Skip to main content
此產品有較新版本可以使用。
本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

配置 StorageGRID 內部防火牆

PDF

您可以設定 StorageGRID 防火牆來控制對 StorageGRID 節點上特定連接埠的網路存取。

開始之前
關於此任務

StorageGRID 在每個節點上都包含一個內部防火牆，可讓您開啟或結案網格節點上的某些連接埠。您可以使用防火牆控制索引標籤，來開啟或結案網格網路、管理網路和用戶端網路上預設開啟的連接埠。您也可以建立一個特權 IP 位址清單，以存取已結案的網格連接埠。如果您使用的是用戶端網路，可以指定節點是否信任來自用戶端網路的傳入流量，並可以設定用戶端網路上特定連接埠的存取。

限制對網格外部 IP 位址開啟的連接埠數量，僅開放絕對必要的連接埠，可增強網格的安全性。您可以使用三個防火牆控制標籤上的設定，確保僅開啟所需的連接埠。

如需使用防火牆控制的詳細資訊（包括範例），請參閱 "管理防火牆控制"。

如需更多關於外部防火牆與網路安全性的資訊，請參閱 "控制外部防火牆的存取"。

存取防火牆控制

步驟

  1. 選擇 Configuration > Security > Firewall control。

    此頁面上的三個索引標籤說明於 "管理防火牆控制"。

  2. 選取任意索引標籤以設定防火牆控制。

    您可以依任何順序使用這些索引標籤。您在某個索引標籤上設定的組態不會限制您在其他索引標籤上所能執行的操作；然而，您在某個索引標籤上進行的組態變更可能會改變在其他索引標籤上設定的連接埠行為。

特權位址清單

您可以使用「特權位址清單」標籤，授予主機對預設關閉或透過「管理外部存取」標籤上的設定關閉的連接埠的存取權限。

特權 IP 位址和子網路預設沒有內部網格存取。此外，即使在「管理外部存取」索引標籤中被封鎖，在「特權位址清單」索引標籤中開啟的負載平衡器端點和其他連接埠仍可存取。

註 「特權位址清單」標籤上的設定無法置換「不受信任的用戶端網路」標籤上的設定。
步驟

  1. 在 Privileged address list 索引標籤上，輸入您要授予結案連接埠存取權限的位址或 IP 子網路。

  2. （可選）選擇「以 CIDR 表示法新增另一個 IP 位址或子網路」以新增其他特權用戶端。

    提示 盡量少將地址加入特權清單。

  3. （可選）選取「允許特權 IP 位址存取 StorageGRID 內部連接埠」。請參閱"StorageGRID 內部連接埠"。

    提示 此選項會移除內部服務的部分保護。如果可能，請保持停用。

  4. 選取 Save 。

管理外部存取

在「管理外部存取」標籤中關閉連接埠後，除非您將 IP 位址新增至特權位址清單，否則任何非網格 IP 位址都無法存取該連接埠。您只能關閉預設開啟的連接埠，也只能開啟您已關閉的連接埠。

註 「管理外部存取」標籤中的設定無法置換「不受信任的用戶端網路」標籤中的設定。例如，如果某個節點不受信任，即使在「管理外部存取」標籤中連接埠 SSH/22 已開啟，則該連接埠在用戶端網路上也會被封鎖。「不受信任的用戶端網路」標籤中的設定置換用戶端網路上已關閉的連接埠（例如 443、8443、9443）。
步驟

  1. 選擇 Manage external access。此標籤顯示一個表格，其中包含網格中節點的所有外部連接埠（預設非網格節點可以存取的連接埠）。

  2. 使用以下選項設定要開啟和關閉的連接埠：

    • 使用每個連接埠旁邊的切換按鈕開啟或關閉所選連接埠。

    • 選擇 Open all displayed ports 以開啟表格中列出的所有連接埠。

    • 選擇 Close all displayed ports 以結案表格中列出的所有連接埠。

      警告 如果您關閉 Grid Manager 連接埠 443 或 8443，則目前連接到被封鎖連接埠的任何使用者（包括您）都會失去對 Grid Manager 的存取，除非他們的 IP 位址已新增至特權位址清單中。
    註 使用表格右側的捲動軸，以確保您已檢視所有可用的埠。輸入埠號，即可使用搜尋欄位來尋找任何外部埠的設定。您可以輸入部分埠號。例如，如果您輸入 2，則會顯示名稱中包含字串「2」的所有埠。

  3. 選擇 Save

不受信任的用戶端網路

如果節點的用戶端網路不受信任，則該節點僅接受設定為負載平衡器端點的連接埠上的傳入流量，以及（可選）您在此索引標籤中選擇的其他連接埠。您也可以使用此索引標籤為擴充中新增的節點指定預設設定。

警告 如果尚未設定負載平衡器端點，現有的用戶端連線可能會失敗。

在「不受信任的用戶端網路」標籤上所做的組態變更會置換「管理外部存取」標籤上的設定。

步驟

  1. 選擇 Untrusted Client Network。

  2. 在「設定新節點預設值」部分，指定在擴充程序中將新節點新增至網格時應使用的預設設定。

    • 受信任（預設）：在擴充中新增節點時，其用戶端網路受信任。

    • 不受信任：在擴充中新增節點時，其用戶端網路不受信任。

      如有需要，您可以返回此標籤以變更特定新節點的設定。

    註 此設定不會影響 StorageGRID 系統中的現有節點。

  3. 使用下列選項選擇僅允許用戶端連線至明確設定的負載平衡器端點或其他選定連接埠的節點：

    • 選擇「對顯示的節點取消信任」可將表中顯示的所有節點新增至「不受信任的用戶端網路」清單。

    • 選擇「信任顯示的節點」，從「不受信任的用戶端網路」清單中移除表格中顯示的所有節點。

    • 使用每個節點旁邊的切換按鈕，將所選節點的用戶端網路設定為「受信任」或「不受信任」。

      例如，您可以選擇「對顯示的節點取消信任」將所有節點新增至「不受信任的用戶端網路」清單中，然後使用單一節點旁的切換按鈕將該單一節點新增至「受信任的用戶端網路」清單中。

    註 使用表格右側的捲軸，以確保您已檢視所有可用的節點。輸入節點名稱，即可使用搜尋欄位尋找任何節點的設定。您可以輸入部分名稱。例如，如果您輸入 GW ，則會顯示名稱中包含字串 "GW" 的所有節點。

  4. 選取 Save 。

    新的防火牆設定會立即套用並強制執行。如果尚未設定負載平衡器端點，現有的用戶端連線可能會失敗。