Güvenlik duvarı ve NAT kuralları nasıl yapılandırılır

Ne zaman kullanılır

Bir Edge üzerinden geçen trafiğe izin vermeniz veya trafiği engellemeniz ya da bir servisi farklı bir adres ve portta yayımlamanız gerektiğinde. Bu yordam sizi mevcut kümenin okunmasından kuralların yönlendiriciye uygulanmasına ve paket filtresi günlüğünün denetlenmesine kadar götürür.

Temel ayrımı aklınızda tutun: kuralları düzenlemek ve uygulamak ayrı adımlardır. Kural eklemek ve kaldırmak yalnızca vStack Center'daki yapılandırmayı değiştirir. Apply rules düğmesine tıklayana kadar trafik önceki kümeye göre işlenir. Bir dizi düzenlemeyi her zaman kuralları uygulayarak bitirin.

Ön koşullar

• Kümeyi okumak için Cluster master rolü veya herhangi bir VDC (sanal veri merkezi) rolü: yöneticiler, kullanıcılar ve gözlemciler kendi VDC'lerindeki her yönlendiricinin kurallarını okuyabilir;
• Kümeyi düzenlemek ve uygulamak için Cluster master rolü veya yönlendirici sahipliği. Bir VDC yöneticisi yalnızca kendi oluşturduğu yönlendiricilerde kuralları düzenleyebilir ve uygulayabilir;
• Kümeyi uygulamak için yönlendirici çalışıyor olmalıdır: işlem tamamlanmış ve dahili başlatma (bootstrap) bitmiş olmalıdır;
• Yönlendirici portları zaten ağlara bağlı olmalıdır: bir kural bir porta bağlıdır ve form portu ağ adına göre seçer;
• vStack Center sürüm 3.0.3.

Adımlar

1. Yönlendirici sayfasını açın. Kenar çubuğu ağacında Virtual Data Centers öğesini genişletin, VDC'yi seçin, Edges bölümüne gidin ve gerekli yönlendiricinin satırını açın. Mevcut kümeler Firewall rules ve NAT rules bölümlerindedir: her bölüm başlığının yanında kural sayısı bulunan kural tabloları.

2. Bir güvenlik duvarı kuralı ekleyin. Firewall rules bölümünde Add rule düğmesine tıklayın ve alanları doldurun:

   Form alanı	Zorunlu	Neyi belirtir
   #	Evet	Kural numarası, 100–32767. Form bunu otomatik doldurur: ilk kural için 100, ardından kümedeki en yüksek numara artı 100
   Action	Evet	Eylem: block veya pass
   Direction	Evet	Yön: in veya out
   Network	Evet	Kuralın bağlı olduğu yönlendirici portu. Ağ adına göre seçilir
   Protocol	Evet	Protokol: ICMP, UDP, TCP veya IP
   From (CIDR)	Evet	CIDR gösteriminde kaynak. Varsayılan: 0.0.0.0/0
   From Port	Evet	Kaynak port. Varsayılan: 0
   Dst. (CIDR)	Evet	CIDR gösteriminde hedef. Varsayılan: 0.0.0.0/0
   Dst. Port	Evet	Hedef port. Varsayılan: 0
   Log	Hayır	Kural günlüğe kaydetme onay kutusu. Yalnızca block eylemi için kullanılabilir

   Save Rule düğmesine tıklayın. Kural bölüm tablosunda görünür.

3. Bir NAT kuralı ekleyin. NAT rules bölümünde Add rule düğmesine tıklayın. Burada yön ve kaynak port yerine dönüştürme adresi ve portu bulunur:

   Form alanı	Neyi belirtir
   #	Kural numarası. Form bunu güvenlik duvarı kurallarıyla aynı kurala göre otomatik doldurur
   Action	Eylem: SNAT, DNAT veya biNAT
   Network	Kuralın bağlı olduğu yönlendirici portu
   Protocol	Protokol: ICMP, UDP, TCP veya IP
   From (CIDR)	CIDR gösteriminde kaynak
   Dst. (CIDR)	CIDR gösteriminde hedef
   Dst. Port	Hedef port
   NAT IP	Dönüştürme adresi: maskesiz tek bir IPv4 adresi
   NAT Port	Dönüştürme portu

   Save Rule düğmesine tıklayın.

4. Artık ihtiyaç duymadığınız kuralları kaldırın. Kural satırında silme simgesine tıklayın ve Are you sure want to remove firewall rule N? iletişim kutusunda (NAT için Are you sure want to remove NAT rule N?) Remove ile onaylayın.

   Bir kural yerinde düzenlenemez: değiştirmek için kuralı kaldırın ve aynı numarayla yeni bir kural ekleyin.

