Règles réseau

Ajoutez une règle en utilisant le ‘+’ soit en dessous d’une autre règle dans la colonne de droite, soit en utilisant le bouton en bas à droite.

Dans un cluster Kubernetes, une application peut être exposée à l’extérieur du cluster par un NodePort, un LoadBalancer ou des services Ingress. Ces services remplacent généralement l’IP source tout en effectuant le NAT source (SNAT) sur les paquets. Comme l’IP source d’origine est masquée, cela empêche SUSE® Security de reconnaître que la connexion provient en réalité de l'"extérieur".

Pour préserver l’adresse IP source d’origine, l’utilisateur doit ajouter la ligne suivante aux services exposés, dans la section 'spec' du load balancer ou du contrôleur d’ingress exposé. (Réf : https://kubernetes.io/docs/tutorials/services/source-ip/)

De nombreuses implémentations de services LoadBalancer et de contrôleurs d’ingress ajouteront la ligne X-FORWARDED-FOR à l’en-tête de la requête HTTP pour communiquer la véritable IP source aux applications backend. Ce produit peut reconnaître cet ensemble d’en-têtes HTTP, identifier l’IP source d’origine et appliquer la stratégie en conséquence.

Cette amélioration a créé des problèmes inattendus dans certaines configurations. Si la ligne ci-dessus a été ajoutée aux services exposés et que les stratégies réseau SUSE® Security ont été créées de manière à s’attendre à ce que les connexions réseau proviennent de services proxy/ingress internes, car nous identifions maintenant que les connexions proviennent de "l’extérieur" du cluster, le trafic normal des applications pourrait déclencher des alertes ou être bloqué si les applications sont mises en mode "Protéger".

Un interrupteur est disponible pour désactiver cette fonctionnalité. La désactivation indique à SUSE® Security de ne pas identifier que la connexion provient de "l’externe" en utilisant les en-têtes X-FORWARDED-FOR. Par défaut, cela est activé, et l’en-tête X-FORWARDED-FOR est utilisé dans l’application des stratégies. Pour le désactiver, allez dans Paramètres → Configuration, et désactivez le paramètre "Correspondance de stratégie basée sur X-Forwarded-For".

La fonctionnalité d’application de politique réseau Egress a été ajoutée dans la version 5.1.0 pour les pods vers les destinations ServiceEntry déclarées avec Istio. Typiquement, un ServiceEntry définit comment un service externe référencé par un nom DNS est résolu en une adresse IP de destination. Avant la v5.1, SUSE® Security ne pouvait pas détecter et appliquer des règles pour les connexions à un ServiceEntry, donc toutes les connexions étaient classées comme externes. Avec la version 5.1, des règles peuvent être appliquées pour des destinations ServiceEntry spécifiques. Des violations implicites seront signalées pour le trafic nouvellement visible si des règles d’autorisation n’existent pas. Ces règles peuvent être apprises et auto-créées en mode Découverte. Pour autoriser ce trafic, vous pouvez mettre le groupe en mode Découverte ou créer un groupe personnalisé avec des adresses de destination (ou un nom DNS) et ajouter une nouvelle règle réseau à cette destination pour autoriser le trafic.

Les groupes personnalisés peuvent prendre en charge des groupes d’adresses basés sur l’hôte virtuel. Cela permet un cas d’utilisation où deux adresses FQDN différentes sont résolues en la même adresse IP, mais des règles différentes pour chaque FQDN doivent être appliquées. Un nouveau groupe personnalisé avec ‘address=vh:xxx.yyy’ peut être créé en utilisant l’indicateur ‘vh:’ pour activer cette protection. Une règle réseau peut alors utiliser le groupe personnalisé comme la source ‘From’ basée sur le nom d’hôte virtuel (au lieu de l’adresse IP résolue) pour appliquer des stratégies différentes pour les hôtes virtuels.