NNI 및 계층 3 격리 도메인 외부 네트워크에 대한 ACL(액세스 제어 목록) 관리 만들기

ACL(액세스 제어 목록)은 네트워크 내에서 인바운드 및 아웃바운드 패킷 흐름을 규제하는 규칙 집합입니다. Azure의 Nexus Network Fabric 서비스는 네트워크 간 상호 연결 및 계층 3 격리 도메인 외부 네트워크에 대한 ACL을 구성하는 API 기반 메커니즘을 제공합니다. 이 가이드에서는 ACL을 만드는 단계를 간략하게 설명합니다.

ACL(액세스 제어 목록) 만들기

ACL을 만들고 해당 속성을 정의하려면 이 명령을 사용할 az networkfabric acl create 수 있습니다. 관련된 단계는 다음과 같습니다.

필수 조건

• Bash 환경을 Azure Cloud Shell에서 사용합니다. 자세한 내용은 Azure Cloud Shell 시작을 참조하세요.

  

• CLI 참조 명령을 로컬에서 실행하려면 Azure CLI를 설치하십시오. Windows 또는 macOS에서 실행 중인 경우 Docker 컨테이너에서 Azure CLI를 실행하는 것이 좋습니다. 자세한 내용은 Docker 컨테이너에서 Azure CLI를 실행하는 방법을 참조하세요.

  • 로컬 설치를 사용하는 경우 az login 명령을 사용하여 Azure CLI에 로그인합니다. 인증 프로세스를 완료하려면 터미널에 표시되는 단계를 수행합니다. 다른 로그인 옵션은 Azure CLI를 사용하여 Azure에 인증을 참조하세요.

  • 메시지가 표시되면 처음 사용할 때 Azure CLI 확장을 설치합니다. 확장에 대한 자세한 내용은 Azure CLI로 확장 사용 및 관리를 참조하세요.

  • az version을 실행하여 설치된 버전과 관련 종속 라이브러리를 확인합니다. 최신 버전으로 업그레이드하려면 az upgrade를 실행합니다.

1. 구독 설정(필요한 경우):

구독이 여러 개 있고 기본값으로 설정해야 하는 경우 다음을 사용하여 설정할 수 있습니다.

az account set --subscription <subscription-id>

2. ACL 만들기:

    az networkfabric acl create --resource-group "<resource-group>" --location "<location>" --resource-name "<acl-name>" --annotation "<annotation>" --configuration-type "<configuration-type>" --default-action "<default-action>" --match-configurations "[{matchConfigurationName:<match-config-name>,sequenceNumber:<sequence-number>,ipAddressType:<IPv4/IPv6>,matchConditions:[{ipCondition:{type:<SourceIP/DestinationIP>,prefixType:<Prefix/Exact>,ipPrefixValues:['<ip-prefix1>', '<ip-prefix2>', ...]}}],actions:[{type:<Action>}]}]"

매개 변수 사용 지침

아래 표에서는 ACL을 만들 때 매개 변수 사용에 대한 지침을 제공합니다.

ACL 만들기에 대한 예제 페이로드

az networkfabric acl create --resource-group "example-rg" --location "eastus2euap" --resource-name "example-Ipv4ingressACL" --annotation "annotation" --configuration-type "Inline" --default-action "Deny" --match-configurations "[{matchConfigurationName:example-match,sequenceNumber:1110,ipAddressType:IPv4,matchConditions:[{ipCondition:{type:SourceIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}},{ipCondition:{type:DestinationIP,prefixType:Prefix,ipPrefixValues:['10.18.0.124/30','10.18.0.128/30','10.18.30.16/30','10.18.30.20/30']}}],actions:[{type:Count}]}]"

예제 출력

{
  "administrativeState": "Disabled",
  "annotation": "annotation",
  "configurationState": "Succeeded",
  "configurationType": "Inline",
  "defaultAction": "Deny",
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/Fab3LabNF-4-0/providers/Microsoft.ManagedNetworkFabric/accessControlLists/L3domain091123-Ipv4egressACL",
  "location": "eastus2euap",
  "matchConfigurations": [
    {
      "actions": [
        {
          "type": "Count"
        }
      ],
      "ipAddressType": "IPv4",
      "matchConditions": [
        {
          "ipCondition": {
            "ipPrefixValues": [
              "10.18.0.124/30",
              "10.18.0.128/30",
              "10.18.30.16/30",
              "10.18.30.20/30"
            ],
            "prefixType": "Prefix",
            "type": "SourceIP"
          }
        },
        {
          "ipCondition": {
            "ipPrefixValues": [
              "10.18.0.124/30",
              "10.18.0.128/30",
              "10.18.30.16/30",
              "10.18.30.20/30"
            ],
            "prefixType": "Prefix",
            "type": "DestinationIP"
          }
        }
      ],
      "matchConfigurationName": "example-Ipv4ingressACL ",
      "sequenceNumber": 1110
    }
  ],
  "name": "example-Ipv4ingressACL",
  "provisioningState": "Succeeded",
  "resourceGroup": "Fab3LabNF-4-0",
  "systemData": {
    "createdAt": "2023-09-11T10:20:20.2617941Z",
    "createdBy": "user@email.com",
    "createdByType": "User",
    "lastModifiedAt": "2023-09-11T10:20:20.2617941Z",
    "lastModifiedBy": "user@email.com",
    "lastModifiedByType": "User"
  },
  "type": "microsoft.managednetworkfabric/accesscontrollists"
}

트래픽 정책을 통한 속도 제한

지원되는 NF 버전에서 ACL은 트래픽 정책 프레임워크를 통한 속도 제한을 지원합니다. 이 작업은 일치하는 조건에 따라 수행되며, ACL 동작을 간단한 허용/거부 모델에서 세분화된 트래픽 치안 메커니즘으로 전환합니다. 이렇게 하면 IPv4 및 IPv6 흐름에 대한 대역폭 규제가 가능합니다.

주요 기능

• 선택적 구성: 속도 제한은 기본적으로 적용되지 않습니다. 명시적으로 구성해야 합니다.
• 범위: 적용 대상 -
  • NNI(네트워크 간 상호 연결)
  • 외부 네트워크 옵션 A 및 옵션 B 하위 인터페이스
• 지원되는 ACL 형식: ControlPlaneTrafficPolicy, 테넌트 및 관리

매개 변수

속도: 지속적인 트래픽 처리량
단위: bps, kbps, mbps, gbps, pps
버스트 크기: 정의된 속도
단위를 초과하는 임시 허용량: 바이트, kbytes, mbytes, 패킷

API 예제:

"actions": [
{ 
"type": "PoliceRate", 
"policeRateConfiguration":
{ 
"bitRate":
{ 
 "rate": 1000, 
"unit": "Kbps" 
}, 
"burstSize":
{ 
"size": 10, 
 "unit": "KBytes" 
} } } ]

Configuration:

traffic-policies 
   cpu traffic-policy <NF-Name>-cptp-police-rate-acl vrf all 
   traffic-policy <NF-Name>-cptp-police-rate-acl 
      match <NF-Name>-cptp-police-rate-match ipv4 
         protocol neighbors bgp 
         ! 
         actions 
police rate 1000 kbps burst-size 10 kbytes 
      ! 
      match ipv4-all-default ipv4 
      ! 
      match ipv6-all-default ipv6

다음 단계

Azure Fabric에서 NNI에 ACL(액세스 제어 목록) 적용