Dela via

Skapa ACL:er på ett NNI i Azure Operator Nexus

  • Artikel

I Azure Operator Nexus hjälper åtkomstkontrollistor (ACL: er) för Permit och Deny åtgärder på NNI-nivå (network-to-network interconnect) till att skydda SSH-åtkomst (Secure Shell) i det virtuella privata hanteringsnätverket (VPN). Du skapar inkommande och utgående ACL:er innan du skapar NNI-resurser och refererar sedan till dessa ACL:er i NNI-nyttolasten. Du måste skapa refererade inkommande och utgående ACL:er innan du etablerar nätverksinfrastrukturen.

Det här är de övergripande stegen för att skapa en ACL på ett NNI:

  1. Skapa åtkomstkontrollistor för NNI-ingress och utgående åtkomstkontrollistor.
  2. Uppdatera resursreferensen för Azure Resource Manager i ett hanterings-NNI.
  3. Skapa ett NNI och etablera nätverksinfrastrukturen.

Vägledning för parameteranvändning

Parameter Description Exempel eller intervall
defaultAction Standardåtgärd som ska vidtas. Om du inte definierar det tillåts trafik. "defaultAction": "Permit"
resource-group Resursgrupp för nätverksinfrastrukturen. nfresourcegroup
resource-name Namnet på ACL:en. example-ingressACL
vlanGroups Lista över VLAN-grupper (Virtual Local Area Network).
vlans Lista över VLAN som måste matchas.
match-configurations Namnet på matchningskonfigurationen. example_acl. Blanksteg och tecknet (&) stöds inte.
matchConditions Villkor som måste matchas.
ttlValues Time to live (TTL). 0-255
dscpMarking DSCP-markeringar (Differentiated Services Code Point) som måste matchas. 0-63
portCondition Portvillkor som måste matchas.
portType Porttyp som måste matchas. Exempel: SourcePort. Tillåtna värden: DestinationPort, SourcePort.
protocolTypes Protokoll som måste matchas. [tcp, udp, range[1-2, 1, 2]]. Om det är ett protokollnummer bör det ligga i intervallet 1-255för .
vlanMatchCondition VLAN-matchningsvillkor som måste matchas.
layer4Protocol Layer 4-protokoll. Ska vara antingen TCP eller UDP.
ipCondition IP-villkor som måste matchas.
actions Åtgärder som ska vidtas baserat på ett matchningsvillkor. Exempel: permit.
configuration-type Konfigurationstyp, som kan vara infogad eller fil. För närvarande stöder Azure Operator Nexus endast infogade. Exempel: inline.

Du bör också vara medveten om dessa begränsningar:

  • Infogade portar och infogade VLAN är ett statiskt sätt att definiera portarna eller VLAN med hjälp azcliav .
  • portGroupNames och vlanGroupNames är dynamiska sätt att definiera portar och VLAN.
  • Infogade portar och portGroupNames tillsammans tillåts inte.
  • Infogade VLAN och vlanGroupNames tillsammans tillåts inte.
  • ipGroupNames och ipPrefixValues tillsammans är inte tillåtna.
  • Utgående ACL:er stöder inte IP-alternativ, IP-längd, fragment, EtherType, DSCP-märkning eller TTL-värden.
  • Ingress-ACL:er stöder inte EtherType-alternativ.

