您可以根据安全需求,规划专有络中的安全策略,例如划分出DMZ区、管理区、内网区等网络隔离区,并指定各区的网段及ACL规则。通过此安全策略来模拟传统网络体系中的各个网络层次(安全域),实现网络隔离。

本示例以较高安全要求的推荐架构为例,安全策略规划如下。

网络隔离

安全域 金融云产品 所属网段
互联网区 SLB
  • vSwitch-B1:192.168.11.0/24
  • vSwitchD1:192.168.21.0/24
ECS-Web
管理区 VPN
  • vSwitch-B2:192.168.12.0/24
  • vSwitchD2:192.168.22.0/24
堡垒机
ECS-APP
内网区 RDS
  • vSwitch-B3:192.168.13.0/24
  • vSwitchD3:192.168.23.0/24
  • 整个示例的金融云环境处于一个VPC网络环境中,网段为:192.168.0.0/16。
  • 将此VPC内划分三个安全域,每个安全域中分别创建两个交换机,分别部署于两个可用区:可用区B(主)、可用区D(备)。
  • VPC中各网段(交换机)彼此间网络互通,创建交换机时已自动添加完成网络路由。

ACL规则

金融云产品 接入规则 接出规则
VPC 通过VPN网关与互联网终端、企业本地数据中心连接起来。
SLB 允许互联网用户访问。
  • 接出到ECS_Web。
  • 协议/端口:tcp/80,443,2800-3300,5000-10000,13000-14000,21234,22223,22225
堡垒机
  • 允许VPN拨入。
  • 协议/端口:SSH/22;远程桌面(RDP)/3389
  • 接出到ECS_Web。
  • 协议/端口:Web管理/443;SSH和SFTP/60022;RDP/63389
ECS-Web
  • 允许SLB访问。
  • 协议/端口:http/https/tcp/1~65535
  • 接出到ECS_APP
  • 协议/端口:tcp/1~65535
  • 允许堡垒机访问。
  • 协议/端口:TCP/22~3389
ECS-APP
  • 允许ECS-Web访问。
  • 协议/端口:TCP/具体的应用端口
  • 接出到RDS/OSS。
  • 协议/端口:tcp/1~65535
RDS
  • 允许ECS-APP访问。
  • 协议/端口:TCP/3306
-
运维路径为:
  1. 拨入VPN;
  2. 登录G1(堡垒机);
  3. 登录G2(Web Server)和G3(Business Server),堡垒机对所有ECS进行操作审计;
  4. 通过G3上的数据库客户端登录RDS。
互联网用户访问路径为:
  1. 接入SLB
  2. 通过SLB接入应用