Қауіпсіздік топтарын жасау және баптау

Мақалада Cloud Network сервисінде Terraform көмегімен қауіпсіздік топтарын жасау және баптау мысалдары келтірілген:

белгілі бір хаттама бойынша жеке порттар үшін трафикке рұқсат беру;
белгілі бір хаттама бойынша барлық порттар үшін трафикке рұқсат беру;
барлық кіріс трафигіне рұқсат беру.

Қауіпсіздік топтарын жасау және баптау кезінде мыналар пайдаланылады:

Ресурстар (resource):
Дереккөздер (data source):
- vkcs_networking_secgroup;
- vkcs_networking_port.

Параметрлердің толық сипаттамасы — Terraform провайдерінің құжаттамасында.

Дайындық қадамдары

Квоталарды тексеріңіз. Таңдалған аймақта желі мен қауіпсіздік топтарын жасауға жеткілікті ресурстар бар екеніне көз жеткізіңіз. Әртүрлі аймақтар үшін әртүрлі квоталар бапталуы мүмкін.

Қажет болса, квоталарды ұлғайтыңыз.
Егер бұл әлі жасалмаса, Terraform-ды орнатып, провайдерді баптаңыз.

1. Желі сипаттамасы бар файлды жасаңыз

Желілік инфрақұрылым сипатталған Terraform конфигурациясының network.tf файлын жасаңыз:

егер шектеуді барлық порттар үшін баптау қажет болса, интернетке қолжетімділігі бар желі жасаңыз;
егер трафик шектеуін нақты бір порт үшін баптау қажет болса, интернетке қолжетімділігі және порты бар желі жасаңыз.

2. Қауіпсіздік топтарының сипаттамасы бар файлды жасаңыз

Terraform конфигурациясының secgroup.tf файлын жасаңыз. Мазмұны трафикті шектеудің қажетті ережелеріне байланысты:

Жеке порттар үшін

Барлық порттар үшін

Тек кіріс трафик

Алдын ала бапталған топтар

Файлда қауіпсіздік ережелерінің келесі конфигурациясы сипатталған:

security_group қауіпсіздік тобы жасалады.
Топта 22-порт үшін TCP хаттамасы бойынша кіріс трафикке рұқсат беретін ереже жасалады.
Ереже network.tf файлына қосылған портпен байланыстырылады.


# Create a security groupresource "vkcs_networking_secgroup" "example" {   name = "security_group"   description = "terraform security group"}# Create a security ruleresource "vkcs_networking_secgroup_rule" "example" {   direction = "ingress"   port_range_max = 22   port_range_min = 22   protocol = "tcp"   remote_ip_prefix = "0.0.0.0/0"   security_group_id = vkcs_networking_secgroup.example.id   description = "secgroup_rule_22_tcp"}# Associate the port with the security groupresource "vkcs_networking_port_secgroup_associate" "example" {   port_id = vkcs_networking_port.example.id   enforce = true   security_group_ids = [   vkcs_networking_secgroup.example.id,   ]}

Файлда қауіпсіздік ережелерінің келесі конфигурациясы сипатталған:

security_group қауіпсіздік тобы жасалады.
Топта барлық порттар үшін UDP хаттамасы бойынша кіріс трафикке рұқсат беретін ереже жасалады.


# Create a security groupresource "vkcs_networking_secgroup" "example" {   name = "security_group"   description = "terraform security group"}# Create a security ruleresource "vkcs_networking_secgroup_rule" "example" {  description       = "All inbound UDP traffic"  security_group_id = vkcs_networking_secgroup.example.id  direction         = "ingress"  protocol          = "udp"  remote_ip_prefix  = "0.0.0.0/0"}

Файлда қауіпсіздік ережелерінің келесі конфигурациясы сипатталған:

security_group қауіпсіздік тобы жасалады.
Топта барлық кіріс трафикке рұқсат беретін ереже жасалады.


