serverplus’da xavfsizlik guruhlari: bulutli faervol

Xavfsizlik guruhi — bu serveringiz uchun bulutli tarmoq ekrani (faervol). U qaysi tarmoq trafigini serverga (kiruvchi) va serverdan (chiquvchi) qo‘yishni hal qiladi. Qoidalar bulut darajasida, paket operatsion tizimga yetib borishidan oldin ishlaydi.

Asosiy tamoyil: qoidalar faqat ruxsat beruvchi. Aniq ruxsat etilmagan hamma narsa taqiqlangan. Sukut bo‘yicha kiruvchi trafik to‘liq yopiq, shuning uchun serverga SSH orqali ulanish yoki saytni ochish uchun kerakli yo‘nalish va portni qoida bilan ruxsat etish kerak.

Xavfsizlik guruhlari qayerda joylashgan

• «Tarmoq» bo‘limi → «Xavfsizlik guruhlari» yorlig‘i. Bu yerda loyihaning barcha guruhlari ro‘yxati, ularni yaratish va qoidalarni tahrirlash.
• Server kartochkasida → «Xavfsizlik guruhlari». Bu yerda muayyan serverga qaysi guruhlar tayinlangani ko‘rinadi, ularni qo‘shish yoki olib tashlash mumkin.
• Serverni yaratishda («Xavfsizlik guruhlari» bosqichi) — guruhni darhol tayinlash mumkin.

Qoida qanday tuzilgan

Guruhdagi har bir qoida parametrlar to‘plami bilan tavsiflanadi (qoidalar jadvalidagi ustunlar):

• Yo‘nalish (Direction). Kiruvchi trafik (ingress) — kim serverga ulana oladi; Chiquvchi trafik (egress) — serverning o‘zi qayerga murojaat qila oladi.
• Protokol (Protocol). TCP, UDP, ICMP yoki ICMPv6. TCP — ko‘pchilik xizmatlar uchun (SSH, HTTP), ICMP — ping uchun.
• Port / portlar diapazoni (Open Port). Muayyan port (Порт), diapazon (Диапазон портов) yoki Все порты. Masalan, SSH uchun 22, HTTPS uchun 443.
• Manba (Remote). CIDR — IP-manzillar diapazoni (masalan 0.0.0.0/0 — hamma joydan, yoki 203.0.113.7/32 — faqat bitta manzil); yoki Xavfsizlik guruhi — boshqa guruhdagi serverlardan trafikka ruxsat berish.
• Efir turi (Ether Type). IPv4 yoki IPv6.
• Tavsif (Description). Qoida nima uchun kerakligi haqida ixtiyoriy izoh.

Sukut bo‘yicha stateful. Ruxsat etilgan kiruvchi ulanishlarga javoblar avtomatik o‘tadi — «teskari» trafikni alohida qoida bilan ochish shart emas. Chiquvchi trafik odatiy guruhlarda to‘liq ochiq.

Misol: «SSH» guruhi nimadan iborat

Paneldagi tayyor SSH guruhi uchta qoidadan iborat:

• ingress · IPv4 · port 22 · TCP · 0.0.0.0/0 — kiruvchi SSH-ulanishlarga hamma joydan ruxsat beradi.
• egress · IPv4 · istalgan port · istalgan protokol — barcha chiquvchi trafikka ruxsat beradi (IPv4).
• egress · IPv6 · istalgan port · istalgan protokol — IPv6 uchun ham xuddi shunday.

Ya’ni guruh faqat SSH orqali kirishni ochadi, tashqariga esa server erkin murojaat qila oladi.

1-qadam. Xavfsizlik guruhini yarating

Tarmoq → Xavfsizlik guruhlari ni oching va «+ Xavfsizlik guruhini yaratish» ni bosing. To‘ldiring:

• Joylashuv mintaqasi — masalan uz-tas1 / RegionOne (server bilan bir xil).
• Name — guruh nomi, masalan web-server yoki office-ssh.
• Description — vazifasining qisqacha tavsifi (ixtiyoriy).

«+ Xavfsizlik guruhini yaratish» ni bosing. Yangi guruh ro‘yxatda paydo bo‘ladi — sukut bo‘yicha ochiq chiquvchi trafik bilan va kiruvchi qoidalarsiz (ularni keyin qo‘shamiz).

2-qadam. Qoidalar qo‘shing

Yaratilgan guruhni oching va «+ Qoida qo‘shish» ni bosing. Shaklda:

• Rule. Barcha protokollar yoki Foydalanuvchi protokoli (muayyan protokol va portni tanlash — odatiy holat).
• Direction — kiruvchi yoki chiquvchi.
• Open Port — port, diapazon yoki barcha portlar; «Port» uchun raqam kiritish maydoni paydo bo‘ladi.
• Protocol — TCP / UDP / ICMP / ICMPv6.
• Remote — CIDR (IP diapazoni) yoki boshqa xavfsizlik guruhi.
• Ether Type — IPv4 yoki IPv6.

«+ Qoida qo‘shish» ni bosing — u darhol jadvalda paydo bo‘ladi. Keraksiz qoida «Amallar» ustunidagi tugma bilan o‘chiriladi.

