Перейти к содержанию

ACL на коммутаторах виртуальной сети (микросегментация).

Правила ACL (микросегментация) предназначены для управления трафиком непосредственно на коммутаторах виртуальной сети.

В разделе Информация свойств виртуальной сети есть свойство Параметры ACL, форма редактирования которых открывается при нажатии на кнопку image.

image

Доступны следующие параметры: - Режим микросегментации виртуальной сети.

По-умолчанию выключено. Включает или выключает режим работы ACL на коммутаторах виртуальной сети. Не зависит от типа виртуальной сети, с L2 - связностью или без связности;

  • ARP запросы в виртуальной сети.

По-умолчанию включено. Разрешает прохождению ARP - запросов внутри виртуальной сети;

  • Блокировка пакетов с широковещательным адресом отправителя.

По-умолчанию выключено. При включении запрещает запросы с широковещательным адресом отправителя;

  • Изучение MAC - адресов в виртуальной сети.

По-умолчанию включено. Включает механизм изучения MAC - адресов. Создаёт запись соответствия MAC - порт. Время жизни записи - 300 секунд, если не происходит обновления записи;

  • Пересылка STP - запросов через виртуальную сеть. По-умолчанию выключено. При включении блокирует пересылку STP запросов через виртуальную сеть.

Перед включением режима микросегментации необходимо: - Включить использование брандмауэра;

  • В разделе Настройка брандмауэра выбрать политику фильтрации трафика. Для каждой виртуальной сети рекомендуется создавать свою политику фильтрации. См. Контроль трафика;

  • В разделе Информация - Параметры ACL включить режим микросегментации, необходимые опции и применить.

Добавление новых правил, редактирование или удаление существующих осуществляется в разделе Настройки брандмауэра во вкладке ACL. Созданное правило сразу применяется на коммутаторах виртуальной сети.

image

Пример добавления правила блокировки порта 22 (ssh) в виртуальной сети:

image

Правило ACL может содержать два действия - разрешить или блокировать. По-умолчанию, имеется глобальное правило ACL - "блокировать всё". Правила ACL выполняются сверху вниз до первого совпадения. При отсутствии совпадения срабатывает глобальное правило "запретить всё". На рисунке выше с примером двух правил, правило 10 может не сработать для подсети виртуальной сети, т.к. выше стоит правило 5 разрешающее все обращения для этой подсети.

Просмотреть параметры правила или удалить его:

image

Или отредактировать их:

image

После редактирования или удаления правила необходимо применить правила. Об этом информирует статус Состояние политики безопасности. Необходимо нажать Применить правила и подтвердить применение. После этого правила ACL на коммутаторах будут обновлены.