5. Kümeyi uygulayın. Apply rules düğmesi yönlendirici sayfasında bölümlerin altındadır; aynı öğe hem sayfadaki hem de Edges liste satırındaki Actions menüsünde de bulunur.

   Uygulama, değişiklikleri eklemek yerine yönlendiricideki kümenin tamamını değiştirir. Bir dizi düzenlemeyi son düzenlemeden sonra bir kez uygulayın.

   Yönlendirici çalışmıyorken, işlemi tamamlanmamışken veya son başlatmadan sonraki dahili başlatma bitmemişken düğme ve menü öğesi devre dışı kalır.

Sonucu doğrulama

Panel başarılı uygulamayı bir bildirimle onaylar ve General properties bölümündeki Rules applied çifti, yönlendiricinin kümeyi kabul ettiği zamana güncellenir. Yanında State modified görünür: bu zaman daha sonraysa, yönlendirici küme uygulandıktan sonra yeniden başlatılmıştır.

Ardından Firewall rules ve NAT rules bölümü tablolarını yeniden okuyun ve gerekli numaralara sahip kuralların mevcut olduğunu, kaldırılan kuralların ise kümede bulunmadığını denetleyin. Sütunlar form alanlarıyla eşleşir: güvenlik duvarı kuralları için Action, Log, Direction, Network, Protocol, From (CIDR), From Port, Dst. (CIDR) ve Dst. Port; NAT için Action, Network, Protocol, From (CIDR), Dst. (CIDR), Dst. Port, NAT IP ve NAT Port.

Paket filtresi günlüğü

Bir kural eklenip uygulandığı hâlde trafik beklendiği gibi davranmıyorsa, paket filtresi günlüğünü yönlendirici sayfasındaki Logs bölümünden alın. Bölüm yalnızca günlük dışa aktarma küme ayarlarındaki feature.edge_log_pcap özellik bayrağıyla etkinleştirilmişse ve rolün yönlendiriciye erişimi varsa görünür. Günlük, Log onay kutusu etkin olan kurallar tarafından engellenen paketleri içerir.

1. Limit alanını alınacak paket sayısına ayarlayın.

2. Period alanını günlüğe ihtiyaç duyduğunuz aralığa ayarlayın.

3. Get file düğmesine tıklayın. Yanında bir download bağlantısı görünür; PCAP dosyasını kaydetmek için bağlantıyı kullanın, ardından dosyayı bir trafik çözümleyicide açın. Aralık için hiçbir şey bulunamadıysa bölüm "No data found. Try another params." iletisini gösterir.

Günlük sınırlamaları:

Sınırlama	Neden	Geçici çözüm
Günlük 24 saat saklanır	Paket filtresi yönlendiricide yalnızca bir günlük pencere tutar	Günlüğü zamanında alın. Daha eski bir aralık için yapılan istek boş bir dosya döndürür
Dışa aktarmalar 3000 paketle sınırlıdır	Ajan sınırı: 0 ve 3000'den büyük her değer 3000'e dönüştürülür	Limit değerini artırmak yerine Period aralığını daraltın
Sayfada Logs bölümü yok	Günlük dışa aktarma, küme ayarlarındaki feature.edge_log_pcap bayrağıyla etkinleştirilir	Bayrağın küme düzeyinde etkinleştirilmesini talep edin

Sorun giderme

Panel hataları metin ve kod içeren bildirimler olarak gösterir; örneğin The edge isn't running (error code: -14005). Form geçersiz değer içeren alanları vurgular: bir güvenlik duvarı kuralı için -18032 (From (CIDR)) ve -18037 (Dst. (CIDR)) hataları bu şekilde gösterilir.

Kümeyi düzenleme (kural ekleme ve kaldırma):

