Criar ACLs em uma NNI no Nexus do Operador do Azure

  • Artigo

No Nexus do Operador do Azure, as listas de controle de acesso (ACLs) e as ações Permit e Deny em nível de interconexão entre redes (NNI) ajudam a proteger o acesso ao Secure Shell (SSH) na rede virtual privada (VPN) de gerenciamento. Você deve criar ACLs de entrada e saída antes da criação de recursos de NNI e, em seguida, fazer referência a essas ACLs no conteúdo da NNI. Você precisa criar as ACLs de entrada e saída mencionadas antes de provisionar a malha da rede.

Essas são as etapas de alto nível para a criação de uma ACL em uma NNI:

  1. Criar ACLs de entrada e saída para NNI.
  2. Atualize a referência de recurso do Azure Resource Manager em uma NNI de gerenciamento.
  3. Crie uma NNI e provisione a malha da rede.

Diretrizes de uso do parâmetro

Parâmetro Descrição Exemplo ou intervalo
defaultAction Define a ação padrão a ser realizada. Se você não definir, o tráfego será permitido. "defaultAction": "Permit"
resource-group Grupo de recursos da malha de rede. nfresourcegroup
resource-name Nome da ACL. example-ingressACL
vlanGroups Lista de grupos da rede local virtual (VLAN).
vlans Lista de VLANs que precisam ser correspondidas.
match-configurations Nome da configuração de correspondência. example_acl. Os espaços e o caractere "e" comercial (&) não têm suporte.
matchConditions Condições necessárias para serem correspondidas.
ttlValues Tempo de vida (TTL). 0-255
dscpMarking Marcações de Ponto de Código de Serviços Diferenciados (DSCP) que precisam ser equiparadas. 0-63
portCondition Condição de porta que precisa ser correspondida.
portType Tipo de porta que precisa ser correspondido. Exemplo: SourcePort. Valores Permitidos: DestinationPort e SourcePort.
protocolTypes Protocolos que precisam ser correspondidos. [tcp, udp, range[1-2, 1, 2]]. Se for um número de protocolo, deverá estar dentro do intervalo de 1-255.
vlanMatchCondition Condição de correspondência de VLAN que precisa ser correspondida.
layer4Protocol Protocolo da Camada 4. Deve ser TCP ou UDP.
ipCondition Condição de IP que precisa ser correspondida.
actions Ação a ser realizada com base na condição de correspondência. Exemplo: permit.
configuration-type Tipo de configuração, que pode ser embutido ou arquivo. No momento, o Nexus do Operador do Azure dá suporte apenas à opção "embutido". Exemplo: inline.

Você também deve estar ciente das seguintes restrições:

  • Portas embutidas e VLANs embutidas são uma maneira estática de definir portas ou VLANs usando azcli.
  • portGroupNames e vlanGroupNames são maneiras dinâmicas de definir portas e VLANs.
  • Portas embutidas e portGroupNames juntos não são permitidos.
  • VLANs embutidas e vlanGroupNames juntos não são permitidos.
  • ipGroupNames e ipPrefixValues juntos não são permitidos.
  • As ACLs de saída não dão suporte a opções de IP, comprimento de IP, fragmento, EtherType, marcações de DSCP ou valores de TTL.
  • As ACLs de entrada não dão suporte às opções de EtherType.

Criar uma ACL de entrada

Para criar uma ACL de entrada, você pode usar o comando da CLI do Azure a seguir. Esse comando cria uma ACL de entrada com as configurações especificadas e fornece como saída o resultado esperado. Ajuste os parâmetros conforme necessário para seu caso de uso.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4ingressACL"
--configuration-type "Inline"
--default-action "Permit"
--dynamic-match-configurations "[{ipGroups:[{name:'example-ipGroup',ipAddressType:IPv4,ipPrefixes:['10.20.3.1/20']}],vlanGroups:[{name:'example-vlanGroup',vlans:['20-30']}],portGroups:[{name:'example-portGroup',ports:['100-200']}]}]"
--match-configurations "[{matchConfigurationName:'example-match',sequenceNumber:123,ipAddressType:IPv4,matchConditions:[{etherTypes:['0x1'],fragments:['0xff00-0xffff'],ipLengths:['4094-9214'],ttlValues:[23],dscpMarkings:[32],portCondition:{flags:[established],portType:SourcePort,layer4Protocol:TCP,ports:['1-20']},protocolTypes:[TCP],vlanMatchCondition:{vlans:['20-30'],innerVlans:[30]},ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.20.20.20/12']}}],actions:[{type:Count,counterName:'example-counter'}]}]"