# Create a security groupresource "vkcs_networking_secgroup" "example" {   name = "security_group"   description = "terraform security group"}# Create a security ruleresource "vkcs_networking_secgroup_rule" "example" {  description       = "All inbound UDP traffic"  security_group_id = vkcs_networking_secgroup.example.id  direction         = "ingress"  remote_ip_prefix  = "0.0.0.0/0"}

Файлда жобаға алдын ала бапталған қауіпсіздік топтарын қосуға арналған конфигурация сипатталған.


# SSH# Create a security groupresource "vkcs_networking_secgroup" "ssh" {   name = "ssh"   description = "Security group for SSH"}# Create a security ruleresource "vkcs_networking_secgroup_rule" "22-rule" {  description       = "Ingress traffic 22 port"  security_group_id = vkcs_networking_secgroup.ssh.id  direction         = "ingress"  protocol          = "tcp"  port_range_max    = 22  port_range_min    = 22          remote_ip_prefix  = "0.0.0.0/0"# SSH+WWW# Create a security groupresource "vkcs_networking_secgroup" "sshwww" {   name = "ssh+www"   description = "Security group for SSH and WWW"}# Create security rulesresource "vkcs_networking_secgroup_rule" "22-rule" {  description       = "Ingress traffic 22 port"  security_group_id = vkcs_networking_secgroup.sshwww.id  direction         = "ingress"  protocol          = "tcp"  port_range_max    = 22  port_range_min    = 22          remote_ip_prefix  = "0.0.0.0/0"resource "vkcs_networking_secgroup_rule" "80-rule" {  description       = "Ingress traffic 80 port"  security_group_id = vkcs_networking_secgroup.sshwww.id  direction         = "ingress"  protocol          = "tcp"  port_range_max    = 80  port_range_min    = 80          remote_ip_prefix  = "0.0.0.0/0"resource "vkcs_networking_secgroup_rule" "443-rule" {  description       = "Ingress traffic 443 port"  security_group_id = vkcs_networking_secgroup.sshwww.id  direction         = "ingress"  protocol          = "tcp"  port_range_max    = 443  port_range_min    = 443          remote_ip_prefix  = "0.0.0.0/0"# RDP# Create a security groupresource "vkcs_networking_secgroup" "rdp" {   name = "rdp"   description = "Security group for RDP"}# Create a security ruleresource "vkcs_networking_secgroup_rule" "3389-rule" {  description       = "Ingress traffic 22 port"  security_group_id = vkcs_networking_secgroup.rdp.id  direction         = "ingress"  protocol          = "tcp"  port_range_max    = 3389  port_range_min    = 3389          remote_ip_prefix  = "0.0.0.0/0"# RDP+WWW# Create a security groupresource "vkcs_networking_secgroup" "rdpwww" {   name = "rdp+www"   description = "Security group for RDP and WWW"}# Create security rulesresource "vkcs_networking_secgroup_rule" "3389-rule" {  description       = "Ingress traffic 3389 port"  security_group_id = vkcs_networking_secgroup.rdpwww.id  direction         = "ingress"  protocol          = "tcp"  port_range_max    = 3389  port_range_min    = 3389          remote_ip_prefix  = "0.0.0.0/0"resource "vkcs_networking_secgroup_rule" "80-rule" {  description       = "Ingress traffic 80 port"  security_group_id = vkcs_networking_secgroup.rdpwww.id  direction         = "ingress"  protocol          = "tcp"  port_range_max    = 80  port_range_min    = 80          remote_ip_prefix  = "0.0.0.0/0"resource "vkcs_networking_secgroup_rule" "443-rule" {  description       = "Ingress traffic 443 port"  security_group_id = vkcs_networking_secgroup.rdpwww.id  direction         = "ingress"  protocol          = "tcp"  port_range_max    = 443  port_range_min    = 443          remote_ip_prefix  = "0.0.0.0/0"# ALL# Create a security groupresource "vkcs_networking_secgroup" "all" {   name = "all"   description = "Security group to allow all the ingress traffic"}# Create a security ruleresource "vkcs_networking_secgroup_rule" "all-rule" {  description       = "Ingress traffic all ports"  security_group_id = vkcs_networking_secgroup.all.id  direction         = "ingress"  protocol          = "tcp"  remote_ip_prefix  = "0.0.0.0/0"

