SAP-运维边界:安全策略

时间：2024-07-04 20:57:21

SAP

如图2 生产环境子网、网络ACL分布图所示，网络ACL“NACL-PRD-MGMT”关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。

本节中提到的IP地址及端口号仅为示例，如有其它管理端口，可根据实际情况增加策略。

表1 网络ACL“NACL-PRD-MGMT”入方向
规则 #	源 IP	协议	目的端口	允许/拒绝	说明
对管理员	客户数据中心某子网-a	TCP	22	允许	允许客户数据中心某子网-a中的管理员访问生产环境管理区的VM。
对管理员	客户数据中心某子网-a	TCP	3389	允许	允许客户数据中心某子网-a中的管理员访问生产环境管理区的VM。
*	0.0.0.0/0	ANY	ANY	拒绝	拒绝所有未经前置规则处理的数据流。

表2 网络ACL“NACL-PRD-MGMT”出方向
规则 #	目的 IP	协议	目的端口	允许/拒绝	说明
1	0.0.0.0/0	ANY	ANY	允许	对于由管理区发起的出方向流量不做限制。
*	0.0.0.0/0	ANY	ANY	拒绝	拒绝所有未经前置规则处理的数据流。