Saída esperada

{
    "properties": {
        "lastSyncedTime": "2023-06-17T08:56:23.203Z",
        "configurationState": "Succeeded",
        "provisioningState": "Accepted",
        "administrativeState": "Enabled",
        "annotation": "annotation",
        "configurationType": "File",
        "aclsUrl": "https://ACL-Storage-URL",
        "matchConfigurations": [{
            "matchConfigurationName": "example-match",
            "sequenceNumber": 123,
            "ipAddressType": "IPv4",
            "matchConditions": [{
                "etherTypes": ["0x1"],
                "fragments": ["0xff00-0xffff"],
                "ipLengths": ["4094-9214"],
                "ttlValues": [23],
                "dscpMarkings": [32],
                "portCondition": {
                    "flags": ["established"],
                    "portType": "SourcePort",
                    "l4Protocol": "TCP",
                    "ports": ["1-20"],
                    "portGroupNames": ["example-portGroup"]
                },
                "protocolTypes": ["TCP"],
                "vlanMatchCondition": {
                    "vlans": ["20-30"],
                    "innerVlans": [30],
                    "vlanGroupNames": ["example-vlanGroup"]
                },
                "ipCondition": {
                    "type": "SourceIP",
                    "prefixType": "Prefix",
                    "ipPrefixValues": ["10.20.20.20/12"],
                    "ipGroupNames": ["example-ipGroup"]
                }
            }]
        }],
        "actions": [{
            "type": "Count",
            "counterName": "example-counter"
        }]
    },
    "tags": {
        "keyID": "KeyValue"
    },
    "location": "eastUs",
    "id": "/subscriptions/xxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.ManagedNetworkFabric/accessControlLists/acl",
    "name": "example-Ipv4ingressACL",
    "type": "microsoft.managednetworkfabric/accessControlLists",
    "systemData": {
        "createdBy": "email@address.com",
        "createdByType": "User",
        "createdAt": "2023-06-09T04:51:41.251Z",
        "lastModifiedBy": "UserId",
        "lastModifiedByType": "User",
        "lastModifiedAt": "2023-06-09T04:51:41.251Z"
    }
}

Criar uma ACL de saída

Para criar uma ACL de saída, você pode usar o comando da CLI do Azure a seguir. Esse comando cria uma ACL de saída com as configurações especificadas e fornece como saída o resultado esperado. Ajuste os parâmetros conforme necessário para seu caso de uso.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4egressACL"
--configuration-type "File"
--acls-url "https://ACL-Storage-URL"
--default-action "Permit"
--dynamic-match-configurations "[{ipGroups:[{name:'example-ipGroup',ipAddressType:IPv4,ipPrefixes:['10.20.3.1/20']}],vlanGroups:[{name:'example-vlanGroup',vlans:['20-30']}],portGroups:[{name:'example-portGroup',ports:['100-200']}]}]"

Saída esperada

{
    "properties": {
        "lastSyncedTime": "2023-06-17T08:56:23.203Z",
        "configurationState": "Succeeded",
        "provisioningState": "Accepted",
        "administrativeState": "Enabled",
        "annotation": "annotation",
        "configurationType": "File",
        "aclsUrl": "https://ACL-Storage-URL",
        "dynamicMatchConfigurations": [{
            "ipGroups": [{
                "name": "example-ipGroup",
                "ipAddressType": "IPv4",
                "ipPrefixes": ["10.20.3.1/20"]
            }],
            "vlanGroups": [{
                "name": "example-vlanGroup",
                "vlans": ["20-30"]
            }],
            "portGroups": [{
                "name": "example-portGroup",
                "ports": ["100-200"]
            }]
        }]
    },
    "tags": {
        "keyID": "KeyValue"
    },
    "location": "eastUs",
    "id": "/subscriptions/xxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.ManagedNetworkFabric/accessControlLists/acl",
    "name": "example-Ipv4egressACL",
    "type": "microsoft.managednetworkfabric/accessControlLists",
    "systemData": {
        "createdBy": "email@address.com",
        "createdByType": "User",
        "createdAt": "2023-06-09T04:51:41.251Z",
        "lastModifiedBy": "UserId",
        "lastModifiedByType": "User",
        "lastModifiedAt": "2023-06-09T04:51:41.251Z"
    }
}

Atualizar a referência do Resource Manager

Essa etapa permite a criação de ACLs (de entrada e saída, se a referência for fornecida) durante a criação do recurso de NNI. Após criar a NNI e antes de provisionar a malha da rede, você poderá executar uma recolocação na NNI.

  • ingressAclId: ID de referência para a ACL de entrada.
  • egressAclId: ID de referência para a ACL de saída.

Para obter a ID do recurso do Resource Manager, acesse o grupo de recursos da assinatura que você está usando.

