Cómo configurar reglas de firewall y NAT

Cuándo usar este procedimiento

Cuando necesite permitir o bloquear tráfico a través de un Edge, o publicar un servicio en otra dirección y otro puerto. Este procedimiento lo acompaña desde la lectura del conjunto actual hasta la aplicación de las reglas al router y la revisión del registro del filtro de paquetes.

Tenga presente la distinción clave: editar las reglas y aplicarlas son pasos independientes. Agregar y eliminar reglas solo modifica la configuración en vStack Center. Hasta que haga clic en Apply rules, el tráfico sigue el conjunto anterior. Termine siempre una serie de ediciones aplicando las reglas.

Requisitos previos

Para leer el conjunto, el rol Cluster master o cualquier rol del VDC (centro de datos virtual): los administradores, los usuarios y los observadores pueden leer las reglas de todos los routers de su propio VDC;
Para editar y aplicar el conjunto, el rol Cluster master o ser propietario del router. Un administrador de VDC solo puede editar y aplicar reglas en los routers que creó;
Para aplicar el conjunto, el router debe estar en ejecución: la operación ha finalizado y la inicialización interna (bootstrap) se ha completado;
Los puertos del router ya están conectados a redes: una regla está vinculada a un puerto, y el formulario selecciona el puerto por el nombre de la red;
vStack Center versión 3.0.3.

Pasos

Abra la página del router. En el árbol de la barra lateral, expanda Virtual Data Centers, seleccione el VDC, vaya a su sección Edges y abra la fila del router que necesita. Los conjuntos actuales están en las secciones Firewall rules y NAT rules: tablas de reglas con el número de reglas junto al encabezado de cada sección.

Agregue una regla de firewall. En la sección Firewall rules, haga clic en Add rule y complete los campos:

Campo del formulario	Obligatorio	Qué especifica
#	Sí	Número de regla, 100–32767. El formulario lo completa automáticamente: 100 para la primera regla y, después, el número más alto del conjunto más 100
Action	Sí	Acción: block o pass
Direction	Sí	Dirección: in u out
Network	Sí	Puerto del router al que está vinculada la regla. Se selecciona por el nombre de la red
Protocol	Sí	Protocolo: ICMP, UDP, TCP o IP
From (CIDR)	Sí	Origen en notación CIDR. Valor predeterminado: `0.0.0.0/0`
From Port	Sí	Puerto de origen. Valor predeterminado: `0`
Dst. (CIDR)	Sí	Destino en notación CIDR. Valor predeterminado: `0.0.0.0/0`
Dst. Port	Sí	Puerto de destino. Valor predeterminado: `0`
Log	No	Casilla de registro de la regla. Solo está disponible para la acción block

Haga clic en Save Rule. La regla aparece en la tabla de la sección.

Agregue una regla NAT. En la sección NAT rules, haga clic en Add rule. Aquí, la dirección y el puerto de traducción sustituyen a la dirección del tráfico y al puerto de origen:

Campo del formulario	Qué especifica
#	Número de regla. El formulario lo completa automáticamente con la misma lógica que para las reglas de firewall
Action	Acción: SNAT, DNAT o biNAT
Network	Puerto del router al que está vinculada la regla
Protocol	Protocolo: ICMP, UDP, TCP o IP
From (CIDR)	Origen en notación CIDR
Dst. (CIDR)	Destino en notación CIDR
Dst. Port	Puerto de destino
NAT IP	Dirección de traducción: una única dirección IPv4 sin máscara
NAT Port	Puerto de traducción

Haga clic en Save Rule.

Elimine las reglas que ya no necesite. En la fila de la regla, haga clic en el icono de eliminación y confirme con Remove en el cuadro de diálogo Are you sure want to remove firewall rule N? (para NAT, Are you sure want to remove NAT rule N?).

Una regla no se puede editar directamente: para cambiarla, elimine la regla y agregue una nueva con el mismo número.
Aplique el conjunto. El botón Apply rules está debajo de las secciones en la página del router; el mismo elemento está disponible en el menú Actions, tanto en la página como en la fila de la lista Edges.

