Cấu hình Outbound Rule cho dịch vụ FDE
Tạo và áp dụng Outbound Network Access Rule để cho phép VM trong VPC truy cập các dịch vụ cần thiết cho FDE: DNS Server, dịch vụ ứng dụng FKE, Ubuntu Repository, Container Registry và Ubuntu Archive.
Điều kiện tiên quyết
- Cloud Native Firewall đã được tạo và subnet đã được Associate.
- Floating IP đã được gán cho Firewall (dùng cho SNAT trên outbound rule).
- Bạn có CIDR của subnet cần bảo vệ (ví dụ:
192.168.60.0/24).
Bước 1: Mở Rule Management
- Đăng nhập Cloud Portal.
- Truy cập Security → Cloud Native Firewall → Rule Management.
- Chọn Firewall cần cấu hình từ dropdown góc trên phải (ví dụ:
CNFW-FSP-AS).
Màn hình hiển thị danh sách rule hiện có của Firewall đã chọn.
Bước 2: Chọn tab Network Access Rule
Trên màn hình Rule Management, chọn tab Network Access Rule.
Hướng dẫn này chỉ sử dụng Network Access Rule. Tab IDS/IPS Rule không được đề cập ở đây.
Bước 3: Tạo từng Outbound Rule
Nhấn Add Rule. Form cấu hình rule mở ra.
Điền thông tin cho từng rule theo bảng ở Bước 4. Tất cả rule trong hướng dẫn này dùng chung các cấu hình sau:
| Trường | Giá trị |
|---|---|
| Direction | Outbound |
| Traffic Action | Allow |
| Source | CIDR của subnet đã Associate với Firewall (ví dụ: 192.168.60.0/24) |
| Floating IP (SNAT) | Floating IP của Firewall (ví dụ: 79.108.216.247) |
Chỉ các trường Name, Priority, Destination, Protocol và Destination Port thay đổi theo từng rule — dùng giá trị trong bảng bên dưới.
Giải thích các trường
| Trường | Bắt buộc | Mô tả |
|---|---|---|
| Name | Có | Tên rule. Chỉ dùng chữ cái, số, dấu gạch ngang (-) và dấu gạch dưới (_). Nên đặt tên mô tả mục đích. |
| Priority | Có | Thứ tự ưu tiên (1000–9999). Giá trị nhỏ hơn được kiểm tra trước. Phải là duy nhất. |
| Direction | Có | Hướng lưu lượng. Chọn Outbound cho traffic từ VM ra ngoài. |
| Traffic Action | Có | Chọn Allow để cho phép lưu lượng. |
| Source | Có | IP nguồn hoặc CIDR (subnet cần bảo vệ). |
| Destination | Có | IP đích hoặc CIDR mà nguồn được phép truy cập. |
| Protocol | Có | Giao thức mạng: TCP, UDP, ICMP,... |
| Destination Port | Có | Một cổng, nhiều cổng phân cách bằng dấu phẩy, hoặc một dải cổng. |
| Floating IP (SNAT) | Có (Outbound) | Floating IP dùng để thực hiện Source NAT khi VM truy cập Internet. |
Bước 4: Bảng cấu hình Rule
Tạo 9 rule theo thứ tự dưới đây. Sau mỗi rule, nhấn Add để lưu, rồi tiếp tục với rule tiếp theo.