Мұнда:

enforce — қауіпсіздік топтарын ауыстыру белгісі:
- true — портта бұрыннан бар қауіпсіздік топтары манифесте көрсетілгендерге ауыстырылады.
- (әдепкі бойынша) false — портта бұрыннан бар қауіпсіздік топтары жойылмайды. Жаңа топтар қосылады.
direction — трафик бағыты: кіріс ingress немесе шығыс egress.
port_id — Floating IP мекенжайымен байланыстырылатын порт идентификаторы. Идентификаторды манифесте көрсетуге, дереккөзден немесе ресурстан алуға болады.

Мысалдар
port_range_max — рұқсат етілген порттар ауқымының жоғарғы шегі, 1-ден 65535-ке дейінгі бүтін сан. Барлық порттарды таңдау үшін port_range_min және port_range_max аргументтерін көрсетпеңіз.
port_range_min— рұқсат етілген порттар ауқымының төменгі шегі, 1-ден 65535-ке дейінгі бүтін сан. Барлық порттарды таңдау үшін port_range_min және port_range_max аргументтерін көрсетпеңіз.
protocol — деректерді беру хаттамасы. Мүмкін мәндер: tcp, udp, icmp, ah, dccp, egp, esp, gre, igmp, ospf, pgm, rsvp, sctp, udplite, vrrp.
remote_ip_prefix — қашықтағы CIDR, мәні жарамды болуы керек.
security_group_id — ереже жасалатын қауіпсіздік тобының идентификаторы. Идентификаторды манифесте көрсетуге, дереккөзден немесе ресурстан алуға болады.

Мысалдар
security_group_ids — қауіпсіздік топтары идентификаторларының массиві.

3. Terraform көмегімен қажетті ресурстарды жасаңыз

Terraform конфигурациясы файлдарын бір директорияға орналастырыңыз:
- vkcs_provider.tf;
- network.tf;
- secgroup.tf.
Осы директорияға өтіңіз.
Конфигурация файлдарының дұрыс екенін және қажетті өзгерістерді қамтитынын тексеріңіз:
```
terraform validate && terraform plan
```
Өзгерістерді қолданыңыз:
```
terraform apply
```
Растауды сұрағанда, yes енгізіңіз.
Операцияның аяқталуын күтіңіз.

4. Конфигурацияның қолданылғанын тексеріңіз

Желі мен инфрақұрылымның сәтті жасалғанына көз жеткізіңіз:

VK Cloud жеке кабинетіне өтіңіз.
Виртуалды желілер → Firewall баптаулары бөліміне өтіңіз. Қауіпсіздік тобы жасалғанына және мысалда қосылған барлық ережелерді қамтитынына көз жеткізіңіз.

Пайдаланылмайтын ресурстарды жойыңыз

Егер Terraform көмегімен жасалған ресурстар енді қажет болмаса, оларды жойыңыз:

Terraform конфигурациясы файлдары бар директорияға өтіңіз.
Келесі команданы орындаңыз:
```
terraform destroy
```
Растауды сұрағанда, yes енгізіңіз.
Операцияның аяқталуын күтіңіз.

Қауіпсіздік топтарын жасау және баптау

Дайындық қадамдары

1. Желі сипаттамасы бар файлды жасаңыз

2. Қауіпсіздік топтарының сипаттамасы бар файлды жасаңыз

3. Terraform көмегімен қажетті ресурстарды жасаңыз

4. Конфигурацияның қолданылғанын тексеріңіз

Пайдаланылмайтын ресурстарды жойыңыз

Мақала пайдалы болды ма?

Мақала пайдалы болды ма?