Déployer le pare-feu sur les machines virtuelles existantes

Les machines virtuelles existantes continuent de fonctionner comme avant : chaque carte réseau démarre en mode Désactivé et rien n'est filtré tant qu'un administrateur ne change pas le mode. L'ordre sûr consiste à surveiller d'abord, à lire ce que les règles auraient bloqué, à accepter les règles proposées, puis à appliquer avec un délai de confirmation. Changer le mode exige le privilège fournisseur de gérer le pare-feu, lire le rapport exige le privilège de lire les journaux, et accepter une proposition exige le privilège de gérer les stratégies.

Dans la console

1. Sur la page d'accueil, sélectionnez Pare-feu et ouvrez l'onglet Déploiement. L'onglet n'est présent que pour les utilisateurs qui peuvent changer les modes.

   (Agrandir)

   Fermer la vue agrandie
2. Lisez les totaux au-dessus de la liste : le nombre de cartes réseau dans chaque mode. Utilisez Afficher les VM en mode pour n'afficher que les machines virtuelles qui ont une carte dans un mode. La liste indique pour chaque machine virtuelle l'Hôte, le nombre de Cartes, les Modes et un éventuel Retour en attente.
3. Pour démarrer la surveillance, sélectionnez Changer de mode sur la ligne d'une machine virtuelle. Sous Nouveau mode, choisissez Surveillance, saisissez si besoin une Motif, puis sélectionnez Changer de mode. Les règles s'exécutent alors : les paquets qu'elles abandonneraient sont comptés et signalés, et tous les paquets sont quand même transmis. Une carte Non protégé ne peut pas quitter le mode Désactivé ; voir Dépannage du pare-feu.
4. Laissez la machine virtuelle en Surveillance assez longtemps pour voir son trafic habituel, comme la tâche hebdomadaire. Le rapport couvre le nombre de jours défini par Jours couverts par un rapport de surveillance sur l'onglet Paramètres.

5. Pour lire le rapport, sélectionnez Rapport sur la ligne. Le même rapport se trouve sur l'onglet Pare-feu de la machine virtuelle, dans l'encadré Rapport de surveillance.

   (Agrandir)

   Fermer la vue agrandie
6. Lisez la ligne de synthèse avec le nombre de paquets qui auraient été abandonnés. Dans le tableau, chaque ligne est un service vu sur une carte : la Carte, le Direction, le Service, le Paquets, Première occurrence et Dernière occurrence, ainsi que quelques Exemples de sources, 16 au plus par service. Quand le tableau est vide, rien n'aurait été abandonné, ou la machine virtuelle n'est pas encore en mode Surveillance.
7. Lisez la Proposition. Kyvernon propose un modèle quand le trafic entrant observé en correspond à un (web ou mail-server), et sinon une règle d'autorisation pour chaque port TCP ou UDP entrant observé. Le trafic sortant et ICMP figurent dans le rapport mais ne sont pas proposés. Sélectionnez Accepter à côté d'un élément pour ouvrir ce port ou appliquer ce modèle, comme dans Ouvrir un port. Quand plusieurs règles sont proposées, un bouton supplémentaire les accepte toutes.

8. Pour appliquer les règles, sélectionnez à nouveau Changer de mode. Sous Nouveau mode, choisissez Application forcée. Laissez Confirmer dans un délai de sur sa valeur proposée de 10 minutes, ou choisissez une durée de 1 minute à 4 heures, puis sélectionnez Changer de mode. Sans délai, une erreur dans les règles peut vous exclure de la machine virtuelle, et la boîte de dialogue le signale.

   (Agrandir)

   Fermer la vue agrandie
9. Pendant que le délai court, la page affiche un avis avec un compte à rebours pour chaque carte qui revient en arrière sans confirmation. Vérifiez que vous joignez toujours la machine virtuelle, par exemple avec une nouvelle session SSH, et que ses services répondent depuis l'extérieur. Sélectionnez ensuite Confirmer le nouveau mode sur l'onglet Pare-feu de la machine virtuelle, ou Confirmer sur sa ligne de la liste de déploiement.
10. Pour garder une machine virtuelle ouverte pour l'instant, laissez-la en Surveillance, ou donnez-lui le profil open sur son onglet Pare-feu : choisissez le profil sous la carte réseau et sélectionnez Définir le profil. Une carte publique avec ce profil affiche un avertissement sur l'onglet.

Résultat

La ligne de la machine virtuelle affiche Application forcée pour chaque carte confirmée, et l'avis du compte à rebours a disparu. Quand le délai expire sans confirmation, le mode précédent revient de lui-même et la console l'affiche après un instant. Il revient au mode que la carte avait avant le premier changement non confirmé, de sorte que deux changements rapprochés ramènent quand même au point de départ. L'événement d'un changement annulé a la gravité avertissement.

Nouvelles cartes réseau

Les cartes réseau ajoutées à partir de maintenant démarrent en mode Désactivé, comme les cartes existantes. Le commutateur Appliquer le pare-feu aux nouvelles cartes réseau de l'onglet Paramètres fait démarrer les nouvelles cartes en Application forcée avec le profil par défaut de leur type. Il ne modifie pas les cartes existantes. Voir Profils par défaut.

Automatisation

Avec la CLI

kyvernon firewall mode vm-7 monitor --reason "start of rollout"
kyvernon firewall monitor vm-7
kyvernon firewall open-port vm-7 --tcp 443
kyvernon firewall mode vm-7 enforce --confirm-within 10m
kyvernon firewall mode confirm vm-7

--nic limite un changement à une carte. Le délai accepte de 30 secondes à 24 heures.

Avec l'API

• POST /v1/vms/{id}/firewall/mode avec {"mode": "enforce", "confirmWithin": 600} démarre une tâche. confirmWithin est en secondes, de 30 à 86 400 ; nics et reason sont facultatifs.
• POST /v1/vms/{id}/firewall/mode/confirm confirme les changements de la machine virtuelle qui attendent.
• GET /v1/vms/{id}/firewall/monitor renvoie le rapport et la proposition.

Une confirmation sans rien à confirmer échoue avec error.firewall.not_pending, et une carte qui ne peut pas être protégée par le pare-feu avec error.firewall.unprotected.

Voir aussi

• Concepts du pare-feu
• Application sur les hôtes montre si les hôtes appliquent le mode.
• Règles effectives
• Contournement d'urgence
• Dépannage du pare-feu