网络ACL

控制台

API

• 调用CreateNetworkAcl创建网络ACL。

• 调用AssociateNetworkAcl绑定网络ACL与交换机。

• 调用UnassociateNetworkAcl解除网络ACL与交换机的绑定。

• 调用DeleteNetworkAcl删除网络ACL。

Terraform

与控制台逻辑不同，Terraform仅支持将网络ACL与一个交换机关联。

Resources：alicloud_network_acl

# 指定网络ACL的地域
provider "alicloud" {
  region = "cn-hangzhou"
}

# 指定VPC ID
variable "vpc_id" {
  default = "vpc-bp1k******" # 修改为VPC的实际ID
}

# 指定交换机ID
variable "vswitch_id" {
  default = "vsw-bp1y******" # 修改为交换机的实际ID
}

# 创建网络ACL并关联交换机 
resource "alicloud_network_acl" "example_network_acl" {
  vpc_id           = var.vpc_id # 指定网络ACL所属VPC
  network_acl_name = "example_network_acl_name"
  resources {
    resource_id   = var.vswitch_id # 指定网络ACL关联的交换机
    resource_type = "VSwitch"
  }
}

控制台

在目标网络ACL的入方向规则/出方向规则页签，您可参考以下步骤，来配置自定义规则。

由于网络ACL规则是无状态的，当您设置入方向规则来允许特定流量进入交换机时，需要设置相应的出方向规则。

API

• 调用UpdateNetworkAclEntries更新网络ACL规则。与控制台逻辑不同的是，该API将对ACL规则进行全量更新。如果只传入新增规则，将会删除原有规则，仅保留新传入的规则。因此，增加规则时必须传入所有需要保留的规则。

• 调用CopyNetworkAclEntries将网络ACL的规则完整复制到另一个网络ACL。为保证所有规则都能被目标网络ACL正确地识别和接收，您需确保两个网络ACL所属的VPC均只有IPv4网段或均开启了IPv6。未开启IPv6的VPC中的网络ACL无法配置IPv6类型的规则，若将规则完整复制到已开启IPv6的VPC的网络ACL时，系统不会自动添加允许所有IPv6流量的自定义规则，可能影响IPv6通信。

Terraform

本示例分别在出入方向添加了拒绝规则，您应根据实际的访问控制策略调整规则配置。

Resources：alicloud_network_acl

# 指定网络ACL的地域
provider "alicloud" {
  region = "cn-hangzhou"
}

# 指定VPC ID
variable "vpc_id" {
  default = "vpc-bp1k******" # 修改为VPC的实际ID
}

# 指定交换机ID
variable "vswitch_id" {
  default = "vsw-bp1y******" # 修改为交换机的实际ID
}

# 创建网络ACL并绑定交换机
resource "alicloud_network_acl" "example_network_acl" {
  vpc_id           = var.vpc_id # 指定网络ACL所属VPC
  network_acl_name = "example_network_acl_name"
  resources {
    resource_id   = var.vswitch_id # 指定网络ACL关联的交换机
    resource_type = "VSwitch"
  }
  ingress_acl_entries { # 指定入方向规则
    network_acl_entry_name = "example-ingress"
    protocol               = "tcp"         # 协议类型
    source_cidr_ip         = "10.0.0.0/24" # 源地址 
    port                   = "20/80"       # 端口范围
    policy                 = "drop"        # 策略
  }
  egress_acl_entries { # 指定出方向规则
    network_acl_entry_name = "example-egress"
    protocol               = "tcp"
    destination_cidr_ip    = "10.0.0.0/24" # 目的地址 
    port                   = "20/80"       # 端口范围
    policy                 = "drop"        # 策略
  }
}