Share via

Criar ACLs em um NNI no Azure Operator Nexus

  • Artigo

No Azure Operator Nexus, as listas de controle de acesso (ACLs) para Permit e Deny ações em um nível de interconexão rede a rede (NNI) ajudam a proteger o acesso Secure Shell (SSH) na rede virtual privada (VPN) de gerenciamento. Você cria ACLs de entrada e saída antes da criação de recursos NNI e, em seguida, faz referência a essas ACLs na carga útil NNI. Você precisa criar ACLs de entrada e saída referenciadas antes de provisionar a malha de rede.

Estas são as etapas de alto nível para criar uma ACL em um NNI:

  1. Crie ACLs de entrada e saída de NNI.
  2. Atualize a referência de recursos do Azure Resource Manager em um NNI de gerenciamento.
  3. Crie um NNI e provisione a malha de rede.

Diretrizes de uso de parâmetros

Parâmetro Description Exemplo ou intervalo
defaultAction Ação padrão a ser executada. Se você não defini-lo, o tráfego é permitido. "defaultAction": "Permit"
resource-group Grupo de recursos da malha de rede. nfresourcegroup
resource-name Nome da ACL. example-ingressACL
vlanGroups Lista de grupos de rede local virtual (VLAN).
vlans Lista de VLANs que precisam ser correspondidas.
match-configurations Nome da configuração de correspondência. example_acl. Os espaços e o caractere comercial (&) não são suportados.
matchConditions Condições que devem ser correspondidas.
ttlValues Tempo de vida (TTL). 0-255
dscpMarking Marcações DSCP (Ponto de Código de Serviços) diferenciado que precisam ser correspondidas. 0-63
portCondition Condição da porta que precisa ser correspondida.
portType Tipo de porta que precisa ser correspondido. Exemplo: SourcePort. Valores permitidos: DestinationPort, SourcePort.
protocolTypes Protocolos que precisam ser correspondidos. [tcp, udp, range[1-2, 1, 2]]. Se for um número de protocolo, deve estar no intervalo de 1-255.
vlanMatchCondition Condição de correspondência de VLAN que precisa ser correspondida.
layer4Protocol Protocolo de camada 4. Deve ser ou TCPUDP.
ipCondition Condição de IP que precisa ser correspondida.
actions Ação a ser tomada com base em uma condição de correspondência. Exemplo: permit.
configuration-type Tipo de configuração, que pode ser embutido ou arquivo. Neste momento, o Azure Operator Nexus suporta apenas em linha. Exemplo: inline.

Você também deve estar ciente destas restrições:

  • As portas embutidas e as VLANs embutidas são uma maneira estática de definir as portas ou VLANs usando azclio .
  • portGroupNames e vlanGroupNames são formas dinâmicas de definir portas e VLANs.
  • Portas em linha e portGroupNames juntas não são permitidas.
  • VLANs em linha e vlanGroupNames juntas não são permitidas.
  • ipGroupNames e ipPrefixValues juntos não são permitidos.
  • As ACLs de saída não suportam opções de IP, comprimento de IP, fragmento, EtherType, marcação DSCP ou valores TTL.
  • As ACLs de ingresso não suportam opções EtherType.

Criar uma ACL de entrada

Para criar uma ACL de entrada, você pode usar o seguinte comando da CLI do Azure. Este comando cria uma ACL de entrada com as configurações especificadas e fornece o resultado esperado como saída. Ajuste os parâmetros conforme necessário para o seu caso de uso.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4ingressACL"
--configuration-type "Inline"
--default-action "Permit"
--dynamic-match-configurations "[{ipGroups:[{name:'example-ipGroup',ipAddressType:IPv4,ipPrefixes:['10.20.3.1/20']}],vlanGroups:[{name:'example-vlanGroup',vlans:['20-30']}],portGroups:[{name:'example-portGroup',ports:['100-200']}]}]"
--match-configurations "[{matchConfigurationName:'example-match',sequenceNumber:123,ipAddressType:IPv4,matchConditions:[{etherTypes:['0x1'],fragments:['0xff00-0xffff'],ipLengths:['4094-9214'],ttlValues:[23],dscpMarkings:[32],portCondition:{flags:[established],portType:SourcePort,layer4Protocol:TCP,ports:['1-20']},protocolTypes:[TCP],vlanMatchCondition:{vlans:['20-30'],innerVlans:[30]},ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.20.20.20/12']}}],actions:[{type:Count,counterName:'example-counter'}]}]"

