De firewall uitrollen naar bestaande virtuele machines

Bestaande virtuele machines blijven werken zoals voorheen: elke netwerkadapter start in de modus Uit en er wordt niets gefilterd totdat een beheerder de modus wijzigt. De veilige volgorde is eerst monitoren, lezen wat de regels zouden hebben geblokkeerd, de voorgestelde regels accepteren en daarna afdwingen met een bevestigingstimer. De modus wijzigen vereist de providerbevoegdheid om de firewall te beheren, het rapport lezen vereist de bevoegdheid om logs te lezen, en een voorstel accepteren vereist de bevoegdheid om beleid te beheren.

In de console

1. Selecteer op de startpagina Firewall en open het tabblad Uitrol. Het tabblad is er alleen voor gebruikers die modi mogen wijzigen.

   (Groter weergeven)

   Grotere weergave sluiten
2. Lees de totalen boven de lijst: het aantal netwerkadapters per modus. Gebruik VM's tonen met modus om alleen de virtuele machines te tonen met een adapter in één modus. De lijst toont per virtuele machine de Host, het aantal Adapters, de Modi en eventueel Terugzetting in behandeling.
3. Selecteer Modus wijzigen op de rij van een virtuele machine om te beginnen met monitoren. Kies onder Nieuwe modus de modus Monitor, voer zo nodig een Reden in en selecteer Modus omschakelen. De regels draaien nu: pakketten die ze zouden weigeren worden geteld en gemeld, en elk pakket wordt nog steeds doorgelaten. Een adapter die Onbeschermd is, kan de modus Uit niet verlaten; zie Firewall-probleemoplossing.
4. Laat de virtuele machine lang genoeg in Monitor om het gewone verkeer te zien, zoals de wekelijkse taak. Het rapport beslaat het aantal dagen dat is ingesteld in Dagen die een monitorrapport beslaat op het tabblad Instellingen.

5. Selecteer Rapport op de rij om het rapport te lezen. Hetzelfde rapport staat op het tabblad Firewall van de virtuele machine, in de kaart Monitorrapport.

   (Groter weergeven)

   Grotere weergave sluiten
6. Lees de samenvattende regel met het aantal pakketten dat geweigerd zou zijn. In de tabel is elke rij één service die op een adapter is gezien: de Adapter, de Richting, de Dienst, het Pakketten, Eerst gezien en Laatst gezien, en enkele Voorbeeldbronnen, ten hoogste 16 per service. Als de tabel leeg is, zou niets zijn geweigerd, of staat de virtuele machine nog niet in de modus Monitor.
7. Lees het Voorstel. Kyvernon stelt een sjabloon voor als het geziene inkomende verkeer bij een sjabloon past (web of mail-server), en anders één toestaan-regel voor elke geziene inkomende TCP- of UDP-poort. Uitgaand verkeer en ICMP staan in het rapport maar worden niet voorgesteld. Selecteer Accepteren naast een onderdeel om die poort te openen of dat sjabloon toe te passen, zoals in Een poort openen. Als er meer regels worden voorgesteld, accepteert nog een knop ze allemaal.

8. Selecteer opnieuw Modus wijzigen om af te dwingen. Kies onder Nieuwe modus de modus Afdwingen. Laat Bevestigen binnen op het voorgestelde 10 minuten staan, of kies een periode van 1 minuut tot 4 uur, en selecteer Modus omschakelen. Zonder timer kan een fout in de regels u buitensluiten van de virtuele machine, en het venster waarschuwt daarvoor.

   (Groter weergeven)

   Grotere weergave sluiten
9. Zolang de timer loopt, toont de pagina een melding met een aftelling voor elke adapter die terugkeert tenzij u bevestigt. Controleer of u de virtuele machine nog kunt bereiken, bijvoorbeeld met een nieuwe SSH-sessie, en of de services van buitenaf antwoorden. Selecteer daarna De nieuwe modus bevestigen op het tabblad Firewall van de virtuele machine, of Bevestigen op de rij in de uitrollijst.
10. Om een virtuele machine voorlopig open te houden, laat u hem in Monitor staan, of zet u zijn profiel op open op het tabblad Firewall: kies het profiel onder de adapter en selecteer Profiel instellen. Een publieke adapter met dat profiel toont een waarschuwing op het tabblad.

Resultaat

De rij van de virtuele machine toont Afdwingen voor elke bevestigde adapter, en de melding met de aftelling is verdwenen. Als de tijd verstrijkt zonder bevestiging, komt de vorige modus vanzelf terug en toont de console dat na een moment. De modus keert terug naar wat de adapter had vóór de eerste niet-bevestigde overgang, zodat twee snelle overgangen toch teruggaan naar het beginpunt. De gebeurtenis voor een overgang die is teruggedraaid heeft de ernst waarschuwing.

Nieuwe netwerkadapters

Netwerkadapters die vanaf nu worden toegevoegd, starten net als de bestaande in de modus Uit. De schakelaar Nieuwe netwerkadapters afdwingen op het tabblad Instellingen laat nieuwe adapters starten in Afdwingen met het standaardprofiel van hun soort. Bestaande adapters worden niet gewijzigd. Zie Standaardprofielen.

Automatisering

Met de CLI

kyvernon firewall mode vm-7 monitor --reason "start of rollout"
kyvernon firewall monitor vm-7
kyvernon firewall open-port vm-7 --tcp 443
kyvernon firewall mode vm-7 enforce --confirm-within 10m
kyvernon firewall mode confirm vm-7

--nic beperkt een overgang tot één adapter. De timer accepteert 30 seconden tot 24 uur.

Met de API

• POST /v1/vms/{id}/firewall/mode met {"mode": "enforce", "confirmWithin": 600} start een taak. confirmWithin is in seconden, van 30 tot 86.400; nics en reason zijn optioneel.
• POST /v1/vms/{id}/firewall/mode/confirm bevestigt de overgangen van de virtuele machine die wachten.
• GET /v1/vms/{id}/firewall/monitor geeft het rapport en het voorstel.

Een bevestiging terwijl niets te bevestigen is, mislukt met error.firewall.not_pending, en een adapter die niet door de firewall beschermd kan worden met error.firewall.unprotected.

Zie ook

• Firewallconcepten
• Realisatie op hosts toont of de hosts de modus toepassen.
• Effectieve regels
• Noodomzeiling
• Firewall-probleemoplossing