Skapa en ingående ACL

Om du vill skapa en inkommande ACL kan du använda följande Azure CLI-kommando. Det här kommandot skapar en inkommande ACL med de angivna konfigurationerna och ger det förväntade resultatet som utdata. Justera parametrarna efter behov för ditt användningsfall.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4ingressACL"
--configuration-type "Inline"
--default-action "Permit"
--dynamic-match-configurations "[{ipGroups:[{name:'example-ipGroup',ipAddressType:IPv4,ipPrefixes:['10.20.3.1/20']}],vlanGroups:[{name:'example-vlanGroup',vlans:['20-30']}],portGroups:[{name:'example-portGroup',ports:['100-200']}]}]"
--match-configurations "[{matchConfigurationName:'example-match',sequenceNumber:123,ipAddressType:IPv4,matchConditions:[{etherTypes:['0x1'],fragments:['0xff00-0xffff'],ipLengths:['4094-9214'],ttlValues:[23],dscpMarkings:[32],portCondition:{flags:[established],portType:SourcePort,layer4Protocol:TCP,ports:['1-20']},protocolTypes:[TCP],vlanMatchCondition:{vlans:['20-30'],innerVlans:[30]},ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.20.20.20/12']}}],actions:[{type:Count,counterName:'example-counter'}]}]"

Förväntad utdata

{
    "properties": {
        "lastSyncedTime": "2023-06-17T08:56:23.203Z",
        "configurationState": "Succeeded",
        "provisioningState": "Accepted",
        "administrativeState": "Enabled",
        "annotation": "annotation",
        "configurationType": "File",
        "aclsUrl": "https://ACL-Storage-URL",
        "matchConfigurations": [{
            "matchConfigurationName": "example-match",
            "sequenceNumber": 123,
            "ipAddressType": "IPv4",
            "matchConditions": [{
                "etherTypes": ["0x1"],
                "fragments": ["0xff00-0xffff"],
                "ipLengths": ["4094-9214"],
                "ttlValues": [23],
                "dscpMarkings": [32],
                "portCondition": {
                    "flags": ["established"],
                    "portType": "SourcePort",
                    "l4Protocol": "TCP",
                    "ports": ["1-20"],
                    "portGroupNames": ["example-portGroup"]
                },
                "protocolTypes": ["TCP"],
                "vlanMatchCondition": {
                    "vlans": ["20-30"],
                    "innerVlans": [30],
                    "vlanGroupNames": ["example-vlanGroup"]
                },
                "ipCondition": {
                    "type": "SourceIP",
                    "prefixType": "Prefix",
                    "ipPrefixValues": ["10.20.20.20/12"],
                    "ipGroupNames": ["example-ipGroup"]
                }
            }]
        }],
        "actions": [{
            "type": "Count",
            "counterName": "example-counter"
        }]
    },
    "tags": {
        "keyID": "KeyValue"
    },
    "location": "eastUs",
    "id": "/subscriptions/xxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.ManagedNetworkFabric/accessControlLists/acl",
    "name": "example-Ipv4ingressACL",
    "type": "microsoft.managednetworkfabric/accessControlLists",
    "systemData": {
        "createdBy": "email@address.com",
        "createdByType": "User",
        "createdAt": "2023-06-09T04:51:41.251Z",
        "lastModifiedBy": "UserId",
        "lastModifiedByType": "User",
        "lastModifiedAt": "2023-06-09T04:51:41.251Z"
    }
}

Skapa en utgående ACL

Om du vill skapa en utgående ACL kan du använda följande Azure CLI-kommando. Det här kommandot skapar en utgående ACL med de angivna konfigurationerna och ger det förväntade resultatet som utdata. Justera parametrarna efter behov för ditt användningsfall.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4egressACL"
--configuration-type "File"
--acls-url "https://ACL-Storage-URL"
--default-action "Permit"
--dynamic-match-configurations "[{ipGroups:[{name:'example-ipGroup',ipAddressType:IPv4,ipPrefixes:['10.20.3.1/20']}],vlanGroups:[{name:'example-vlanGroup',vlans:['20-30']}],portGroups:[{name:'example-portGroup',ports:['100-200']}]}]"

