Groupes et services

Les groupes et les services sont les objets que les règles de pare-feu désignent. Un groupe rassemble les membres qu'une règle cible comme source, destination ou cible d'application, et un service nomme un ensemble de protocoles et de ports. Le privilège Kyvernon.Firewall.ManageGroups est nécessaire pour les créer ou les modifier ; un locataire travaille dans la portée de son propre locataire.

Dans la console

1. Sur la page d'accueil, sélectionnez Pare-feu, puis l'onglet Groupes. Le tableau liste le Nom, la Description, le Propriétaire et les Membres de chaque groupe. Un groupe du fournisseur partagé avec les locataires porte le badge Partagé, et un locataire n'en voit que le nom et la description, avec Membres masqués.

:::screen fw-groups

2. Sélectionnez Nouveau groupe. Saisissez un Nom et une Description. Les noms qui commencent par sys: sont réservés aux groupes intégrés. Ajoutez ensuite des membres dans l'une de ces parties :
   • Critères de balise : choisissez une Catégorie de balise, saisissez une Balise, choisissez sous Ajouter à si elle ouvre Un nouveau critère ou rejoint un critère existant, et sélectionnez Ajouter une balise. Une carte réseau est membre quand sa machine virtuelle porte toutes les étiquettes d'un critère : ajoutez donc un critère pour chaque variante.
   • VM : sélectionnez Ajouter une VM. Chaque carte de la machine est membre.
   • Cartes réseau : choisissez la machine sous VM de la carte, saisissez la clé de périphérique sous Clé de la carte et sélectionnez Ajouter une carte.
   • Réseaux : sélectionnez Ajouter un réseau. Chaque carte de ce réseau est membre.
   • Adresses et préfixes : saisissez une adresse ou un préfixe, par exemple 203.0.113.0/24, et sélectionnez Ajouter. Ce sont des adresses extérieures à la plateforme. Pour ajouter une plage d'adresses, saisissez la première et la dernière adresse IPv4 séparées par un trait d'union sous Ajouter une plage d’adresses et sélectionnez Ajouter la plage ; la console enregistre la plage sous la plus courte liste de préfixes qui la couvre exactement.
   • Adresses MAC : saisissez une adresse MAC, par exemple 00:50:56:aa:bb:cc, et sélectionnez Ajouter l’adresse MAC. Toute carte réseau portant cette adresse MAC est membre, quelle que soit sa machine virtuelle. La console écrit l'adresse en minuscules avec des deux-points.
   • Groupes imbriqués : sélectionnez Ajouter un groupe. Les groupes peuvent s'imbriquer sur 5 niveaux au plus, et des groupes ne peuvent pas se contenir mutuellement en boucle.
3. Les administrateurs du fournisseur disposent de l'interrupteur Partagé avec les locataires, qui permet aux locataires d'utiliser le groupe comme source ou destination sans en voir les membres. Les catégories d'étiquettes qu'un groupe peut utiliser dépendent de la portée : les groupes du fournisseur utilisent uniquement les catégories que le fournisseur gère, les groupes de locataires uniquement les autres, et la liste Catégorie de balise affiche celles qui conviennent. La carte Catégories de balises de l'onglet Paramètres détermine quelles catégories appartiennent au fournisseur. Sélectionnez Enregistrer.

:::screen fw-group-create

4. Pour voir qui fait partie d'un groupe en ce moment, sélectionnez Membres sur sa ligne. La boîte de dialogue liste les cartes réseau résolues avec leur machine virtuelle et les adresses résolues.
5. Pour modifier un groupe, sélectionnez Modifier. Pour le supprimer, sélectionnez Supprimer et confirmez avec Supprimer le groupe. Un groupe qu'une stratégie ou un autre groupe utilise encore ne peut pas être supprimé. Les groupes intégrés ne peuvent pas être modifiés.
6. Sélectionnez l'onglet Services. Le tableau liste les services avec leurs Entrées. Les services de la plateforme portent le badge Intégré et sont en lecture seule.

:::screen fw-services

7. Sélectionnez Nouveau service, saisissez un Nom et une Description, et ajoutez des entrées sous Entrées avec Ajouter une entrée. Un service a besoin d'au moins une entrée. Pour chaque entrée, choisissez un protocole : TCP, UDP et SCTP prennent une liste de ports ou de plages séparés par des virgules, comme 443, 8000-8100, de 1 à 65535, et vide signifie n'importe quel port. Pour ces trois protocoles, Ports source de l’entrée N prend les ports que l'émetteur utilise, avec la même notation ; vide signifie n'importe quel port source, et une liste s'affiche dans le tableau comme, par exemple, UDP 53 avec les ports source 1024-65535. ICMPv4 et ICMPv6 prennent un type ICMP et un code facultatif, et un code demande un type. Numéro de protocole IP prend un numéro de protocole, par exemple 47 pour GRE. Un service ne peut pas contenir d'autres services nommés. Sélectionnez Enregistrer.

:::screen fw-service-create

8. Pour modifier un service, sélectionnez Modifier ; pour le supprimer, sélectionnez Supprimer et confirmez avec Supprimer le service. Un service qu'une règle utilise ne peut pas être supprimé. Dans une règle, choisissez un service de cette liste avec le protocole Service nommé.

Résultat

Les groupes et les services sont aussitôt disponibles dans l'éditeur de règles. Une modification d'un groupe prend effet dans les règles qui le nomment sans republier les stratégies, et la console avertit quand un hôte n'a pas encore appliqué la modification. Chez un locataire, les groupes ne peuvent contenir que les machines virtuelles, les cartes et les réseaux de ce locataire, les critères d'étiquettes ne comptent que ses machines, et les groupes imbriqués doivent être les siens ou des groupes partagés du fournisseur. Une modification au-delà du quota du locataire échoue avec error.firewall.quota, et la suppression d'un objet en cours d'utilisation échoue avec error.firewall.in_use.

Automatisation

Avec la CLI

kyvernon firewall groups create --name web-servers --criterion role=web
kyvernon firewall groups create --name admin-networks \
  --prefix 203.0.113.0/24 --prefix 198.51.100.0/28
kyvernon firewall groups members fwgroup-1
kyvernon firewall services create --name api-8443 --entry tcp:8443 --entry icmp4:8
kyvernon firewall services list

Un groupe peut aussi contenir des adresses MAC avec --mac, et une entrée d'un service peut nommer des ports source après un arobase, comme udp:53@1024-65535. La console propose les deux.

Avec l'API

GET et POST /v1/firewall/groups listent et créent des groupes, GET, PUT et DELETE /v1/firewall/groups/{id} en lisent, remplacent et suppriment un, et GET /v1/firewall/groups/{id}/members renvoie les cartes et les adresses résolues. Les services utilisent /v1/firewall/services et /v1/firewall/services/{id} de la même façon. Le paramètre tenant choisit la portée d'un locataire pour un utilisateur du fournisseur, If-Match porte la version et wait=realized attend les hôtes.

Voir aussi

• Règles et stratégies utilise les groupes et les services dans les règles.
• Isolation des locataires explique les groupes partagés et les étiquettes du fournisseur.
• Référence du pare-feu liste les protocoles, les limites et les services intégrés.