O comando a seguir atualiza a referência do Resource Manager para o recurso de NNI associando-o às ACLs de entrada e saída fornecidas. Ajuste os parâmetros conforme necessário para seu caso de uso.

az networkfabric nni create
--resource-group "example-rg"
--fabric "example-fabric"
--resource-name "example-nniwithACL"
--nni-type "CE"
--is-management-type "True"
--use-option-b "True"
--layer2-configuration "{interfaces:['/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/networkDevices/example-networkDevice/networkInterfaces/example-interface'],mtu:1500}"
--option-b-layer3-configuration "{peerASN:28,vlanId:501,primaryIpv4Prefix:'10.18.0.124/30',secondaryIpv4Prefix:'10.18.0.128/30',primaryIpv6Prefix:'10:2:0:124::400/127',secondaryIpv6Prefix:'10:2:0:124::402/127'}"
--ingress-acl-id "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accesscontrollists/example-Ipv4ingressACL"
--egress-acl-id "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accesscontrollists/example-Ipv4egressACL"

Mostrar detalhes da ACL

Para exibir os detalhes de uma ACL especificada, use o seguinte comando:

az networkfabric acl show --resource-group "example-rg" --resource-name "example-acl"

Listar ACLs

Para listar todas as ACLs dentro de um grupo de recursos especificado, use o seguinte comando:

az networkfabric acl list --resource-group "ResourceGroupName"

Criar ACLs na rede externa do ISD

Use as informações a seguir para criar ACLs de entrada e saída para a rede externa do domínio de isolamento (ISD). Em seguida, atualize a referência de recurso do Resource Manager para a rede externa.

Criar uma ACL de saída para a rede externa do ISD

Para criar uma ACL de saída para a rede externa do ISD especificado com a configuração fornecida, use o comando a seguir. Ajuste os parâmetros conforme necessário para seu caso de uso.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4egressACL"
--annotation "annotation"
--configuration-type "Inline"
--default-action "Deny"
--match-configurations "[{matchConfigurationName:'L3ISD_EXT_OPTA_EGRESS_ACL_IPV4_CE_PE',sequenceNumber:1110,ipAddressType:IPv4,matchConditions:[{ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}},{ipCondition:{type:DestinationIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}}],actions:[{type:Count}]}]"

Saída esperada

Após a execução bem-sucedida, o comando retornará informações sobre a ACL criada no formato a seguir. Essa saída inclui detalhes sobre a configuração e o estado.

{
    "administrativeState": "Disabled",
    "annotation": "annotation",
    "configurationState": "Succeeded",
    "configurationType": "Inline",
    "defaultAction": "Deny",
    "id": "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accessControlLists/example-Ipv4egressACL",
    "location": "eastus2euap",
    "matchConfigurations": [
        {
            "actions": [
                {
                    "type": "Count"
                }
            ],
            "ipAddressType": "IPv4",
            "matchConditions": [
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "SourceIP"
                    }
                },
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "DestinationIP"
                    }
                }
            ],
            "matchConfigurationName": "L3ISD_EXT_OPTA_EGRESS_ACL_IPV4_CE_PE",
            "sequenceNumber": 1110
        }
    ],
    "name": "example-Ipv4egressACL",
    "provisioningState": "Succeeded",
    "resourceGroup": "example-rg",
    "systemData": {
        "createdAt": "2023-09-11T10:20:20.2617941Z",
        "createdBy": "email@address.com",
        "createdByType": "User",
        "lastModifiedAt": "2023-09-11T10:20:20.2617941Z",
        "lastModifiedBy": "email@address.com",
        "lastModifiedByType": "User"
    },
    "type": "microsoft.managednetworkfabric/accesscontrollists"
}

Criar uma ACL de entrada para a rede externa do ISD

Para criar uma ACL de entrada para a rede externa do ISD especificado com a configuração fornecida, use o comando a seguir. Ajuste os parâmetros conforme necessário para seu caso de uso.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4ingressACL"
--annotation "annotation"
--configuration-type "Inline"
--default-action "Deny"
--match-configurations "[{matchConfigurationName:'L3ISD_EXT_OPTA_INGRESS_ACL_IPV4_CE_PE',sequenceNumber:1110,ipAddressType:IPv4,matchConditions:[{ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}},{ipCondition:{type:DestinationIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}}],actions:[{type:Count}]}]"

Saída esperada

Após a execução bem-sucedida, o comando retornará informações sobre a ACL criada no formato a seguir. Essa saída inclui detalhes sobre a configuração e o estado.

{
    "administrativeState": "Disabled",
    "annotation": "annotation",
    "configurationState": "Succeeded",
    "configurationType": "Inline",
    "defaultAction": "Deny",
    "id": "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accessControlLists/example-Ipv4ingressACL",
    "location": "eastus2euap",
    "matchConfigurations": [
        {
            "actions": [
                {
                    "type": "Count"
                }
            ],
            "ipAddressType": "IPv4",
            "matchConditions": [
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "SourceIP"
                    }
                },
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "DestinationIP"
                    }
                }
            ],
            "matchConfigurationName": "L3ISD_EXT_OPTA_INGRESS_ACL_IPV4_CE_PE",
            "sequenceNumber": 1110
        }
    ],
    "name": "example-Ipv4ingressACL",
    "provisioningState": "Succeeded",
    "resourceGroup": "example-rg",
    "systemData": {
        "createdAt": "2023-09-11T10:20:20.2617941Z",
        "createdBy": "email@address.com",
        "createdByType": "User",
        "lastModifiedAt": "2023-09-11T10:27:27.2317467Z",
        "lastModifiedBy": "email@address.com",
        "lastModifiedByType": "User"
    },
    "type": "microsoft.managednetworkfabric/accesscontrollists"
}