La aplicación sustituye el conjunto completo en el router, en lugar de agregar cambios. Aplique una serie de ediciones una sola vez, después de la última edición.

El botón y el elemento de menú permanecen deshabilitados mientras el router no esté en ejecución, su operación no haya finalizado o la inicialización interna tras su último inicio no haya terminado.

Verificación del resultado

El panel confirma la aplicación correcta con una notificación, y el par Rules applied de General properties se actualiza con la hora en que el router aceptó el conjunto. State modified aparece a su lado: si esa hora es posterior, el router se ha reiniciado desde que se aplicó el conjunto.

A continuación, vuelva a leer las tablas de las secciones Firewall rules y NAT rules y compruebe que las reglas con los números necesarios están presentes y que las reglas eliminadas no figuran en el conjunto. Las columnas coinciden con los campos del formulario: para las reglas de firewall, Action, Log, Direction, Network, Protocol, From (CIDR), From Port, Dst. (CIDR) y Dst. Port; para NAT, Action, Network, Protocol, From (CIDR), Dst. (CIDR), Dst. Port, NAT IP y NAT Port.

Registro del filtro de paquetes

Si se agregó y aplicó una regla, pero el tráfico no se comporta como se esperaba, obtenga el registro del filtro de paquetes desde la sección Logs de la página del router. La sección solo aparece si la exportación del registro está habilitada mediante el indicador de funcionalidad feature.edge_log_pcap en la configuración del clúster y el rol tiene acceso al router. El registro contiene los paquetes bloqueados por reglas que tienen activada la casilla Log.

En Limit, indique el número de paquetes que desea obtener.
En Period, indique el intervalo para el que necesita el registro.
Haga clic en Get file. Junto al botón aparece un enlace download; utilícelo para guardar el archivo PCAP y, a continuación, ábralo en un analizador de tráfico. Si no se encontró nada para el intervalo, la sección muestra "No data found. Try another params.".

Limitaciones del registro:

Limitación	Motivo	Solución alternativa
El registro se conserva durante 24 horas	El filtro de paquetes solo guarda una ventana de un día en el router	Obtenga el registro sin demora. Una solicitud para un intervalo anterior devuelve un archivo vacío
Las exportaciones están limitadas a 3000 paquetes	Límite del agente: `0` y cualquier valor superior a 3000 se convierten en 3000	Reduzca el intervalo en Period en lugar de aumentar Limit
La sección Logs no aparece en la página	La exportación del registro se habilita mediante el indicador `feature.edge_log_pcap` en la configuración del clúster	Solicite que se habilite el indicador en el nivel del clúster

Solución de problemas

El panel muestra los fallos como notificaciones con un texto y un código, por ejemplo The edge isn't running (error code: -14005). El formulario resalta los campos con valores no válidos: así se muestran los fallos -18032 (From (CIDR)) y -18037 (Dst. (CIDR)) de una regla de firewall.

Edición del conjunto (adición y eliminación de reglas):

Fallo	Causa	Solución
`-18018` `Rule number below 100`, `-18019` `Rule number above 32767`	El número de la regla de firewall está fuera del rango permitido	Utilice un número del rango 100–32767; el formulario muestra los límites junto a #. Los mismos límites se aplican a la eliminación (`-18318`, `-18319`)
`-17032`, `-17037`, `-18032`, `-18037` `Invalid CIDR value`	El origen o el destino no están en notación CIDR: `-17032` y `-17037` se refieren a From (CIDR) y Dst. (CIDR) en una regla NAT; `-18032` y `-18037` se refieren a los mismos campos en una regla de firewall	Introduzca la red como `x.x.x.x/n`; utilice una máscara `/32` para una única dirección
`-18053` `Bad rule_log param value`	El registro de la regla se estableció en un valor distinto de 0 o 1	Controle el registro con la casilla Log: solo está disponible para la acción block
`-18350` `FW rule N not found for edge`, `-18250` `NAT rule N not found for edge`	El conjunto ya no contiene una regla con ese número: se eliminó desde otra sesión	Vuelva a leer la tabla de la sección Firewall rules o NAT rules y elimine la regla del conjunto actual
`-17050`, `-18050`, `-18220`, `-18320`, `-18510` `Edge id doesn't exist`	No se encontró el router: el registro ya se eliminó o la página está desactualizada	Vuelva a la lista Edges, actualícela y abra de nuevo el router
`-18803`, `-17003`, `-18003`, `-18203`, `-18303` `Bad edge_id param value`	El identificador del router no tiene formato de UUID	Abra el router desde la lista Edges en lugar de usar un enlace guardado
`-403` `Access denied`	Otro usuario creó el router y el rol no tiene derechos en el nivel del clúster	Edite y aplique las reglas como propietario del router o con el rol Cluster master. La lectura del conjunto sigue disponible para todos los roles de su VDC
`-17091`, `-18091`, `-18240`, `-18340`	Error de la base de datos	Vuelva a intentar la edición; si el fallo se repite, compruebe el estado de la base de datos del clúster

