SAP-业务边界:安全策略

时间：2024-07-04 20:57:21

SAP

由于开发环境同时需要与企业内部通信，还需提供互联网的业务访问，综合考虑通过网络ACL进行相应的访问控制策略。

图1 开发测试环境子网

如图1 开发测试环境子网所示，网络ACL“NACL-DEV-APP”关联开发测试环境相应子网，需严格控制访问企业内网环境(IDC)的出方向策略，限制其仅能访问企业内网环境(IDC)中特定的[IP]:[PORT]。

对于由IDC发起的对开发测试环境的入方向策略，根据场景不同设置相应的访问控制策略。如AD服务器与保留系统，场景较为固定，应设置相应的策略，使其能够与云上特定[IP]:[PORT]互通。而对于End user，可限制能够访问的特定IP段与端口(业务端口)区间，以及22/3389等管理端口。

网络ACL“NACL-DEV-APP”“NACL-DMZ-SAP-Router”关联开发测试环境相应子网，需严格控制互联网访问的入方向策略，限制外网仅能访问开发测试环境特定的[IP]:[PORT]。

本节中提到的IP地址及端口号仅为示例。如公网IP不固定的场景，可根据业务需要(如技术支持)，临时放通特定源IP，相应事务完成后删除策略。如有其它业务流，可根据实际情况增加策略。

表1 网络ACL“NACL-DMZ-SAP-Router” 出方向
规则 #	目的 IP	协议	目的端口	允许/拒绝	说明
*	0.0.0.0/0	ANY	ANY	拒绝	拒绝所有未经前置规则 (不可修改) 处理的入站数据流。

表2 网络ACL“ NACL-DMZ-SAP-Router”入方向
规则 #	源 IP	协议	目的端口	允许/拒绝	说明
对SAP技术支持人员，SAP GU/软件服务器I等	123.123.123.0/24	TCP	3299	允许	允许互联网SAP技术支持人员(特定源IP)，SAP GUI/软件服务器等访问开发测试环境中的DEV&PRD-SAP-Router，进而访问后端业务。
*	0.0.0.0/0	ANY	ANY	拒绝	拒绝所有未经前置规则处理的数据流。

表3 网络ACL“NACL-DEV-APP”出方向
规则 #	目的 IP	协议	目的端口	允许/拒绝	说明
对AD/ADFS服务器	IDC-AD/ADFS网络	TCP	AD/ADF端口	允许	允许与IDC内部AD/ADFS服务器进行对接。
*	0.0.0.0/0	ANY	ANY	拒绝	拒绝所有未经前置规则处理的数据流。

表4 网络ACL“NACL-DEV-APP”入方向
规则 #	源 IP	协议	目的端口	允许/拒绝	说明
对Internet内部用户/顾问。	123.123.123.0/24	TCP	80	允许	允许互联网特定IP的内部用户、顾问，访问开发测试环境中的WEB服务。
对Internet内部用户/顾问。	123.123.123.0/24	TCP	443	允许	允许互联网特定IP的内部用户、顾问，访问开发测试环境中的WEB服务。
对IDC内部用户、顾问。	客户数据中心某子网-b	TCP	80	允许	允许客户数据中心某子网-b中的内部用户、顾问，访问开发测试环境中的WEB服务。
对IDC内部用户、顾问。	客户数据中心某子网-b	TCP	443	允许	允许客户数据中心某子网-b中的内部用户、顾问，访问开发测试环境中的WEB服务。
*	0.0.0.0/0	ANY	ANY	拒绝	拒绝所有未经前置规则处理的数据流。