Förväntad utdata

{
    "properties": {
        "lastSyncedTime": "2023-06-17T08:56:23.203Z",
        "configurationState": "Succeeded",
        "provisioningState": "Accepted",
        "administrativeState": "Enabled",
        "annotation": "annotation",
        "configurationType": "File",
        "aclsUrl": "https://ACL-Storage-URL",
        "dynamicMatchConfigurations": [{
            "ipGroups": [{
                "name": "example-ipGroup",
                "ipAddressType": "IPv4",
                "ipPrefixes": ["10.20.3.1/20"]
            }],
            "vlanGroups": [{
                "name": "example-vlanGroup",
                "vlans": ["20-30"]
            }],
            "portGroups": [{
                "name": "example-portGroup",
                "ports": ["100-200"]
            }]
        }]
    },
    "tags": {
        "keyID": "KeyValue"
    },
    "location": "eastUs",
    "id": "/subscriptions/xxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.ManagedNetworkFabric/accessControlLists/acl",
    "name": "example-Ipv4egressACL",
    "type": "microsoft.managednetworkfabric/accessControlLists",
    "systemData": {
        "createdBy": "email@address.com",
        "createdByType": "User",
        "createdAt": "2023-06-09T04:51:41.251Z",
        "lastModifiedBy": "UserId",
        "lastModifiedByType": "User",
        "lastModifiedAt": "2023-06-09T04:51:41.251Z"
    }
}

Uppdatera Resource Manager-referensen

Det här steget gör det möjligt att skapa ACL:er (inkommande och utgående om en referens anges) när NNI-resursen skapas. När du har skapat NNI och innan du etablerar nätverksinfrastrukturen kan du utföra en ny sättning på NNI:n.

  • ingressAclId: Referens-ID för den inkommande ACL:en.
  • egressAclId: Referens-ID för utgående ACL.

Om du vill hämta Resurshanterarens resurs-ID går du till resursgruppen för den prenumeration som du använder.

Följande kommando uppdaterar Resource Manager-referensen för NNI-resursen genom att associera den med de angivna inkommande och utgående ACL:erna. Justera parametrarna efter behov för ditt användningsfall.

az networkfabric nni create
--resource-group "example-rg"
--fabric "example-fabric"
--resource-name "example-nniwithACL"
--nni-type "CE"
--is-management-type "True"
--use-option-b "True"
--layer2-configuration "{interfaces:['/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/networkDevices/example-networkDevice/networkInterfaces/example-interface'],mtu:1500}"
--option-b-layer3-configuration "{peerASN:28,vlanId:501,primaryIpv4Prefix:'10.18.0.124/30',secondaryIpv4Prefix:'10.18.0.128/30',primaryIpv6Prefix:'10:2:0:124::400/127',secondaryIpv6Prefix:'10:2:0:124::402/127'}"
--ingress-acl-id "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accesscontrollists/example-Ipv4ingressACL"
--egress-acl-id "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accesscontrollists/example-Ipv4egressACL"

Visa ACL-information

Om du vill visa information om en angiven ACL använder du följande kommando:

az networkfabric acl show --resource-group "example-rg" --resource-name "example-acl"

Lista ACL:er

Om du vill visa en lista över alla ACL:er i en angiven resursgrupp använder du följande kommando:

az networkfabric acl list --resource-group "ResourceGroupName"

Skapa ACL:er i det externa ISD-nätverket

Använd följande information för att skapa inkommande och utgående ACL:er för det externa nätverket för isoleringsdomänen (ISD). Uppdatera resursreferensen för Resource Manager för det externa nätverket.

Skapa en utgående ACL för det externa ISD-nätverket

Om du vill skapa en utgående ACL för det angivna externa ISD-nätverket med den angivna konfigurationen använder du följande kommando. Justera parametrarna efter behov för ditt användningsfall.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4egressACL"
--annotation "annotation"
--configuration-type "Inline"
--default-action "Deny"
--match-configurations "[{matchConfigurationName:'L3ISD_EXT_OPTA_EGRESS_ACL_IPV4_CE_PE',sequenceNumber:1110,ipAddressType:IPv4,matchConditions:[{ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}},{ipCondition:{type:DestinationIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}}],actions:[{type:Count}]}]"

Förväntad utdata

Vid lyckad körning returnerar kommandot information om den skapade ACL:en i följande format. Det här utdata innehåller information om konfigurationen och tillståndet.

