SAP-业务边界:安全策略

时间:2024-07-04 20:57:20
SAP

安全策略

由于开发环境同时需要与企业内部通信,还需提供互联网的业务访问,综合考虑通过网络ACL进行相应的访问控制策略。

网络ACL “NACL-DMZ-SAP-Router”关联生产环境相应子网,需严格控制互联网访问的入方向策略,限制特定外网网段能够访问特定的[IP]:[PORT]

本节中提到的IP地址及端口号仅为示例,如公网IP不固定的场景,可根据业务需要(如技术支持),临时放通特定源IP,相应事务完成后删除策略。如有其它业务流,可根据实际情况增加策略。

表1 网络ACL“NACL-DMZ-SAP-Router” 出方向

规则 #

目的 IP

协议

目的端口

允许/拒绝

说明

*

0.0.0.0/0

ANY

ANY

拒绝

拒绝所有未经前置规则处理的入站数据流。

表2 网络ACL“NACL-DMZ-SAP-Router”入方向

规则 #

IP

协议

目的端口

允许/拒绝

说明

对SAP技术支持人员,SAP GU/软件服务器I等

123.123.123.0/24

TCP

3299

允许

允许互联网SAP技术支持人员(特定源IP),SAP GUI/软件服务器等访问开发测试环境中的DEV&PRD-SAP-Router,进而访问后端业务。

*

0.0.0.0/0

ANY

ANY

拒绝

拒绝所有未经前置规则处理的数据流。

网络ACL “NACL-PRD-DMZ”关联生产环境相应子网,需严格控制互联网/IDC访问的入方向策略,限制外部网络仅能访问开发测试环境特定的[IP]:[PORT]

表3 网络ACL“NACL-PRD-DMZ”出方向

规则 #

目的 IP

协议

目的端口

允许/拒绝

说明

对AD/ADFS服务器

IDC-AD/ADFS网络

TCP

AD/ADF端口

允许

允许与IDC内部AD/ADFS服务器进行对接。

*

0.0.0.0/0

ANY

ANY

拒绝

拒绝所有未经前置规则处理的数据流。

表4 网络ACL“NACL-PRD-DMZ”入方向

规则 #

IP

协议

目的端口

允许/拒绝

说明

对Internet用户

0.0.0.0/0

TCP

80

允许

允许互联网用户、IDC内部用户,访问生产环境中的WEB服务。

对Internet用户

0.0.0.0/0

TCP

443

允许

允许互联网用户、IDC内部用户,访问生产环境中的WEB服务。

*

0.0.0.0/0

ANY

ANY

拒绝

拒绝所有未经前置规则处理的数据流。

网络ACL “NACL-PRD-APP”关联生产环境相应子网,需严格控制IDC访问的入方向策略,限制特定IDC网络仅能访问开发测试环境特定的[IP]:[PORT],出方向策略同上。

表5 网络ACL“NACL-PRD-APP”出方向

规则 #

目的 IP

协议

目的端口

允许/拒绝

说明

对AD/ADFS服务器

IDC-AD/ADFS网络

TCP

AD/ADF端口

允许

允许与IDC内部AD/ADFS服务器进行对接。

*

0.0.0.0/0

ANY

ANY

拒绝

拒绝所有未经前置规则处理的数据流。

表6 网络ACL“NACL-PRD-APP”入方向

规则 #

IP

协议

目的端口

允许/拒绝

说明

对IDC内部用户、顾问。

客户数据中心某子网-b

TCP

8080

允许

允许客户数据中心某子网-b中的内部用户、顾问,访问生产环境中的应用区8080业务端口。

对IDC内部用户、顾问。

客户数据中心某子网-b

TCP

8443

允许

允许客户数据中心某子网-b中的内部用户、顾问,访问生产环境中的应用区8443业务端口。

*

0.0.0.0/0

ANY

ANY

拒绝

拒绝所有未经前置规则处理的数据流。

对于网络ACL “NACL-PRD-SAPDB-BUSI/INTERNEL”,由于无与外部网络交互需求,只需根据1.1节设置内部访问控制策略即可。

安全组策略请见2.1节中相关内容。

support.huaweicloud.com/swp-sap/sap_03_0004.html