşın və ya port yaratdıqda bu qrupdan istifadə olunur və onu silmək olmaz.
Hazır şablonlar
Qayda redaktorunda geniş yayılmış xidmətlər üçün hazır şablonlar var. Hər biri protokolu və portu doldurulmuş, redaktə edilə bilən sətir əlavə edir. Mənbə boş qalır: onu saxlamazdan əvvəl daxil edirsiniz.
| Hazır şablon | Protokol | Port |
|---|---|---|
| SSH | TCP | 22 |
| HTTP | TCP | 80 |
| HTTPS | TCP | 443 |
| MySQL | TCP | 3306 |
| PostgreSQL | TCP | 5432 |
| RDP | TCP | 3389 |
| DNS | UDP | 53 |
| Ping | ICMP | — |
| All traffic | Any | Bütün portlar |
Virtual maşın yaratma ustadının yeni virtual maşın üçün təhlükəsizlik qrupu yaradan öz cəld qaydaları var. Ustadın Şəbəkə addımına baxın.
Həssas portlar
Daxil olan qayda aşağıdakı TCP portlarından birini bütün internetə, yəni 0.0.0.0/0 və ya ::/0 ünvanına açdıqda qayda redaktoru sizə xəbərdarlıq edir:
| Xidmət | Port |
|---|---|
| SSH | 22 |
| Telnet | 23 |
| RDP | 3389 |
| VNC | 5900 |
| MySQL | 3306 |
| PostgreSQL | 5432 |
| MSSQL | 1433 |
| MongoDB | 27017 |
| Redis | 6379 |
Any protokolu və ya bütün portlar üçün qayda onların hamısını əhatə edir. Xəbərdarlıq qaydanı saxlamağınıza mane olmur. Girişi yalnız özünüzlə məhdudlaşdırmaq üçün mənbə kimi My IP seçimindən istifadə edin.