Aplicación del conjunto y obtención del registro:

Fallo	Causa	Solución
`-14005` `The edge isn't running`, `-25005`	El router está detenido, y solo un Edge en ejecución acepta un conjunto de reglas	Inicie el router con el botón de inicio situado junto a UUID y vuelva a intentar la aplicación
`-14006` `The edge start in progress`, `-25006`	El inicio todavía está en curso	Espere hasta que State muestre una máquina en ejecución
`-14007` `The edge bootstrap has not been completed yet`, `-25007`	El router está en ejecución, pero la inicialización interna tras el último inicio no ha terminado	Espere y vuelva a intentarlo. La disponibilidad se indica mediante el par Rules applied de General properties: la aplicación está disponible cuando su hora no es anterior a State modified
`-14040` `Edge ID has not found`	El router no tiene reglas	Agregue al menos una regla y, a continuación, aplique el conjunto
`-14010`, `-25010` `Edge id doesn't exist`	No se encontró el router	Actualice la lista Edges y abra de nuevo el router
`-25030` `The edge feature has not been enabled`	Toda la funcionalidad de Edge está deshabilitada por el indicador de funcionalidad general `feature.edge`. Este indicador se comprueba antes que `feature.edge_log_pcap`	Solicite que se habilite el indicador en el nivel del clúster. Mientras esté deshabilitado, tampoco se pueden leer los conjuntos de reglas
`-25025` `The edge_log_pcap feature has not been enabled`	La exportación del registro está deshabilitada por el indicador de funcionalidad del clúster	Habilite `feature.edge_log_pcap` en la configuración del clúster
`-25023` `ts_start param value is too low`	El intervalo comienza antes del 1 de enero de 2023	Adelante el inicio del intervalo en Period: de todos modos, el registro solo se conserva durante un día
`-25024` `ts_finish param value is less then ts_start`	El intervalo termina antes de comenzar	Corrija el orden de los límites en Period
`-32602`	Los parámetros de la solicitud no superaron la validación: por ejemplo, Limit está fuera del rango 0–9999	Compruebe los límites de los valores en Limit y Period
`-22` `Bootstrap is not done` y otros fallos del agente	El agente de Edge no aceptó el conjunto: la inicialización está incompleta o las reglas no se cargaron	El agente devuelve el texto del fallo sin cambios; utilícelo para investigar. Elimine la regla con sintaxis no válida y agréguela de nuevo
`-14004`, `-25004`	Error de la base de datos o fallo del reenvío al agente	Vuelva a intentar la operación; si el fallo se repite, compruebe el estado de la base de datos y del agente

Consulte también

Router Edge: el modelo de los conjuntos de reglas y del acceso
Cómo crear un router Edge
Cómo administrar el estado y los puertos de Edge
Roles y privilegios

Métodos de la API

Las operaciones de la API que se tratan en esta página son edge-list-rules, edge-add-fw-rule, edge-add-nat-rule, edge-remove-fw-rule, edge-remove-nat-rule, edge-deploy-rules y edge-get-pfloggs; consulte la referencia de la API.

Cuándo usar este procedimiento​

Requisitos previos​

Pasos​

Verificación del resultado​

Registro del filtro de paquetes​

Solución de problemas​

Consulte también​

Métodos de la API​