OpenStack security groups

Met security groups in OpenStack bepaal je welk netwerkverkeer een instance mag ontvangen en versturen. Security groups werken als een virtuele firewall rondom de netwerkinterfaces van je instances.

In deze handleiding lees je hoe security groups werken en hoe je regels toevoegt voor ICMP, remote access en een webserver.

De werking van security groups

Een security group bestaat uit een verzameling rules. Iedere rule bepaalt welk verkeer is toegestaan op basis van onder andere de richting, het protocol, de port en het bron- of doelnetwerk.

Je koppelt een of meer security groups aan een instance. OpenStack combineert vervolgens de rules uit alle gekoppelde security groups. Verkeer dat niet expliciet is toegestaan, wordt geblokkeerd.

Security groups zijn stateful. Wanneer een toegestane verbinding tot stand is gebracht, wordt het bijbehorende retourverkeer automatisch toegestaan. Je hoeft hiervoor geen afzonderlijke rule toe te voegen.

De default security group

OpenStack koppelt bij het aanmaken van een instance standaard de security group ‘default’ aan de instance.

De standaardconfiguratie staat uitgaand verkeer toe, maar blokkeert inkomend verkeer waarvoor geen ingress rule bestaat. Hierdoor is een nieuwe instance niet automatisch bereikbaar via bijvoorbeeld ICMP, SSH, RDP, HTTP of HTTPS.

Pas de default security group alleen aan wanneer de toegevoegde rules voor alle gekoppelde instances van toepassing zijn. Maak voor een specifieke toepassing bij voorkeur een afzonderlijke security group aan, bijvoorbeeld voor SSH- of webverkeer.

Een security group aanmaken

Maak een afzonderlijke security group aan voordat je rules voor een specifieke toepassing toevoegt.

Stap 1

Log in op OpenStack Horizon en navigeer naar ‘Network’ > ‘Security Groups’.

Stap 2

Klik rechtsboven op ‘Create Security Group’.

Stap 3

Voer bij ‘Name’ een herkenbare naam in. Gebruik bijvoorbeeld een naam die het doel van de security group beschrijft, zoals SSH, RDP of webserver.

Voeg bij ‘Description’ eventueel een korte beschrijving toe en klik op ‘Create Security Group’.

ICMP-verkeer toestaan

Met ICMP test je onder andere met een ping-request of je instance via het netwerk bereikbaar is. Voeg hiervoor een ingress rule voor ICMP toe.

Stap 1

Log in op OpenStack Horizon en navigeer naar ‘Network’ > ‘Security Groups’.

Stap 2

Klik naast de security group die je wilt gebruiken op ‘Manage Rules’.

Stap 3

Klik rechtsboven op ‘Add Rule’ en selecteer bij ‘Rule’ de optie ‘ALL ICMP’.

Selecteer bij ‘Direction’ de optie ‘Ingress’.

Stap 4

Geef bij ‘Remote’ aan vanaf welk netwerk ICMP-verkeer is toegestaan.

Gebruik bijvoorbeeld 0.0.0.0/0 om ICMP via IPv4 vanaf alle IP-adressen toe te staan. Beperk de toegang tot een specifiek IP-adres door een /32-prefix te gebruiken, bijvoorbeeld 203.0.113.10/32.

Klik op ‘Add’ om de rule toe te voegen.

Stap 5

Koppel de security group aan je instance. Navigeer naar ‘Compute’ > ‘Instances’ en open bij de betreffende instance het actiemenu.

Klik op ‘Edit Security Groups’, voeg de security group toe en klik op ‘Save’.

Stap 6

Test vanaf je eigen computer of de instance reageert. Vervang <ip-adres> door het publieke IP-adres van je instance:

ping <ip-adres>

Een succesvolle ping bevestigt dat ICMP-verkeer de instance bereikt en dat het besturingssysteem op de requests reageert.

Remote access toestaan

Voor het beheer van een Linux-instance gebruik je doorgaans SSH over TCP-port 22. Voor een Windows-instance gebruik je meestal RDP over TCP-port 3389.

Beperk remote access tot het publieke IP-adres van je eigen internetverbinding. Gebruik 0.0.0.0/0 alleen wanneer toegang vanaf ieder IPv4-adres noodzakelijk is.

SSH toestaan

Stap 1

Log in op OpenStack Horizon en navigeer naar ‘Network’ > ‘Security Groups’.

Stap 2

Klik naast de gewenste security group op ‘Manage Rules’ > ‘Add Rule’.

Stap 3

Selecteer bij ‘Rule’ de optie ‘SSH’. Controleer dat ‘Direction’ op ‘Ingress’ staat en dat TCP-port 22 wordt gebruikt.

Stap 4

Voer bij ‘CIDR’ het publieke IP-adres in van de locatie vanaf waar je verbinding maakt, gevolgd door /32. Gebruik bijvoorbeeld 203.0.113.10/32.

Klik op ‘Add’.

Stap 5

Navigeer naar ‘Compute’ > ‘Instances’. Open het actiemenu van de instance en klik op ‘Edit Security Groups’.

Voeg de security group toe en klik op ‘Save’.

RDP toestaan

Volg dezelfde stappen als voor SSH, maar selecteer bij ‘Rule’ de optie ‘RDP’. Controleer dat de rule TCP-port 3389 gebruikt.