| Priority | Rule Name | Destination | Protocol | Destination Port |
|---|---|---|---|---|
| 1000 | allow_ob_tcp_dns_server | 8.8.8.8 | TCP | 53 |
| 1001 | allow_ob_udp_dns_server | 8.8.8.8 | UDP | 53 |
| 1002 | allow_ob_app_subnet_service_fke | 192.223.13.0/24 | TCP | 443,8443,8132 |
| 1003 | allow_ob_ubuntu_1 | 185.125.190.0/24 | TCP | 123 |
| 1004 | allow_ob_ubuntu_2 | 91.189.91.157 | TCP | 123 |
| 1005 | allow_registry_fke_fpt_cloud_s3sgn10 | 103.71.97.0/24 | TCP | 443 |
| 1006 | allow_ob_s3hfx03 | 103.160.74.0/24 | TCP | 443 |
| 1007 | allow_archive_ubuntu_1 | 172.66.152.176 | TCP | 80,443 |
| 1008 | allow_archive_ubuntu_2 | 104.20.28.246 | TCP | 80,443 |
Ví dụ — Rule DNS (priority 1000):
| Trường | Giá trị |
|---|---|
| Name | allow_ob_tcp_dns_server |
| Priority | 1000 |
| Direction | Outbound |
| Traffic Action | Allow |
| Source | 192.168.60.0/24 |
| Destination | 8.8.8.8 |
| Protocol | TCP |
| Destination Port | 53 |
| Floating IP (SNAT) | 79.108.216.247 |
Thực hiện tương tự cho 8 rule còn lại, thay các giá trị theo bảng cấu hình ở trên.
Bước 5: Apply Firewall Policy
Sau khi tạo đủ 9 rule, nhấn Apply Policy.
Portal đồng bộ toàn bộ rule xuống Firewall:
- Trong quá trình đồng bộ, mỗi rule hiển thị Status: Applying.
- Sau khi hoàn tất, mỗi rule hiển thị Status: Applied.
Rule chỉ có hiệu lực khi tất cả đều hiển thị trạng thái Applied.
Bước 6: Xác nhận Rule đã áp dụng
Kiểm tra 9 rule xuất hiện đúng trong danh sách:
| Priority | Rule Name | Source | Destination | Destination Port | Protocol | Direction | Action | Status | NAT |
|---|---|---|---|---|---|---|---|---|---|
| 1000 | allow_ob_tcp_dns_server | 192.168.60.0/24 | 8.8.8.8 | 53 | TCP | Outbound | Allow | Applied | SNAT (79.108.216.247) |
| 1001 | allow_ob_udp_dns_server | 192.168.60.0/24 | 8.8.8.8 | 53 | UDP | Outbound | Allow | Applied | SNAT (79.108.216.247) |
| 1002 | allow_ob_app_subnet_service_fke | 192.168.60.0/24 | 192.223.13.0/24 | 443,8443,8132 | TCP | Outbound | Allow | Applied | SNAT (79.108.216.247) |
| 1003 | allow_ob_ubuntu_1 | 192.168.60.0/24 | 185.125.190.0/24 | 123 | TCP | Outbound | Allow | Applied | SNAT (79.108.216.247) |
| 1004 | allow_ob_ubuntu_2 | 192.168.60.0/24 | 91.189.91.157 | 123 | TCP | Outbound | Allow | Applied | SNAT (79.108.216.247) |
| 1005 | allow_registry_fke_fpt_cloud_s3sgn10 | 192.168.60.0/24 | 103.71.97.0/24 | 443 | TCP | Outbound | Allow | Applied | SNAT (79.108.216.247) |
| 1006 | allow_ob_s3hfx03 | 192.168.60.0/24 | 103.160.74.0/24 | 443 | TCP | Outbound | Allow | Applied | SNAT (79.108.216.247) |
| 1007 | allow_archive_ubuntu_1 | 192.168.60.0/24 | 172.66.152.176 | 80,443 | TCP | Outbound | Allow | Applied | SNAT (79.108.216.247) |
| 1008 | allow_archive_ubuntu_2 | 192.168.60.0/24 | 104.20.28.246 | 80,443 | TCP | Outbound | Allow | Applied | SNAT (79.108.216.247) |
Xác nhận mỗi rule có:
- Direction: Outbound
- Traffic Action: Allow
- NAT: SNAT
- Status: Applied
Bước 7: Kiểm tra kết nối từ VM
Từ VM trong VPC cần bảo vệ, thực hiện các lệnh sau:
nslookup google.com
curl https://registry.fke.fptcloud.com
curl https://archive.ubuntu.com
apt update
Nếu các lệnh thực hiện thành công và Firewall Log hiển thị các kết nối được Allow, việc cấu hình đã hoàn tất.