Nätverk och säkerhetsgrupper

Varje app och maskin du kör får ett nätverkskort på ditt eget privata nätverk. Nätverket sträcker sig över hela realmen: en container på en server och en virtuell maskin på en annan når varandra med adress och namn, som om de satt på samma switch. Ingen annans maskiner eller appar finns på det.

Öppna Nätverk för att se det.

Ditt nätverk

Du har ett nätverk per ägare: ett för dig och ett för varje organisation du arbetar i. En app eller maskin behåller sin adress och sin MAC-adress så länge den finns, också när Velrix flyttar den till en annan server.

På fliken Nätverk visar nätverket sitt subnät, sin gateway och varje nätverkskort på det, med servern det körs på. Nätverket dyker upp när din första app eller maskin körs.

Det som körs hittar varandra med namn: varje nätverk har en egen DNS, som svarar för allt på nätverket och inget på någon annans.

Säkerhetsgrupper

Utan säkerhetsgrupper når allt på ditt nätverk allt annat. En säkerhetsgrupp begränsar det.

• Det som är med i samma grupp når varandra.
• Det som inte är med i någon grupp bildar nätverkets standardgrupp.
• Mellan grupper öppnas ingenting, om inte en regel i den mottagande gruppen släpper in det.
• Utåt får gruppens medlemmar öppna vad som helst, tills gruppen har en utgående regel. Då bara det de utgående reglerna tillåter, gruppens egna medlemmar och DNS.
• Svar på en tillåten anslutning går alltid igenom.

Skapa en grupp

1. Välj Ny grupp under Nätverk › Säkerhetsgrupper. Ge den ett kort namn, som web eller db.
2. Välj Lägg till regel. Välj Riktning, Protokoll, Portar (en port, ett intervall som 8000-8100, eller tomt för alla) och Andra sidan: en annan av dina grupper, ett adressintervall eller alla.
3. Välj Lägg till maskin eller app för att lägga till medlemmar, eller välj gruppen när du skapar något: formuläret har en flik Säkerhetsgrupper.

En grupp db med regeln ”In: TCP 5432 från web” låter till exempel gruppen web nå databasen och inget annat.

En apps eller maskins Inställningar visar vilka grupper den är med i, med Lägg till i grupp och Öppna i Nätverk. Kopiorna av en skalad app är med i appens grupper.

Ändringar når servrarna inom några sekunder. När du tar bort en regel bryts också anslutningarna den släppte igenom, inte bara nya. En grupp som en annan grupps regel pekar på går inte att ta bort.

Hur grupperna upprätthålls

Varje server bedömer varje paket en gång, där det kommer in i nätverket: vid nätverkskortet, i kärnan. En app eller maskin kan bara skicka från sin egen adress, så en regel som pekar på en grupp går inte att lura med en förfalskad adress. Ett nätverkskort som servern ännu inte känner till släpper inte in något.

Vid lanseringen upprätthålls grupperna av eBPF-dataplanet: program i varje servers kärna bedömer trafiken vid nätverkskortet, och svar känns igen från en kortlivad cache per nätverk, utan någon anslutningstabell som delas mellan kunder. En kunds trafik kan inte tränga undan en annans.

Internetåtkomst

Nya nätverk har ingen internetåtkomst: det som körs kan svara på det som når det via ett värdnamn, en flytande IP eller en lastbalanserare, men kan inte öppna anslutningar ut mot internet. En app visar Ingen internetåtkomst överst på sin sida så länge det gäller.

Slå på det under Nätverk (Internetåtkomst, Slå på) eller i appens Inställningar, om du har rätt att göra det. Det är policyn Utgående nätverkstrafik, så din operatör eller organisation kan ha bestämt det åt dig. Fliken visar adressen trafiken går ut som.

En app eller maskin med en flytande IP eller en publik IPv6-adress når internet genom den oavsett.

Nätverkspolicy

Din leverantör, din organisation eller ett projekt kan tillämpa en mall för nätverkspolicy: en kort lista med utgående regler, till exempel Blockera utgående SMTP (port 25). En anslutning som mallen nekar misslyckas direkt.

Nätverk › Nätverkspolicy listar varje mall som gäller dig och var den kommer ifrån. En mall som plattformen eller din leverantör tillämpat kan du inte ta bort själv: välj Be om undantag och berätta varför. En mall som din organisation eller ditt projekt tillämpat tar du bort igen under Tillämpa mallar här.

Loggar

Din operatör kan slå på Loggar för nätverksflöden och Loggar för DNS-frågor för ett område. Då hittar du dem i Loggar, med källa, mål, port och beslut för varje flöde, eller namnen som frågades efter och svaren.

Vidare

• Lastbalanserare och flytande IP: publika adresser för det du kör.
• Nätverk som begrepp: hur delarna hänger ihop.