CLOUD - IAAS - Criar regra de acesso externo UNAT – Central de Atendimento TOTVS

Tempo aproximado para leitura: 00:05:00 min

Dúvida
Como criar regra de acesso externo UNAT?

Ambiente
CLOUD - IAAS - Todos os ambientes

Solução

O UNAT, também conhecido como U-Turn NAT, é um tipo especial de NAT utilizado quando usuários internos precisam acessar um servidor interno usando o endereço de IP público do servidor. Nestes casos, a origem e destino compartilham do mesmo firewall e ambiente de rede.

No T-Cloud IaaS o U-Turn é bloqueado por padrão e deve ser liberado sob demanda. Sendo assim, caso você tenha um cenário onde há a necessidade de uma ou mais VMs de um ambiente IaaS se comunicar com aplicações de outra VM também no ambiente IaaS através do seu IP público ao invés do IP privado, você precisa criar uma regra de NAT do tipo UNAT.

Neste artigo iremos nos basear no exemplo ilustrado a seguir, , representando uma integração entre duas aplicações em que se faz necessário a comunicação através do IP público ao invés do IP privado.

Descrição do cenário apresentado:

A VM-APP1 possui um web server utilizando a porta interna de aplicação 80 e protocolo TCP.
Existe a necessidade de integração entre a origem a VM-APP2 e destino a VM-APP1 consumindo o Web Server na porta 80.
A integração não pode ser feita através do IP privado e deve ser feita através do IP público.

No cenário apresentado acima, precisamos criar duas regras de acesso no T-Cloud IaaS, sendo elas:

Regra 1:

Regra NAT do tipo UNAT: Como mencionado anteriormente, a regra UNAT possibilita a comunicação de VMs dentro do ambiente IaaS no T-Cloud através de IP público.

Na regra UNAT precisamos enviar as seguintes informações:

Origem:
- Máquina Virtual: Selecione uma ou mais VMs que devem acessar a aplicação.

Destino Externo:
- IP Público: Selecione o IP público de seu ambiente para a publicação da aplicação.
- Porta Externa: Selecione uma porta externa para a aplicação. Não precisa ser a mesma que a porta interna.

Destino Interno:
- Máquina Virtual: Selecione a VM onde está sua aplicação.
- Porta Interna: Selecione a porta interna da aplicação
- Protocolo: Selecione o protocolo da aplicação.

Após a criação da regra, é criado o Range de IP flutuante que é atrelado à regra UNAT e é necessário para o roteamento do tráfego do tipo U-turn dentro do T-Cloud.

O T-Cloud utiliza um ou mais IPs dentro do Range de IP flutuante no tráfego entre as VMs do ambiente para que não ocorra a perda dos pacotes devido às VMs estarem no mesmo ambiente de rede.

Regra 2:

Política de Segurança do tipo Entrada: Através desta regra iremos liberar a comunicação originada do range de IP flutuante com destino o IP privado da VM e sua porta de aplicação.

Na política de segurança precisamos das seguintes informações:

Origem:
- IP: Selecione a opção IP e insira o Range de IP Flutuante.
Destino:
- IP: Selecione a opção IP e insira o IP privado da VM de sua aplicação.
Porta: Insira a porta interna da aplicação.
Protocolo: Insira o protocolo da aplicação.

A criação dos itens abaixo requer permissões específicas. Para obter mais informações sobre quais perfis de acesso possuem a permissão, acesse o artigo: Perfis de Acesso IaaS T-Cloud.

Siga os passos abaixo para saber como criar um acesso com a regra UNAT:

1. Acesse o portal T-Cloud com suas credenciais de acesso.

2. Acesse o menu IaaS e em seguida o menu Meus Ambientes:

3. Selecione o ambiente e localize a máquina virtual que deseja incluir na regra U-NAT:

Você pode localizar uma máquina virtual, buscando pelo nome na caixa de busca. Este recurso se torna útil principalmente à medida que muitas máquinas virtuais são criadas em um único ambiente.

4. No quadro Detalhes da máquina virtual, é possível identificar a informação Label, que é o campo com a informação da nomenclatura que foi escolhida para sua máquina virtual. Anote essa informação pois ela será utilizada na liberação do acesso.

4.1 - Origem:

4.2 - Destino:

5. No quadro Rede, é possível identificar a informação de IP privado da máquina virtual. Anote essa informação também será utilizada para a liberação do acesso.

5.1 - Origem:

5.2 - Destino:

5. No quadro Detalhes da VM, podemos identificar a informação Label que é o campo com a informação da nomenclatura que você escolheu para sua VM. Anote essa informação pois iremos utilizar para a liberação do acesso.

5.1 - Origem:

5.2 - Destino:

6. Após coletar as informações das máquinas virtuais que serão inseridas nas regras, acesse o menu IaaS e em seguida o submenu Configurações Gerais. Ao acessar esta página, vá até a guia de Conectividade:

7. Na guia Conectividade, clique em NAT e em seguida em UNAT:

8. Para iniciar a criação da regra de acesso, clique em Nova Regra:

9. Será apresentada a tela de Criação da Regra. Em "Origem", selecione a máquina virtual que será a origem do acesso, clique no ícone [ + ] e clique em "Avançar":

10. Será solicitado o destino externo da regra. Selecione o IP público, e digite a porta externa no e clique em Avançar:

11. Será solicitado o destino interno. Selecione a máquina virtual destino, digite a porta interna da aplicação, selecione o protocolo desejado e clique em Criar Regra:

12. Será apresentada a seguinte mensagem com o número da solicitação. Você poderá acompanhar o andamento da criação da regra de acesso UNAT no menu Ações, no canto superior direito da mesma tela.

13. Após a conclusão da solicitação, clique no ícone "Recarregar listagem" para visualizar a regra UNAT:

14. Ao efetuarmos a criação da regra NAT do tipo UNAT, o T-Cloud cria um Range de IP Flutuante necessário para o ambiente de rede do T-Cloud efetuar o roteamento do tráfego de forma correta. O próximo passo é a criação de uma Política de Segurança para permitir o tráfego com origem o Range de IP Flutuante e destino o IP privado da VM e sua porta de aplicação.

Anote o Range de IP Flutuante da regra UNAT para criação da Política de Segurança:

15. Ainda no menu Conectividade, clique na opção "Política de Segurança" em seguida clique em "Entrada":

16. Em seguida, clique em Nova Regra:

17. Será apresentada a tela de criação de política de segurança.
Em Origem, selecione a opção IP e insira o Range de IP Flutuante anotado anteriormente através da regra UNAT.

18. Em seguida na opção Destino, selecione a opção IP e insira o IP privado da máquina virtual de destino que foi coletado na etapa 5.2 e clique em Continuar:

19. Serão solicitados a porta e o protocolo.
Selecione a opção "Definir portas" e insira a porta interna da aplicação. Insira também o protocolo e a identificação para a regra no campo Label e clique em "Continuar":

20. Na tela de resumo, verifique as informações selecionadas e clique em Salvar:

21. Será apresentada a seguinte mensagem com o número da solicitação. Você poderá acompanhar o andamento da criação da política de segurança no menu Ações, no canto superior direito da mesma tela.