Tempo aproximado para leitura: 00:05:00 min
Dúvida
Como criar uma regra de acesso externo de entrada DNAT?
Ambiente
T-Cloud - IAAS - Todos os ambientes
Solução
No T-Cloud IaaS, todo o tráfego de entrada e saída entre o ambiente IaaS e a internet é bloqueado por padrão. Você deve efetuar a liberação do acesso sob demanda através da criação de regras de acesso NAT e Políticas de Segurança. Neste artigo iremos abordar a criação de regras NAT do tipo DNAT.
A regra DNAT (Destination Network Address Translation) é utilizada para publicar uma aplicação que esteja em sua máquina virtual IaaS para a internet. É um acesso de entrada onde a origem é internet ( sendo uma origem restrita ou não ) e o destino é o IP Público e Porta externa IaaS, onde a regra DNAT faz a tradução para o IP Privado de sua máquina virtual, na Porta interna e Protocolo de sua aplicação.
O DNAT também permite o uso de PAT (Port Address Translation), tendo então uma tradução de portas externas para portas internas. É possível configurar a porta externa 8080 e redirecionar o tráfego para a porta interna 80 da aplicação. Não é possível utilizar a mesma porta externa do mesmo IP público.
Caso seja necessário liberar o acesso para mais de uma máquina virtual na mesma porta externa utilizando apenas um IP Público, será necessário provisionar um IP Público e utilizá-lo nas regras diferentes.
É possível visualizar no exemplo abaixo o tráfego de acesso originado de um usuário vindo da Internet, que deseja acessar remotamente sua máquina virtual IaaS com sistema operacional Windows:
- Primeiro o usuário utiliza a aplicação Conexão de Área de Trabalho Remota para se conectar no maquina virtual através do IP Público (181.41.168.97) e porta externa (3395).
- O firewall do T-Cloud recebe a requisição e através da regra NAT do tipo DNAT faz o redirecionamento do tráfego para o IP privado da maquina virtual (10.105.0.2) e a porta interna da aplicação (3389).
- É importante pontuar que para o tráfego originado da regra DNAT chegar a sua maquina virtual, é necessário também a criação de uma Política de Segurança do tipo Entrada, liberando o tráfego na camada de rede interna.
A criação dos itens abaixo requer permissões específicas. Para obter mais informações sobre quais perfis de acesso possuem a permissão, acesse o artigo: Perfis de Acesso IaaS T-Cloud.
Para criar uma regra DNAT, siga os passos abaixo:
1. Acesse o portal T-Cloud com suas credenciais de acesso:
2. Acesse o menu IaaS e em seguida o menu Meus Ambientes:
3. Selecione o ambiente e localize a máquina virtual que deseja liberar o acesso externo:
Você pode localizar uma máquina virtual, buscando pelo nome na caixa de busca. Este recurso se torna útil principalmente à medida que muitas máquinas virtuais são criadas em um único ambiente.
4. No quadro Detalhes da máquina virtual, é possível identificar a informação Label, que é o campo com a informação da nomenclatura que foi escolhida para sua máquina virtual. Anote essa informação pois ela será utilizada na liberação do acesso.
5. Navegue através do menu IaaS ao lado esquerdo da tela e clique em“Configurações Gerais”:
6. Ao chegar na tela Configurações Gerais, clique na aba “Conectividade”, conforme destacado na imagem abaixo:
7. Na sequência, acesse a sub-aba NAT e em seguida em DNAT:
8. Então, clique na opção “+ Nova Regra”:
Na janela “Nova Regra” que se abrirá temos duas opções de origem, sendo elas:
- Geolocalização: Acesso com restrição de país de origem.
- Acesso Restrito por IP: Acesso com origem restrita, sendo necessário informar os IPs.
- Clique no botão do termo de responsabilidade
- Conforme previsto no preâmbulo do Termo, ele será considerado apenas nos casos em que as portas administrativas forem expostas para a Internet:
- Fica disponível a seleção do país que quer adicionar na lista
- É possível excluir os países adicionados na listagem clicando no x ao lado do nome do país.
- Após selecionar o país que deseja inserir na regra, clique no botão “Adicionar País”
9. Selecione a origem desejada
Obs: Caso a origem “Acesso Restrito por IP” seja selecionada, será necessário inserir os IPs que serão a origem como no exemplo abaixo:
10. Selecionando o destino externo:
- IP Externo contratado: é o endereço de destino externo. Caso não possua um IP Público, consulte o link CLOUD - IaaS - Adicionar um IP Público no ambiente.
- Portas externas: é a porta em que o acesso externo será realizado.
11. Selecionando o Destino Interno:
- Máquina virtual: é a máquina virtual que é o destino real do acesso
- Porta interna: é a porta interna que está configurada no serviço.
-
Protocolo: tipo de protocolo da conexão
- Rede: Selecione a rede cadastrada.
- IP Virtual: é IP virtual para a conexão do acesso cadastrado na rede.
- Porta interna: é a porta interna que está configurada no serviço.
- Protocolo: tipo de protocolo da conexão
12. Após tudo preenchido, revise as informações e clique em “Salvar”:
13. Aguarde a conclusão do pipeline e atualize as informações da página. Você pode acompanhar a evolução da criação no menu Ações, localizado no canto superior direito da tela:
É possível ver os países cadastrados clicando na listagem de países da regra.
É possível ver os IPs cadastrados clicando na listagem de IPs da regra.
14. É possível criar regra de DNAT com múltiplas portas e Range de portas.
A separação das porta para adicionar mais de uma, é realizada por vírgula.
Após a adição das portas a apresentação será assim
Importante ressaltar que regras criadas com múltiplas portas ou range de portas, não possuem uma porta interna.
Após a criação da regra, será exibida desta maneira
15. Com isso a regra DNAT foi criada com sucesso. Conforme pontuado no inicio deste artigo a publicação de uma aplicação para acesso através da internet é definida em duas etapas, com a criação de uma regra DNAT e uma política de segurança de entrada. Consulte o artigo abaixo para saber mais sobre políticas de segurança: Criar regra de acesso interno de entrada (Política de Segurança)
Saiba mais:
Conectividade no ambiente IaaS
Acessando a VM IaaS através do T-Cloud Remote
Criar acesso externo RDP para VM com sistema operacional Windows
Criar acesso externo SSH para VM com sistema operacional Linux
Liberar o acesso de saída à internet da VM IaaS
Liberar o acesso externo da minha aplicação IaaS para a Internet
Liberar o acesso externo da minha aplicação IaaS para uma origem restrita
Liberar comunicação entre as VMs da mesma rede
Liberar comunicação entre as VMs de redes distintas
Adicionar IP Público ao ambiente IaaS
Criar regra de acesso externo de entrada DNAT
Criar regra de acesso interno de entrada (Política de Segurança)
0 Comentários