Hata	Neden	Çözüm
-18018 Rule number below 100, -18019 Rule number above 32767	Güvenlik duvarı kural numarası izin verilen aralığın dışında	100–32767 aralığında bir numara kullanın; form sınırları # alanının yanında gösterir. Aynı sınırlar kaldırma için de geçerlidir (-18318, -18319)
-17032, -17037, -18032, -18037 Invalid CIDR value	Kaynak veya hedef CIDR gösteriminde değil: -17032 ve -17037 bir NAT kuralındaki From (CIDR) ve Dst. (CIDR) alanlarını, -18032 ve -18037 ise bir güvenlik duvarı kuralındaki aynı alanları ifade eder	Ağı x.x.x.x/n biçiminde girin; tek bir adres için /32 maskesini kullanın
-18053 Bad rule_log param value	Kural günlüğe kaydetme 0 veya 1 dışında bir değere ayarlanmış	Günlüğe kaydetmeyi Log onay kutusuyla denetleyin: yalnızca block eylemi için kullanılabilir
-18350 FW rule N not found for edge, -18250 NAT rule N not found for edge	Küme artık o numaraya sahip bir kural içermiyor: kural başka bir oturumdan kaldırılmış	Firewall rules veya NAT rules bölümü tablosunu yeniden okuyun ve kuralı mevcut kümeden kaldırın
-17050, -18050, -18220, -18320, -18510 Edge id doesn't exist	Yönlendirici bulunamadı: kayıt zaten kaldırılmış veya sayfa güncel değil	Edges listesine dönün, listeyi yenileyin ve yönlendiriciyi yeniden açın
-18803, -17003, -18003, -18203, -18303 Bad edge_id param value	Yönlendirici tanımlayıcısı UUID biçiminde değil	Kaydedilmiş bir bağlantı kullanmak yerine yönlendiriciyi Edges listesinden açın
-403 Access denied	Yönlendiriciyi başka bir kullanıcı oluşturmuş ve rolün küme düzeyinde hakları yok	Kuralları yönlendiricinin sahibi olarak veya Cluster master rolüyle düzenleyin ve uygulayın. Kümeyi okuma, VDC'sindeki tüm roller için kullanılabilir kalır
-17091, -18091, -18240, -18340	Veritabanı hatası	Düzenlemeyi yeniden deneyin; hata tekrarlanırsa küme veritabanının durumunu denetleyin

Kümeyi uygulama ve günlüğü alma:

Hata	Neden	Çözüm
-14005 The edge isn't running, -25005	Yönlendirici durdurulmuş ve yalnızca çalışan bir Edge kural kümesi kabul eder	Yönlendiriciyi UUID'nin yanındaki başlatma düğmesiyle başlatın ve uygulamayı yeniden deneyin
-14006 The edge start in progress, -25006	Başlatma hâlâ sürüyor	State çalışan bir makine gösterene kadar bekleyin
-14007 The edge bootstrap has not been completed yet, -25007	Yönlendirici çalışıyor, ancak son başlatmadan sonraki dahili başlatma bitmemiş	Bekleyin ve yeniden deneyin. Hazır olma durumunu General properties bölümündeki Rules applied çifti gösterir: zamanı State modified değerinden daha erken değilse uygulama kullanılabilir
-14040 Edge ID has not found	Yönlendiricinin hiç kuralı yok	En az bir kural ekleyin, ardından kümeyi uygulayın
-14010, -25010 Edge id doesn't exist	Yönlendirici bulunamadı	Edges listesini yenileyin ve yönlendiriciyi yeniden açın
-25030 The edge feature has not been enabled	Tüm Edge işlevselliği genel feature.edge özellik bayrağıyla devre dışı bırakılmış. Bu bayrak feature.edge_log_pcap'ten önce denetlenir	Bayrağın küme düzeyinde etkinleştirilmesini talep edin. Bayrak devre dışıyken kural kümelerini okumak da mümkün değildir
-25025 The edge_log_pcap feature has not been enabled	Günlük dışa aktarma küme özellik bayrağıyla devre dışı bırakılmış	Küme ayarlarında feature.edge_log_pcap bayrağını etkinleştirin
-25023 ts_start param value is too low	Aralık 1 Ocak 2023'ten önce başlıyor	Period alanında aralığın başlangıcını ileri alın: günlük zaten yalnızca bir gün saklanır
-25024 ts_finish param value is less then ts_start	Aralık başlamadan önce bitiyor	Period alanındaki sınırların sırasını düzeltin
-32602	İstek parametreleri doğrulamadan geçemedi: örneğin Limit 0–9999 aralığının dışında	Limit ve Period alanlarındaki değer sınırlarını denetleyin
-22 Bootstrap is not done ve diğer ajan hataları	Edge ajanı kümeyi kabul etmedi: başlatma tamamlanmamış veya kurallar yüklenemedi	Hata metni ajan tarafından değiştirilmeden döndürülür; incelemek için kullanın. Sözdizimi geçersiz olan bir kuralı kaldırın ve yeniden ekleyin
-14004, -25004	Veritabanı hatası veya ajana iletim hatası	İşlemi yeniden deneyin; hata tekrarlanırsa veritabanının ve ajanın durumunu denetleyin

Ayrıca bakın

• Edge yönlendirici — kural kümeleri ve erişim modeli
• Edge yönlendirici nasıl oluşturulur
• Edge durumu ve portları nasıl yönetilir
• Roller ve yetkiler

API yöntemleri

Bu sayfada ele alınan API işlemleri edge-list-rules, edge-add-fw-rule, edge-add-nat-rule, edge-remove-fw-rule, edge-remove-nat-rule, edge-deploy-rules ve edge-get-pfloggs'tur; API başvurusuna bakın.