Regras de Rede

Adicione uma regra usando o ‘+’ abaixo de outra regra na coluna da direita, ou usando o botão no canto inferior direito.

Em um cluster Kubernetes, uma aplicação pode ser exposta ao exterior do cluster por meio de serviços NodePort, LoadBalancer ou Ingress. Esses serviços normalmente substituem o IP de origem ao realizar o NAT de origem (SNAT) nos pacotes. Como o IP de origem original é mascarado, isso impede que SUSE® Security reconheça que a conexão é, na verdade, do 'externo'.

Para preservar o endereço IP de origem original, o usuário precisa adicionar a seguinte linha aos serviços expostos, na seção 'spec' do balanceador de carga ou controlador de ingress voltado para o externo. (Ref: https://kubernetes.io/docs/tutorials/services/source-ip/)

Muitas implementações de serviços LoadBalancer e controladores de Ingress adicionarão a linha X-FORWARDED-FOR ao cabeçalho da solicitação HTTP para comunicar o verdadeiro IP de origem aos aplicativos de backend. Este produto pode reconhecer este conjunto de cabeçalhos HTTP, identificar o IP de origem original e aplicar a política de acordo com isso.

Essa melhoria criou alguns problemas inesperados em algumas configurações. Se a linha acima foi adicionada aos serviços expostos e as políticas de rede SUSE® Security foram criadas de forma que esperam que as conexões de rede venham de serviços de proxy/ingress internos, porque agora identificamos que as conexões são de 'externo' para o cluster, o tráfego normal dos aplicativos pode acionar alertas ou ser bloqueado se os aplicativos estiverem no modo Proteger.

Um interruptor está disponível para desativar esse recurso. Desativá-lo informa ao SUSE® Security para não identificar que a conexão é de "externo" usando os cabeçalhos X-FORWARDED-FOR. Por padrão, isso está habilitado, e o cabeçalho X-FORWARDED-FOR é usado na aplicação das políticas. Para desativá-lo, vá para Configurações → Configuração e desative a configuração "Correspondência de política baseada em X-Forwarded-For".

A funcionalidade de aplicação de políticas de rede de saída foi adicionada na versão 5.1.0 para pods em destinos de ServiceEntry declarados com Istio. Normalmente, um ServiceEntry define como um serviço externo referido pelo nome DNS é resolvido para um IP de destino. Antes da v5.1, SUSE® Security não conseguia detectar e aplicar regras para conexões a um ServiceEntry, então todas as conexões eram classificadas como Externas. Com a versão 5.1, regras podem ser aplicadas para destinos específicos de ServiceEntry. Violações implícitas serão relatadas para tráfego recém-visível se regras de permissão não existirem. Essas regras podem ser aprendidas e criadas automaticamente no modo Descoberta. Para permitir esse tráfego, você pode colocar o grupo em modo Descoberta ou criar um grupo personalizado com endereços de destino (ou nome DNS) e adicionar uma nova regra de rede a esse destino para permitir o tráfego.

Grupos personalizados podem suportar grupos de endereços baseados em host virtual. Isso possibilita um caso de uso onde dois endereços FQDN diferentes são resolvidos para o mesmo endereço IP, mas regras diferentes para cada FQDN devem ser aplicadas. Um novo grupo personalizado com ‘address=vh:xxx.yyy’ pode ser criado usando o indicador ‘vh:’ para habilitar essa proteção. Uma regra de rede pode então usar o grupo personalizado como a ‘From’ fonte com base no nome do host virtual (em vez do endereço IP resolvido) para aplicar regras diferentes para hosts virtuais.