Odatiy qoidalar (kiruvchi)

• SSH (Linux): TCP · port 22. Manbani 0.0.0.0/0 emas, o‘z IP’ingiz bilan cheklagan ma’qul.
• RDP (Windows): TCP · port 3389. Buni ham IP bo‘yicha cheklang.
• HTTP sayt: TCP · port 80, 0.0.0.0/0 bilan (sayt hammaga ochiq).
• HTTPS sayt: TCP · port 443, 0.0.0.0/0 bilan.
• Ping: ICMP (portsiz) — mavjudlikni tekshirish uchun.
• Ma’lumotlar bazasi (masalan PostgreSQL 5432, MySQL 3306): faqat kerakli manba uchun oching — o‘z ilovangiz yoki guruh uchun, hech qachon 0.0.0.0/0 uchun emas.

3-qadam. Guruhni serverga bog‘lang

• Serverni yaratishda — «Xavfsizlik guruhlari» bosqichida kerakligini tanlang (masalan, SSH + web-server).
• Ishlayotgan serverda — uning kartochkasini oching → «Xavfsizlik guruhlari» bo‘limi → Xavfsizlik guruhini qo‘shish. Shu yerda guruhni olib tashlash ham mumkin (qatordagi o‘chirish tugmasi). O‘zgarishlar serverni qayta yaratmasdan qo‘llaniladi.

Bitta serverga bir nechta guruhni bog‘lash mumkin — ularning qoidalari qo‘shiladi (barcha ruxsatlarning birlashmasi ishlaydi).

IP bo‘yicha kirishni cheklash (CIDR)

CIDR yozuvi qaysi manzillarga serverga murojaat qilishga ruxsat berilishini belgilaydi:

• 0.0.0.0/0 — internetdagi istalgan manzil. Ommaviy sayt uchun (80/443) o‘rinli, SSH/RDP va ma’lumotlar bazalari uchun xavfli.
• 203.0.113.7/32 — aynan bitta IP (masalan, ofisingizning statik manzili). /32 «faqat shu manzil» degani.
• 10.0.0.0/24 — butun quyi tarmoq (256 manzil), ichki tarmoq uchun qulay.

Asosiy xavfsizlik qoidasi. Hech qachon SSH (22), RDP (3389) va ma’lumotlar bazasi portlarini butun internetga (0.0.0.0/0) ochmang. Ularni o‘z IP’ingiz yoki ishonchli quyi tarmoq bilan cheklang — bu serverni parollarni ommaviy saralashdan yopadi.

Guruh manba sifatida (ichki bog‘lanishlar)

Remote maydonida CIDR emas, boshqa xavfsizlik guruhini ko‘rsatish mumkin. U holda qoida o‘sha guruhga kiruvchi barcha serverlardan trafikka ruxsat beradi. Misol: ma’lumotlar bazasi serveriga 5432 portini butun internet uchun emas, faqat web-server guruhi uchun ochasiz — shunda MB’ga faqat veb-serverlaringiz murojaat qila oladi.

Tavsiyalar

• Minimal ochiqlik. Faqat haqiqatan kerak bo‘lgan portlarni va faqat kerakli tomonga oching.
• Rollarga ajrating. Veb-serverlar uchun alohida guruh, MB uchun alohida, admin-kirish uchun alohida — boshqarish osonroq va xavfsizroq.
• Boshqaruv — IP yoki VPN orqali. SSH/RDP — faqat o‘z manzillaringizdan; yana yaxshisi — VPN orqali, boshqaruv portini tashqariga ochmasdan.
• Tushunarli nom va tavsiflar. Yarim yildan keyin web-server va «sayt uchun HTTP/HTTPS» nomsiz guruhdan ko‘proq narsa aytadi.
• O‘chirishdan oldin tekshiring. Guruhni serverdan olib tashlash kirishni (jumladan sizning SSH’ingizni) darhol uzishi mumkin. Kamida bitta ishlaydigan kirish qoidasi qolishiga ishonch hosil qiling.

Ko‘p beriladigan savollar

Xavfsizlik guruhi serverdagi ufw/firewalld dan nimasi bilan farq qiladi?

Xavfsizlik guruhi bulutda, virtual mashina atrofida ishlaydi va trafikni OS’ga tushishidan oldin filtrlaydi. ufw/firewalld — OS’ning ichidagi faervol. Ular bir-biriga xalaqit bermaydi; ishonchlilik uchun ularni birga ishlatishadi (ikki qatlamli himoya), lekin boshlash xavfsizlik guruhidan osonroq.

SSH orqali kirishni o‘zimga yopib qo‘ydim. Nima qilish kerak?

ingress · TCP · 22 qoidasini o‘z IP’ingiz bilan qaytadan qo‘shing, yoki serverga panelda >_ Konsol orqali kiring (veb-konsol tarmoq kirishisiz ham ishlaydi) va sozlamalarni o‘sha yerdan to‘g‘rilang.

Ishlayotgan serverda qoidalarni o‘zgartirish mumkinmi?

Ha. Guruh qoidalari va serverdagi guruhlar to‘plami qayta yuklamasdan, tez o‘zgartiriladi. Yangi qoidalar deyarli darhol ishlaydi.

Serverga bir nechta guruh bog‘langan bo‘lsa nima bo‘ladi?

Ularning qoidalari qo‘shiladi: hech bo‘lmaganda bitta guruh ruxsat bergan narsa ruxsat etiladi. «Taqiqlovchi» qoidalar yo‘q — faqat «sukut bo‘yicha taqiqlangan» siyosati ustidagi ruxsatlar bor.

Chiquvchi qoidalarni sozlash kerakmi?

Odatda yo‘q — odatiy guruhlarda chiquvchi trafik to‘liq ochiq. Uni faqat xavfsizlikka yuqori talab qo‘yiladigan vazifalarda cheklashadi (server istalgan joyga murojaat qila olmasligi uchun).