Como configurar regras de firewall e NAT

Quando usar

Quando você precisa permitir ou bloquear o tráfego através de um Edge, ou publicar um serviço em outro endereço e outra porta. Este procedimento leva você desde a leitura do conjunto atual até a aplicação das regras no roteador e a verificação do log do filtro de pacotes.

Tenha em mente a distinção principal: editar regras e aplicá-las são etapas separadas. Adicionar e remover regras altera apenas a configuração no vStack Center. Até você clicar em Apply rules, o tráfego segue o conjunto anterior. Sempre conclua uma série de edições aplicando as regras.

Pré-requisitos

• Para ler o conjunto, o papel Cluster master ou qualquer papel de VDC (data center virtual): administradores, usuários e observadores podem ler as regras de todos os roteadores do próprio VDC;
• Para editar e aplicar o conjunto, o papel Cluster master ou a propriedade do roteador. Um administrador de VDC só pode editar e aplicar regras nos roteadores que criou;
• Para aplicar o conjunto, o roteador deve estar em execução: a operação foi concluída, e a inicialização interna (bootstrap) terminou;
• As portas do roteador já estão conectadas às redes: uma regra é vinculada a uma porta, e o formulário seleciona a porta pelo nome da rede;
• vStack Center versão 3.0.3.

Etapas

1. Abra a página do roteador. Na árvore da barra lateral, expanda Virtual Data Centers, selecione o VDC, vá para a seção Edges e abra a linha do roteador desejado. Os conjuntos atuais estão nas seções Firewall rules e NAT rules: tabelas de regras com a contagem de regras ao lado do título de cada seção.

2. Adicione uma regra de firewall. Na seção Firewall rules, clique em Add rule e preencha os campos:

   Campo do formulário	Obrigatório	O que especifica
   #	Sim	Número da regra, 100–32767. O formulário o preenche automaticamente: 100 para a primeira regra e, depois, o maior número do conjunto mais 100
   Action	Sim	Ação: block ou pass
   Direction	Sim	Direção: in ou out
   Network	Sim	Porta do roteador à qual a regra é vinculada. Selecionada pelo nome da rede
   Protocol	Sim	Protocolo: ICMP, UDP, TCP ou IP
   From (CIDR)	Sim	Origem em notação CIDR. Padrão: 0.0.0.0/0
   From Port	Sim	Porta de origem. Padrão: 0
   Dst. (CIDR)	Sim	Destino em notação CIDR. Padrão: 0.0.0.0/0
   Dst. Port	Sim	Porta de destino. Padrão: 0
   Log	Não	Caixa de seleção de log da regra. Disponível apenas para a ação block

   Clique em Save Rule. A regra aparece na tabela da seção.

3. Adicione uma regra de NAT. Na seção NAT rules, clique em Add rule. Aqui, o endereço e a porta de tradução substituem a direção e a porta de origem:

   Campo do formulário	O que especifica
   #	Número da regra. O formulário o preenche automaticamente usando a mesma regra das regras de firewall
   Action	Ação: SNAT, DNAT ou biNAT
   Network	Porta do roteador à qual a regra é vinculada
   Protocol	Protocolo: ICMP, UDP, TCP ou IP
   From (CIDR)	Origem em notação CIDR
   Dst. (CIDR)	Destino em notação CIDR
   Dst. Port	Porta de destino
   NAT IP	Endereço de tradução: um único endereço IPv4 sem máscara
   NAT Port	Porta de tradução

   Clique em Save Rule.

4. Remova as regras de que você não precisa mais. Na linha da regra, clique no ícone de exclusão e confirme com Remove na caixa de diálogo Are you sure want to remove firewall rule N? (para NAT, Are you sure want to remove NAT rule N?).

   Uma regra não pode ser editada no local: para alterá-la, remova a regra e adicione uma nova com o mesmo número.

5. Aplique o conjunto. O botão Apply rules fica abaixo das seções na página do roteador; o mesmo item está disponível no menu Actions, tanto na página quanto na linha da lista Edges.

   A aplicação substitui o conjunto inteiro no roteador, em vez de acrescentar alterações. Aplique uma série de edições uma única vez, após a última edição.

   O botão e o item de menu permanecem desativados enquanto o roteador não estiver em execução, sua operação não tiver sido concluída ou a inicialização interna após o último início não tiver terminado.

Verificar o resultado

O painel confirma a aplicação bem-sucedida com uma notificação, e o par Rules applied em General properties é atualizado com o horário em que o roteador aceitou o conjunto. State modified aparece ao lado: se esse horário for posterior, o roteador foi reiniciado desde que o conjunto foi aplicado.

Em seguida, releia as tabelas das seções Firewall rules e NAT rules e verifique se as regras com os números necessários estão presentes e se as regras removidas não estão no conjunto. As colunas correspondem aos campos do formulário: para regras de firewall, Action, Log, Direction, Network, Protocol, From (CIDR), From Port, Dst. (CIDR) e Dst. Port; para NAT, Action, Network, Protocol, From (CIDR), Dst. (CIDR), Dst. Port, NAT IP e NAT Port.

Log do filtro de pacotes

Se uma regra foi adicionada e aplicada, mas o tráfego não se comporta como esperado, obtenha o log do filtro de pacotes na seção Logs da página do roteador. A seção só aparece se a exportação de log estiver ativada pela feature flag feature.edge_log_pcap nas configurações do cluster e se o papel tiver acesso ao roteador. O log contém os pacotes bloqueados por regras com a caixa de seleção Log marcada.

1. Defina em Limit o número de pacotes a obter.

2. Defina em Period o intervalo para o qual você precisa do log.

3. Clique em Get file. Um link download aparece ao lado; use o link para salvar o arquivo PCAP e, em seguida, abra-o em um analisador de tráfego. Se nada for encontrado para o intervalo, a seção exibe "No data found. Try another params.".