{
    "administrativeState": "Disabled",
    "annotation": "annotation",
    "configurationState": "Succeeded",
    "configurationType": "Inline",
    "defaultAction": "Deny",
    "id": "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accessControlLists/example-Ipv4egressACL",
    "location": "eastus2euap",
    "matchConfigurations": [
        {
            "actions": [
                {
                    "type": "Count"
                }
            ],
            "ipAddressType": "IPv4",
            "matchConditions": [
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "SourceIP"
                    }
                },
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "DestinationIP"
                    }
                }
            ],
            "matchConfigurationName": "L3ISD_EXT_OPTA_EGRESS_ACL_IPV4_CE_PE",
            "sequenceNumber": 1110
        }
    ],
    "name": "example-Ipv4egressACL",
    "provisioningState": "Succeeded",
    "resourceGroup": "example-rg",
    "systemData": {
        "createdAt": "2023-09-11T10:20:20.2617941Z",
        "createdBy": "email@address.com",
        "createdByType": "User",
        "lastModifiedAt": "2023-09-11T10:20:20.2617941Z",
        "lastModifiedBy": "email@address.com",
        "lastModifiedByType": "User"
    },
    "type": "microsoft.managednetworkfabric/accesscontrollists"
}

Skapa en inkommande ACL för det externa ISD-nätverket

Om du vill skapa en inkommande ACL för det angivna externa ISD-nätverket med den angivna konfigurationen använder du följande kommando. Justera parametrarna efter behov för ditt användningsfall.

az networkfabric acl create
--resource-group "example-rg"
--location "eastus2euap"
--resource-name "example-Ipv4ingressACL"
--annotation "annotation"
--configuration-type "Inline"
--default-action "Deny"
--match-configurations "[{matchConfigurationName:'L3ISD_EXT_OPTA_INGRESS_ACL_IPV4_CE_PE',sequenceNumber:1110,ipAddressType:IPv4,matchConditions:[{ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}},{ipCondition:{type:DestinationIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}}],actions:[{type:Count}]}]"

Förväntad utdata

Vid lyckad körning returnerar kommandot information om den skapade ACL:en i följande format. Det här utdata innehåller information om konfigurationen och tillståndet.

{
    "administrativeState": "Disabled",
    "annotation": "annotation",
    "configurationState": "Succeeded",
    "configurationType": "Inline",
    "defaultAction": "Deny",
    "id": "/subscriptions/xxxxx-xxxx-xxxx-xxxx-xxxxx/resourceGroups/example-rg/providers/Microsoft.ManagedNetworkFabric/accessControlLists/example-Ipv4ingressACL",
    "location": "eastus2euap",
    "matchConfigurations": [
        {
            "actions": [
                {
                    "type": "Count"
                }
            ],
            "ipAddressType": "IPv4",
            "matchConditions": [
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "SourceIP"
                    }
                },
                {
                    "ipCondition": {
                        "ipPrefixValues": [
                            "10.18.0.124/30",
                            "10.18.0.128/30",
                            "10.18.30.16/30",
                            "10.18.30.20/30"
                        ],
                        "prefixType": "Prefix",
                        "type": "DestinationIP"
                    }
                }
            ],
            "matchConfigurationName": "L3ISD_EXT_OPTA_INGRESS_ACL_IPV4_CE_PE",
            "sequenceNumber": 1110
        }
    ],
    "name": "example-Ipv4ingressACL",
    "provisioningState": "Succeeded",
    "resourceGroup": "example-rg",
    "systemData": {
        "createdAt": "2023-09-11T10:20:20.2617941Z",
        "createdBy": "email@address.com",
        "createdByType": "User",
        "lastModifiedAt": "2023-09-11T10:27:27.2317467Z",
        "lastModifiedBy": "email@address.com",
        "lastModifiedByType": "User"
    },
    "type": "microsoft.managednetworkfabric/accesscontrollists"
}