Reglas de red

Añade una regla utilizando el ‘+’ ya sea debajo de otra regla en la columna derecha, o utilizando el botón en la parte inferior derecha.

En un clúster de Kubernetes, una aplicación puede ser expuesta al exterior del clúster mediante un NodePort, LoadBalancer o servicios de Ingress. Estos servicios típicamente reemplazan la IP de origen mientras realizan el NAT de origen (SNAT) en los paquetes. Como la IP de origen original está enmascarada, esto impide que SUSE® Security reconozca que la conexión proviene realmente de 'externo'.

Para preservar la dirección IP de origen original, el usuario necesita añadir la siguiente línea a los servicios expuestos, en la sección 'spec' del balanceador de carga o controlador de ingress que enfrenta al exterior. (Ref: https://kubernetes.io/docs/tutorials/services/source-ip/)

Muchas implementaciones de servicios LoadBalancer y controladores de Ingress añadirán la línea X-FORWARDED-FOR al encabezado de la solicitud HTTP para comunicar la verdadera IP de origen a las aplicaciones de backend. Este producto puede reconocer este conjunto de encabezados HTTP, identificar la IP de origen original y hacer cumplir la directiva de acuerdo a eso.

Esta mejora creó algunos problemas inesperados en algunas configuraciones. Si la línea anterior ha sido añadida a los servicios expuestos y las directivas de red SUSE® Security han sido creadas de tal manera que esperan que las conexiones de red provengan de servicios de proxy/ingress internos, porque ahora identificamos que las conexiones son de "externo" al clúster, el tráfico normal de la aplicación podría activar alertas o ser bloqueado si las aplicaciones se ponen en modo "Proteger".

Hay un interruptor disponible para desactivar esta función. Desactivarlo indica a SUSE® Security que no identifique que la conexión es "externa" utilizando los encabezados X-FORWARDED-FOR. Por defecto, esto está habilitado, y el encabezado X-FORWARDED-FOR se utiliza en la aplicación de directivas. Para desactivarlo, ve a Configuración →, y desactiva la opción "Coincidencia de directiva basada en X-Forwarded-For".

La funcionalidad de aplicación de directivas de red de salida se añadió en la versión 5.1.0 para pods a destinos de ServiceEntry declarados con Istio. Típicamente, un ServiceEntry define cómo un servicio externo referido por nombre DNS se resuelve a una dirección IP de destino. Antes de la v5.1, SUSE® Security no podía detectar y aplicar reglas para conexiones a un ServiceEntry, por lo que todas las conexiones se clasificaban como Externas. Con la 5.1, se pueden aplicar reglas para destinos específicos de ServiceEntry. Se informarán violaciones implícitas para el tráfico recién visible si no existen reglas de permiso. Estas reglas se pueden aprender y crear automáticamente en modo Descubrimiento. Para permitir este tráfico, puedes poner el grupo en modo descubrimiento o crear un grupo personalizado con direcciones de destino (o nombre DNS) y añadir una nueva regla de red a este destino para permitir el tráfico.

Los grupos personalizados pueden soportar grupos de direcciones basados en host virtual. Esto habilita un caso de uso donde dos direcciones FQDN diferentes se resuelven a la misma dirección IP, pero se deben aplicar diferentes reglas para cada FQDN. Se puede crear un nuevo grupo personalizado con ‘address=vh:xxx.yyy’ utilizando el indicador ‘vh:’ para habilitar esta protección. Una regla de red puede entonces usar el grupo personalizado como la fuente ‘From’ basada en el nombre de host virtual (en lugar de la dirección IP resuelta) para aplicar diferentes reglas para hosts virtuales.