ネットワークルール

'`+’を使用して、右の列の別のルールの下にルールを追加するか、右下のボタンを使用して追加します。

Kubernetesクラスターでは、アプリケーションはNodePort、LoadBalancer、またはIngressサービスによってクラスターの外部に公開できます。これらのサービスは通常、パケットのソースNAT（SNAT）を行う際にソースIPを置き換えます。元のソースIPがマスカレードされるため、これにより SUSE® Security が接続が実際には「外部」からであることを認識できなくなります。

元のソースIPアドレスを保持するために、ユーザーは公開サービスの「spec」セクションに次の行を追加する必要があります（外部向けのロードバランサーまたはIngressコントローラーの場合）。（参照： https://kubernetes.io/docs/tutorials/services/source-ip/)）

多くのLoadBalancerサービスおよびIngressコントローラーの実装では、HTTPリクエストヘッダーにX-FORWARDED-FOR行を追加して、実際のソースIPをバックエンドアプリケーションに伝えます。この製品はこのHTTPヘッダーのセットを認識し、元のソースIPを特定し、それに応じてポリシーを適用できます。

この改善により、一部の設定で予期しない問題が発生しました。上記の行が公開されたサービスに追加され、SUSE® Security ネットワークポリシーが内部プロキシ/Ingressサービスからのネットワーク接続を期待するように作成されている場合、接続がクラスターの「外部」からであると識別されるため、通常のアプリケーショントラフィックがアラートを引き起こしたり、アプリケーションが「保護」モードに置かれている場合はブロックされる可能性があります。

この機能を無効にするためのスイッチがあります。無効にすると、SUSE® Securityは接続が「外部」からのものであることをX-FORWARDED-FORヘッダーを使用して識別しないようになります。デフォルトではこれが有効になっており、ポリシーの適用にはX-FORWARDED-FORヘッダーが使用されます。これを無効にするには、設定→設定に移動し、「X-Forwarded-Forに基づくポリシーマッチ」設定を無効にします。

Egressネットワークポリシーの適用機能は、Istioで宣言されたServiceEntry宛先へのポッドのためにバージョン5.1.0で追加されました。通常、ServiceEntryはDNS名で参照される外部サービスが宛先IPに解決される方法を定義します。v5.1以前は、SUSE® SecurityはServiceEntryへの接続のルールを検出して適用することができなかったため、すべての接続は外部として分類されていました。5.1では、特定のServiceEntry宛先に対してルールを適用できるようになりました。許可ルールが存在しない場合、新たに可視化されたトラフィックに対して暗黙の違反が報告されます。これらのルールは、発見モードで学習され、自動的に作成されることがあります。このトラフィックを許可するには、グループを発見モードにするか、宛先アドレス（またはDNS名）を持つカスタムグループを作成し、この宛先に新しいネットワークルールを追加してトラフィックを許可します。

カスタムグループは、仮想ホストベースのアドレスグループをサポートできます。これにより、2つの異なるFQDNアドレスが同じIPアドレスに解決されるユースケースが可能になりますが、各FQDNに対して異なるルールを適用する必要があります。'`address=vh:xxx.yyy’を使用して、この保護を有効にするための新しいカスタムグループを'`vh:’インジケーターを使用して作成できます。ネットワークルールは、その後、仮想ホスト名（解決されたIPアドレスではなく）に基づいてカスタムグループを'`From’ソースとして使用し、仮想ホストに対して異なるルールを適用できます。