Limitações do log:

Limitação	Motivo	Alternativa
O log é mantido por 24 horas	O filtro de pacotes mantém apenas uma janela de um dia no roteador	Obtenha o log sem demora. Uma requisição para um intervalo mais antigo retorna um arquivo vazio
As exportações são limitadas a 3000 pacotes	Limite do agente: 0 e qualquer valor maior que 3000 são convertidos em 3000	Reduza o intervalo em Period em vez de aumentar Limit
A seção Logs não aparece na página	A exportação de log é ativada pela flag feature.edge_log_pcap nas configurações do cluster	Solicite a ativação da flag no nível do cluster

Solução de problemas

O painel exibe as falhas como notificações com texto e código, por exemplo The edge isn't running (error code: -14005). O formulário destaca os campos com valores inválidos: é assim que as falhas -18032 (From (CIDR)) e -18037 (Dst. (CIDR)) são exibidas para uma regra de firewall.

Edição do conjunto (adição e remoção de regras):

Falha	Causa	Solução
-18018 Rule number below 100, -18019 Rule number above 32767	O número da regra de firewall está fora do intervalo permitido	Use um número no intervalo 100–32767; o formulário mostra os limites ao lado de #. Os mesmos limites se aplicam à remoção (-18318, -18319)
-17032, -17037, -18032, -18037 Invalid CIDR value	A origem ou o destino não está em notação CIDR: -17032 e -17037 referem-se a From (CIDR) e Dst. (CIDR) em uma regra de NAT; -18032 e -18037 referem-se aos mesmos campos em uma regra de firewall	Insira a rede como x.x.x.x/n; use a máscara /32 para um único endereço
-18053 Bad rule_log param value	O log da regra está definido com um valor diferente de 0 ou 1	Controle o log com a caixa de seleção Log: ela só está disponível para a ação block
-18350 FW rule N not found for edge, -18250 NAT rule N not found for edge	O conjunto não contém mais uma regra com esse número: ela foi removida em outra sessão	Releia a tabela da seção Firewall rules ou NAT rules e remova a regra do conjunto atual
-17050, -18050, -18220, -18320, -18510 Edge id doesn't exist	O roteador não foi encontrado: o registro já foi removido ou a página está desatualizada	Volte para a lista Edges, atualize-a e reabra o roteador
-18803, -17003, -18003, -18203, -18303 Bad edge_id param value	O identificador do roteador não tem formato de UUID	Abra o roteador a partir da lista Edges em vez de usar um link salvo
-403 Access denied	Outro usuário criou o roteador, e o papel não tem direitos no nível do cluster	Edite e aplique as regras como proprietário do roteador ou com o papel Cluster master. A leitura do conjunto continua disponível para todos os papéis do seu VDC
-17091, -18091, -18240, -18340	Erro de banco de dados	Tente a edição novamente; se a falha se repetir, verifique o estado do banco de dados do cluster

Aplicação do conjunto e obtenção do log:

Falha	Causa	Solução
-14005 The edge isn't running, -25005	O roteador está parado, e somente um Edge em execução aceita um conjunto de regras	Inicie o roteador com o botão de iniciar ao lado de UUID e tente aplicar novamente
-14006 The edge start in progress, -25006	A inicialização ainda está em andamento	Aguarde até que State mostre uma máquina em execução
-14007 The edge bootstrap has not been completed yet, -25007	O roteador está em execução, mas a inicialização interna após o último início não terminou	Aguarde e tente novamente. A prontidão é indicada pelo par Rules applied em General properties: a aplicação fica disponível quando seu horário não é anterior a State modified
-14040 Edge ID has not found	O roteador não tem regras	Adicione pelo menos uma regra e, em seguida, aplique o conjunto
-14010, -25010 Edge id doesn't exist	O roteador não foi encontrado	Atualize a lista Edges e reabra o roteador
-25030 The edge feature has not been enabled	Toda a funcionalidade de Edge está desativada pela feature flag geral feature.edge. Essa flag é verificada antes de feature.edge_log_pcap	Solicite a ativação da flag no nível do cluster. Enquanto ela estiver desativada, a leitura dos conjuntos de regras também fica indisponível
-25025 The edge_log_pcap feature has not been enabled	A exportação de log está desativada pela feature flag do cluster	Ative feature.edge_log_pcap nas configurações do cluster
-25023 ts_start param value is too low	O intervalo começa antes de 1º de janeiro de 2023	Avance o início do intervalo em Period: de qualquer forma, o log é mantido por apenas um dia
-25024 ts_finish param value is less then ts_start	O intervalo termina antes de começar	Corrija a ordem dos limites em Period
-32602	Os parâmetros da requisição não passaram na validação: por exemplo, Limit está fora do intervalo 0–9999	Verifique os limites de valores em Limit e Period
-22 Bootstrap is not done e outras falhas do agente	O agente de Edge não aceitou o conjunto: a inicialização está incompleta ou as regras não foram carregadas	O texto da falha é retornado sem alterações pelo agente; use-o para investigar. Remova uma regra com sintaxe inválida e adicione-a novamente
-14004, -25004	Erro de banco de dados ou falha no encaminhamento ao agente	Tente a operação novamente; se a falha se repetir, verifique o estado do banco de dados e do agente

Veja também

• Roteador edge — o modelo de conjuntos de regras e acesso
• Como criar um roteador edge
• Como gerenciar o estado e as portas do Edge
• Papéis e privilégios

Métodos da API

As operações de API abordadas nesta página são edge-list-rules, edge-add-fw-rule, edge-add-nat-rule, edge-remove-fw-rule, edge-remove-nat-rule, edge-deploy-rules e edge-get-pfloggs; consulte a referência da API.