Resultado esperado

{
    "properties": {
        "lastSyncedTime": "2023-06-17T08:56:23.203Z",
        "configurationState": "Succeeded",
        "provisioningState": "Accepted",
        "administrativeState": "Enabled",
        "annotation": "annotation",
        "configurationType": "File",
        "aclsUrl": "https://ACL-Storage-URL",
        "matchConfigurations": [{
            "matchConfigurationName": "example-match",
            "sequenceNumber": 123,
            "ipAddressType": "IPv4",
            "matchConditions": [{
                "etherTypes": ["0x1"],
                "fragments": ["0xff00-0xffff"],
                "ipLengths": ["4094-9214"],
                "ttlValues": [23],
                "dscpMarkings": [32],
                "portCondition": {
                    "flags": ["established"],
                    "portType": "SourcePort",
                    "l4Protocol": "TCP",
                    "ports": ["1-20"],
                    "portGroupNames": ["example-portGroup"]
                },
                "protocolTypes": ["TCP"],
                "vlanMatchCondition": {
                    "vlans": ["20-30"],
                    "innerVlans": [30],
                    "vlanGroupNames": ["example-vlanGroup"]
                },
                "ipCondition": {
                    "type": "SourceIP",
                    "prefixType": "Prefix",
                    "ipPrefixValues": ["10.20.20.20/12"],
                    "ipGroupNames": ["example-ipGroup"]
                }
            }]
        }],
        "actions": [{
            "type": "Count",
            "counterName": "example-counter"
        }]
    },
    "tags": {
        "keyID": "KeyValue"
    },
    "location": "eastUs",
    "id": "/subscriptions/xxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.ManagedNetworkFabric/accessControlLists/acl",
    "name": "example-Ipv4ingressACL",
    "type": "microsoft.managednetworkfabric/accessControlLists",
    "systemData": {
        "createdBy": "email@address.com",
        "createdByType": "User",
        "createdAt": "2023-06-09T04:51:41.251Z",
        "lastModifiedBy": "UserId",
        "lastModifiedByType": "User",
        "lastModifiedAt": "2023-06-09T04:51:41.251Z"
    }
}

Criar uma ACL de saída

Para criar uma ACL de saída, você pode usar o seguinte comando da CLI do Azure. Este comando cria uma ACL de saída com as configurações especificadas e fornece o resultado esperado como saída. Ajuste os parâmetros conforme necessário para o seu caso de uso.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4egressACL"
--configuration-type "File"
--acls-url "https://ACL-Storage-URL"
--default-action "Permit"
--dynamic-match-configurations "[{ipGroups:[{name:'example-ipGroup',ipAddressType:IPv4,ipPrefixes:['10.20.3.1/20']}],vlanGroups:[{name:'example-vlanGroup',vlans:['20-30']}],portGroups:[{name:'example-portGroup',ports:['100-200']}]}]"

Resultado esperado

{
    "properties": {
        "lastSyncedTime": "2023-06-17T08:56:23.203Z",
        "configurationState": "Succeeded",
        "provisioningState": "Accepted",
        "administrativeState": "Enabled",
        "annotation": "annotation",
        "configurationType": "File",
        "aclsUrl": "https://ACL-Storage-URL",
        "dynamicMatchConfigurations": [{
            "ipGroups": [{
                "name": "example-ipGroup",
                "ipAddressType": "IPv4",
                "ipPrefixes": ["10.20.3.1/20"]
            }],
            "vlanGroups": [{
                "name": "example-vlanGroup",
                "vlans": ["20-30"]
            }],
            "portGroups": [{
                "name": "example-portGroup",
                "ports": ["100-200"]
            }]
        }]
    },
    "tags": {
        "keyID": "KeyValue"
    },
    "location": "eastUs",
    "id": "/subscriptions/xxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.ManagedNetworkFabric/accessControlLists/acl",
    "name": "example-Ipv4egressACL",
    "type": "microsoft.managednetworkfabric/accessControlLists",
    "systemData": {
        "createdBy": "email@address.com",
        "createdByType": "User",
        "createdAt": "2023-06-09T04:51:41.251Z",
        "lastModifiedBy": "UserId",
        "lastModifiedByType": "User",
        "lastModifiedAt": "2023-06-09T04:51:41.251Z"
    }
}

Atualizar a referência do Resource Manager

Esta etapa permite a criação de ACLs (entrada e saída se uma referência for fornecida) durante a criação do recurso NNI. Depois de criar o NNI e antes de provisionar a malha de rede, você pode executar a recolocação no NNI.

  • ingressAclId: ID de referência para a ACL de entrada.
  • egressAclId: ID de referência para a ACL de saída.

Para obter o ID de recurso do Resource Manager, aceda ao grupo de recursos da subscrição que está a utilizar.

O comando a seguir atualiza a referência do Gerenciador de Recursos para o recurso NNI associando-o às ACLs de entrada e saída fornecidas. Ajuste os parâmetros conforme necessário para o seu caso de uso.

az networkfabric nni create
--resource-group "example-rg"
--fabric "example-fabric"
--resource-name "example-nniwithACL"
--nni-type "CE"
--is-management-type "True"
--use-option-b "True"
--layer2-configuration "{interfaces:['/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/networkDevices/example-networkDevice/networkInterfaces/example-interface'],mtu:1500}"
--option-b-layer3-configuration "{peerASN:28,vlanId:501,primaryIpv4Prefix:'10.18.0.124/30',secondaryIpv4Prefix:'10.18.0.128/30',primaryIpv6Prefix:'10:2:0:124::400/127',secondaryIpv6Prefix:'10:2:0:124::402/127'}"
--ingress-acl-id "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accesscontrollists/example-Ipv4ingressACL"
--egress-acl-id "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accesscontrollists/example-Ipv4egressACL"

