گروه امنیتی
گروه امنیتی (Security Group) فایروال ابری داده‌هات است که ترافیک ورودی و خروجی سرورها و کانتینرها را بر اساس قوانین تعریف‌شده کنترل می‌کند. با گروه امنیتی می‌توانید تعیین کنید چه پورت‌هایی، از چه آدرس‌هایی و با چه پروتکلی به منابع شما دسترسی داشته باشند.
نحوه‌ی عملکرد گروه امنیتی
هر گروه امنیتی مجموعه‌ای از قوانین است که به یک یا چند سرور یا کانتینر درون یک ابر خصوصی متصل می‌شود. یک گروه امنیتی را می‌توانید به چند منبع متصل کنید و قوانین آن روی همه‌ی آن‌ها اعمال می‌شود.
توجه به نکات زیر در استفاده از گروه امنیتی ضروری است:
- اگر هیچ گروه امنیتی به یک سرور یا کانتینر متصل نباشد، همه‌ی ترافیک آن باز است. این حالت در پنل با عنوان «هیچ‌کدام (باز)» نمایش داده می‌شود.
- هر ابر خصوصی یک گروه امنیتی پیش‌فرض دارد که قابل ویرایش یا حذف نیست.
- تغییر قوانین یک گروه امنیتی بلافاصله و بدون نیاز به ری‌استارت روی همه‌ی منابع متصل اعمال می‌شود.
پیشنهاد می‌شود برای هر نقش در زیرساخت خود یک گروه امنیتی جداگانه بسازید؛ برای مثال web-sg برای سرورهای وب و db-sg برای دیتابیس‌ها.
قوانین ورودی و خروجی
قوانین هر گروه امنیتی در دو دسته‌ی «قوانین ورودی» و «قوانین خروجی» تعریف می‌شوند. هر قانون شامل موارد زیر است:
- اقدام: «اجازه» برای عبور ترافیک یا «رد» برای مسدود کردن آن.
- پروتکل: یکی از گزینه‌های tcp، udp، icmp یا all.
- بازه‌ی پورت: یک پورت مشخص مانند 22 یا یک بازه مانند 8000-8100. برای پروتکل‌های icmp و all مقدار «همه» در نظر گرفته می‌شود.
- نوع مبدأ/مقصد: برای قوانین ورودی مبدأ و برای قوانین خروجی مقصد ترافیک است. می‌توانید یک بازه‌ی آدرس به‌شکل CIDR، مانند 0.0.0.0/0 برای همه‌ی آدرس‌ها، یا یک گروه امنیتی دیگر را انتخاب کنید. با انتخاب گروه امنیتی، قانون روی همه‌ی منابعی که آن گروه امنیتی را دارند اعمال می‌شود.
- نسخه‌ی IP: ipv4 یا ipv6.
توجه داشته باشید که پس از اتصال گروه امنیتی، تنها ترافیکی که با قوانین آن مطابقت دارد عبور می‌کند. اگر منبع شما به اینترنت یا منابع دیگر نیاز به دسترسی خروجی دارد، قوانین خروجی لازم را نیز به‌طور صریح اضافه کنید.
ساخت گروه امنیتی
برای ساخت گروه امنیتی جدید، مراحل زیر را دنبال کنید:
- پس از ورود به پنل کاربری داده‌هات، از بخش «نتورک» در منوی سمت راست گزینه‌ی «گروه امنیتی» را انتخاب کنید.
- روی دکمه‌ی «ساخت گروه امنیتی» کلیک کنید.
- یک نام برای گروه امنیتی وارد کنید؛ برای مثال web-sg.
- در بخش «قوانین ورودی»، روی دکمه‌ی «افزودن قانون» کلیک کنید و قوانین مورد نیاز را تعریف کنید.
- در بخش «قوانین خروجی» نیز قوانین مورد نیاز را اضافه کنید.
- روی دکمه‌ی «ایجاد» کلیک کنید.
قوانین نمونه
جدول زیر چند قانون ورودی رایج را نشان می‌دهد:
| کاربرد | اقدام | پروتکل | بازه‌ی پورت | مبدأ |
|---|---|---|---|---|
| اتصال SSH فقط از آدرس شما | اجازه | tcp | 22 | <YOUR_IP>/32 |
| اتصال Remote Desktop به سرور ویندوز | اجازه | tcp | 3389 | <YOUR_IP>/32 |
| وب‌سایت HTTP | اجازه | tcp | 80 | 0.0.0.0/0 |
| وب‌سایت HTTPS | اجازه | tcp | 443 | 0.0.0.0/0 |
| پاسخ به Ping | اجازه | icmp | همه | 0.0.0.0/0 |
| دسترسی دیتابیس فقط از سرورهای وب | اجازه | tcp | 5432 | گروه امنیتی web-sg |
برای دسترسی کامل خروجی، یک قانون خروجی با اقدام «اجازه»، پروتکل all و مقصد 0.0.0.0/0 اضافه کنید.
باز گذاشتن پورت‌های مدیریتی مانند 22 یا 3389 برای همه‌ی آدرس‌ها (0.0.0.0/0) خطر حملات حدس رمز عبور را افزایش می‌دهد. پیشنهاد می‌شود دسترسی به این پورت‌ها را فقط به آدرس IP خود محدود کنید.
اتصال گروه امنیتی به سرور و کانتینر
گروه امنیتی را می‌توانید به دو روش به یک منبع متصل کنید:
- هنگام ساخت: در صفحه‌ی ساخت سرور یا ساخت کانتینر، در فیلد «گروه امنیتی (فایروال)» گروه امنیتی مورد نظر را انتخاب کنید.
- پس از ساخت: در صفحه‌ی جزئیات سرور، در بخش «گروه امنیتی» روی دکمه‌ی «اتصال گروه امنیتی» کلیک کنید و گروه امنیتی را انتخاب کنید. برای کانتینرها این تنظیم در زبانه‌ی «شبکه» قرار دارد. برای جدا کردن گروه امنیتی نیز از گزینه‌ی «جداکردن» استفاده کنید.
به هر سرور یا کانتینر در هر زمان حداکثر یک گروه امنیتی متصل می‌شود.
توجه داشته باشید که اتصال یا جداکردن گروه امنیتی در کانتینرها باعث راه‌اندازی مجدد متوالی (Rolling Restart) نمونه‌های کانتینر می‌شود.
ویرایش گروه امنیتی
برای تغییر قوانین، در فهرست گروه‌های امنیتی روی گزینه‌ی «ویرایش گروه امنیتی» کلیک کنید، قوانین را اضافه، حذف یا ویرایش کنید و روی دکمه‌ی «ذخیره» کلیک کنید. مجموعه‌ی قوانین ذخیره‌شده جایگزین کامل قوانین قبلی می‌شود و بلافاصله روی همه‌ی منابع متصل اعمال خواهد شد.
حذف گروه امنیتی
برای حذف یک گروه امنیتی، در فهرست گروه‌های امنیتی روی گزینه‌ی «حذف گروه امنیتی» کلیک کنید. برای تأیید حذف، باید نام گروه امنیتی را در کادر نمایش‌داده‌شده وارد کنید. گروه امنیتی پیش‌فرض ابر خصوصی قابل حذف نیست.