Beperk ook deze rule tot het publieke IP-adres van de locatie vanaf waar je de Remote Desktop-verbinding maakt.

HTTP- en HTTPS-verkeer toestaan

Maak je een webserver publiek bereikbaar, voeg dan ingress rules toe voor TCP-port 80 en TCP-port 443. Port 80 wordt gebruikt voor HTTP en port 443 voor HTTPS.

Stap 1

Log in op OpenStack Horizon en navigeer naar ‘Network’ > ‘Security Groups’.

Stap 2

Klik naast de security group voor je webserver op ‘Manage Rules’ > ‘Add Rule’.

Stap 3

Selecteer bij ‘Rule’ de optie ‘HTTP’. Controleer dat ‘Direction’ op ‘Ingress’ staat en voeg de rule toe.

Herhaal deze stap met de optie ‘HTTPS’.

Stap 4

Gebruik bij ‘CIDR’ de waarde 0.0.0.0/0 wanneer je website via IPv4 voor alle bezoekers bereikbaar moet zijn.

Voeg voor IPv6 afzonderlijke rules toe met ::/0 wanneer je instance ook een publiek IPv6-adres gebruikt.

Stap 5

Navigeer naar ‘Compute’ > ‘Instances’. Open het actiemenu van de instance en klik op ‘Edit Security Groups’.

Voeg de security group toe en klik op ‘Save’.

Stap 6

Open het publieke IP-adres of de domeinnaam van de webserver in je browser. Controleer bij problemen ook of de webserver actief is en of de firewall in het besturingssysteem TCP-port 80 en TCP-port 443 toestaat.

Gebruik je DirectAdmin, voeg dan alleen een ingress rule voor TCP-port 2222 toe wanneer je de DirectAdmin-interface rechtstreeks via die port beheert. Beperk deze rule bij voorkeur tot je eigen publieke IP-adres.

Een security group aan een instance koppelen

Je kunt een security group tijdens het aanmaken van een instance selecteren of deze achteraf koppelen.

Stap 1

Log in op OpenStack Horizon en navigeer naar ‘Compute’ > ‘Instances’.

Stap 2

Open bij de betreffende instance het actiemenu en klik op ‘Edit Security Groups’.

Stap 3

Klik bij de gewenste security group op het plusteken om deze aan de instance toe te voegen.

Verwijder een security group met het minteken. Controleer vóór het verwijderen of de instance niet afhankelijk is van rules uit die security group.

Stap 4

Klik op ‘Save’. De gewijzigde security groups worden direct op de netwerkinterface van de instance toegepast.

Terminologie van security groups

Direction

Direction bepaalt de richting van het netwerkverkeer:

• Ingress is verkeer dat vanaf een andere locatie naar de instance wordt verstuurd.
• Egress is verkeer dat vanaf de instance naar een andere locatie wordt verstuurd.

Sta bij ingress alleen de noodzakelijke protocols en ports toe. Beperk egress-verkeer wanneer je toepassing alleen met specifieke externe diensten hoeft te communiceren.

Ether Type

Ether Type bepaalt of een rule voor IPv4 of IPv6 geldt. Een IPv4-rule is niet automatisch van toepassing op IPv6-verkeer. Voeg daarom afzonderlijke rules toe wanneer je beide protocollen gebruikt.

IP Protocol

Het IP Protocol bepaalt voor welk protocol de rule geldt. Veelgebruikte protocollen zijn TCP, UDP en ICMP.

TCP wordt onder andere gebruikt voor SSH, RDP, HTTP en HTTPS. UDP wordt bijvoorbeeld gebruikt voor bepaalde DNS-, NTP- en streamingtoepassingen. ICMP wordt onder andere gebruikt voor ping-requests en netwerkdiagnostiek.

Port en port range

Een port identificeert de netwerkdienst waarvoor je verkeer toestaat. Voor een webserver gebruik je bijvoorbeeld TCP-port 80 voor HTTP en TCP-port 443 voor HTTPS.

Gebruik alleen een port range wanneer een toepassing meerdere opeenvolgende ports nodig heeft. Een range van 2000 tot en met 3000 stelt meer ports beschikbaar en vergroot daarmee het aanvalsoppervlak.

Remote IP Prefix

Remote IP Prefix bepaalt vanaf welk bronnetwerk ingress-verkeer is toegestaan of naar welk doelnetwerk egress-verkeer mag worden verstuurd.

• 203.0.113.10/32 staat één specifiek IPv4-adres toe.
• 203.0.113.0/24 staat de IPv4-adressen van 203.0.113.0 tot en met 203.0.113.255 toe.
• 0.0.0.0/0 staat alle IPv4-adressen toe.
• ::/0 staat alle IPv6-adressen toe.

Gebruik voor beheerpoorten bij voorkeur een specifiek IP-adres met een /32-prefix voor IPv4 of een /128-prefix voor IPv6.

Veelgebruikte service ports

De onderstaande tabel bevat veelgebruikte netwerkports. Open alleen de ports die nodig zijn voor de diensten op je instance.

Je hebt nu security groups aangemaakt en rules toegevoegd voor ICMP, remote access en webverkeer. Controleer bij bereikbaarheidsproblemen zowel de gekoppelde security groups als de firewall en actieve services binnen het besturingssysteem van je instance.