Règles et stratégies

Créer des stratégies et des règles de pare-feu, définir catégorie, séquence et portée, ordonner les règles, contrôler les problèmes et publier.

Une stratégie est une liste ordonnée de règles dans une catégorie, et la console garde vos modifications en attente jusqu'à ce que vous les publiiez ensemble. Les locataires et les administrateurs créent des stratégies dans les catégories Environnement et Application avec le privilège Kyvernon.Firewall.ManagePolicies ; les catégories Urgence et Infrastructure demandent Kyvernon.Firewall.ManageProvider.

Dans la console

Sur la page d'accueil, sélectionnez Pare-feu, puis l'onglet Politiques. Un utilisateur du fournisseur peut passer à un locataire avec Périmètre. L'onglet affiche quatre bandes dans l'ordre d'évaluation : Urgence, Infrastructure, Environnement et Application. Une bande que vous ne pouvez pas modifier affiche le badge Politiques du fournisseur : lecture seule.

:::screen fw-policies

Sélectionnez Nouvelle politique. Saisissez un Nom et une Description. Choisissez la Catégorie ; les locataires peuvent utiliser uniquement Environnement et Application. Dans Séquence, saisissez la position de la stratégie dans sa catégorie, la plus basse d'abord ; vide, elle se place après la dernière stratégie. Sous Appliquée à, choisissez les groupes dont les cartes sont couvertes par la stratégie ; vide signifie toutes les cartes réseau de votre portée. Réglez Activée et Avec état selon le besoin, puis sélectionnez Conserver les modifications. La catégorie ne peut plus être modifiée ensuite.

:::screen fw-policy-create

Développez la stratégie avec le bouton plus à son début et sélectionnez Ajouter une règle.
Remplissez la règle. Nom est facultatif. Direction vaut Entrant, Sortant ou Les deux. Choisissez l'Action : Autoriser, Abandonner, Rejeter ou Transmettre, qui n'est pas disponible dans la catégorie Application. Versions IP limite la règle à IPv4, à IPv6 ou aux deux. Pour Sources et Destinations, ajoutez des groupes ou des adresses et préfixes ; la case sous une liste correspond à tout sauf cette liste, et une liste vide signifie n'importe lequel. Pour Services, ajoutez des services nommés ou des entrées avec un protocole et des ports ; vide signifie tout le trafic IP. Appliquée à limite la règle à certains groupes, et vide reprend les groupes de la stratégie. Activez Journaliser les correspondances pour écrire les paquets correspondants dans les enregistrements de journal, et désactivez Activée pour garder une règle sans l'utiliser.

:::screen fw-rule-create

Pour tester la règle, utilisez la section Quelle correspondance en bas de la boîte de dialogue. Choisissez une machine virtuelle sous VM, saisissez l'Adresse de l’autre extrémité, le protocole et le port, puis sélectionnez Vérifier. La réponse nomme le verdict et la règle qui décide. Elle utilise uniquement les règles publiées : vos modifications en attente n'en font pas partie.
Sélectionnez Conserver la règle. La règle est ajoutée à la fin de la stratégie. Les règles sont évaluées de haut en bas et la première correspondance décide : faites glisser une ligne vers un autre endroit, ou utilisez Monter et Descendre. Modifier rouvre la règle et Retirer la retire. L'interrupteur de la colonne Activée active ou désactive une règle, et la colonne Correspondances compte les paquets qui l'ont atteinte.
Les modifications restent dans votre navigateur jusqu'à leur publication et sont perdues si vous rechargez ou quittez la page. Une stratégie modifiée porte le badge Non publiée, et une nouvelle le badge Nouveau. Abandonner les modifications abandonne toutes les modifications en attente.
Sélectionnez le bouton de contrôle de la barre d'outils, qui affiche le nombre de stratégies modifiées. La boîte de dialogue liste, par stratégie, les règles ajoutées, modifiées, retirées ou déplacées, et la section Problèmes de validation. Un problème est une Erreur ou une Remarque. La console contrôle avant de publier : noms vides, catégorie qui appartient au fournisseur, action Transmettre dans Application, plages de ports hors de 1 à 65535, code ICMP sans type, liste niée vide, et services ou groupes inexistants. Tant qu'une erreur est ouverte, Publier reste indisponible ; sélectionnez Retour à l’édition et corrigez-la.
Sélectionnez Publier. La publication attend que les hôtes aient appliqué la modification, et les stratégies sont publiées l'une après l'autre. Si l'une échoue, les autres restent en attente et la boîte de dialogue indique la raison. Un avertissement nomme les hôtes qui n'ont pas encore appliqué la modification ; l'onglet Application sur les hôtes les affiche.
Si quelqu'un d'autre a modifié la stratégie pendant votre édition, la console le signale. Sélectionnez Recharger et conserver mes modifications pour repartir de la version actuelle avec vos modifications et les contrôler à nouveau.
Pour supprimer une stratégie, sélectionnez Supprimer sur sa ligne et confirmez avec Supprimer la politique. La stratégie et toutes ses règles disparaissent d'un coup, et le trafic que ses règles autorisaient peut s'arrêter. Sélectionnez Propriétés pour modifier le nom, la description, la séquence, les groupes ou les interrupteurs d'une stratégie existante ; ces modifications sont publiées comme celles des règles.

Résultat

Les stratégies publiées s'appliquent sur chaque hôte qui a une carte dans leur portée. Les stratégies intégrées portent le badge Intégré, ont un nom qui commence par sys: et ne peuvent être ni modifiées ni supprimées. Un locataire a des quotas pour les groupes, les stratégies et les règles ; une modification au-delà d'un quota échoue avec error.firewall.quota, et une stratégie de locataire dans une autre catégorie échoue avec error.firewall.category_scope. Quand le serveur trouve des erreurs que la console n'a pas vues, la modification échoue avec error.firewall.validation et rien n'est enregistré.

Automatisation

Avec la CLI

Shell

kyvernon firewall policies create --name web-ingress --category environment --sequence 200
kyvernon firewall rules add --policy fwpolicy-3 --name https --action allow --direction in \
  --service tcp:443 --source 203.0.113.0/24 --log true
kyvernon firewall rules move 2 --policy fwpolicy-3 --position 0
kyvernon firewall policies list

Chaque commande modifie aussitôt la stratégie publiée ; il n'y a pas de modifications en attente. Ajoutez --wait pour ne répondre qu'une fois la modification appliquée par les hôtes, et --if-match pour refuser une modification d'une version dépassée.

Avec l'API

GET /v1/firewall/policies liste les stratégies avec leurs règles dans l'ordre d'évaluation, POST /v1/firewall/policies en crée une, et GET, PUT et DELETE /v1/firewall/policies/{id} en lisent, remplacent et suppriment une. Un PUT contient toute la stratégie avec ses règles dans l'ordre, comme la console l'envoie. POST /v1/firewall/policies/{id}/rules, PUT et DELETE /v1/firewall/policies/{id}/rules/{rid} et POST /v1/firewall/policies/{id}/rules/{rid}/move modifient des règles isolées. L'en-tête If-Match porte la version, et le paramètre wait=realized attend les hôtes.

Groupes et services définit ce que les règles désignent.
Règles effectives et simulation montre l'ordre qui s'applique à une carte.
Concepts du pare-feu explique les catégories et l'ordre.
Isolation des locataires liste ce qu'un locataire peut et ne peut pas modifier.
Référence du pare-feu liste les champs et les limites des règles.