Mostrar detalhes da ACL

Para exibir os detalhes de uma ACL especificada, use o seguinte comando:

az networkfabric acl show --resource-group "example-rg" --resource-name "example-acl"

Listar ACLs

Para listar todas as ACLs dentro de um grupo de recursos especificado, use o seguinte comando:

az networkfabric acl list --resource-group "ResourceGroupName"

Criar ACLs na rede externa ISD

Use as informações a seguir para criar ACLs de entrada e saída para a rede externa de domínio de isolamento (ISD). Em seguida, atualize a referência de recursos do Gerenciador de Recursos para a rede externa.

Criar uma ACL de saída para a rede externa ISD

Para criar uma ACL de saída para a rede externa ISD especificada com a configuração fornecida, use o seguinte comando. Ajuste os parâmetros conforme necessário para o seu caso de uso.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4egressACL"
--annotation "annotation"
--configuration-type "Inline"
--default-action "Deny"
--match-configurations "[{matchConfigurationName:'L3ISD_EXT_OPTA_EGRESS_ACL_IPV4_CE_PE',sequenceNumber:1110,ipAddressType:IPv4,matchConditions:[{ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}},{ipCondition:{type:DestinationIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}}],actions:[{type:Count}]}]"

Resultado esperado

Após a execução bem-sucedida, o comando retorna informações sobre a ACL criada no seguinte formato. Esta saída inclui detalhes sobre a configuração e o estado.

{
    "administrativeState": "Disabled",
    "annotation": "annotation",
    "configurationState": "Succeeded",
    "configurationType": "Inline",
    "defaultAction": "Deny",
    "id": "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accessControlLists/example-Ipv4egressACL",
    "location": "eastus2euap",
    "matchConfigurations": [
        {
            "actions": [
                {
                    "type": "Count"
                }
            ],
            "ipAddressType": "IPv4",
            "matchConditions": [
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "SourceIP"
                    }
                },
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "DestinationIP"
                    }
                }
            ],
            "matchConfigurationName": "L3ISD_EXT_OPTA_EGRESS_ACL_IPV4_CE_PE",
            "sequenceNumber": 1110
        }
    ],
    "name": "example-Ipv4egressACL",
    "provisioningState": "Succeeded",
    "resourceGroup": "example-rg",
    "systemData": {
        "createdAt": "2023-09-11T10:20:20.2617941Z",
        "createdBy": "email@address.com",
        "createdByType": "User",
        "lastModifiedAt": "2023-09-11T10:20:20.2617941Z",
        "lastModifiedBy": "email@address.com",
        "lastModifiedByType": "User"
    },
    "type": "microsoft.managednetworkfabric/accesscontrollists"
}

Criar uma ACL de entrada para a rede externa ISD

Para criar uma ACL de entrada para a rede externa ISD especificada com a configuração fornecida, use o seguinte comando. Ajuste os parâmetros conforme necessário para o seu caso de uso.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4ingressACL"
--annotation "annotation"
--configuration-type "Inline"
--default-action "Deny"
--match-configurations "[{matchConfigurationName:'L3ISD_EXT_OPTA_INGRESS_ACL_IPV4_CE_PE',sequenceNumber:1110,ipAddressType:IPv4,matchConditions:[{ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}},{ipCondition:{type:DestinationIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}}],actions:[{type:Count}]}]"

Resultado esperado

Após a execução bem-sucedida, o comando retorna informações sobre a ACL criada no seguinte formato. Esta saída inclui detalhes sobre a configuração e o estado.

{
    "administrativeState": "Disabled",
    "annotation": "annotation",
    "configurationState": "Succeeded",
    "configurationType": "Inline",
    "defaultAction": "Deny",
    "id": "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accessControlLists/example-Ipv4ingressACL",
    "location": "eastus2euap",
    "matchConfigurations": [
        {
            "actions": [
                {
                    "type": "Count"
                }
            ],
            "ipAddressType": "IPv4",
            "matchConditions": [
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "SourceIP"
                    }
                },
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "DestinationIP"
                    }
                }
            ],
            "matchConfigurationName": "L3ISD_EXT_OPTA_INGRESS_ACL_IPV4_CE_PE",
            "sequenceNumber": 1110
        }
    ],
    "name": "example-Ipv4ingressACL",
    "provisioningState": "Succeeded",
    "resourceGroup": "example-rg",
    "systemData": {
        "createdAt": "2023-09-11T10:20:20.2617941Z",
        "createdBy": "email@address.com",
        "createdByType": "User",
        "lastModifiedAt": "2023-09-11T10:27:27.2317467Z",
        "lastModifiedBy": "email@address.com",
        "lastModifiedByType": "User"
    },
    "type": "microsoft.managednetworkfabric/accesscontrollists"
}