Skip to main content

(FAQ)Как правильно работать с Security Groups в проекте, чтобы избежать сбоев?

 

В рамках обеспечения надёжности и управляемости сетевой инфраструктуры OpenStack мы рекомендуем применять единообразные и осознанные подходы к работе с группами безопасности (Security Groups). Правильно спроектированная структура и наименование Security Groups позволяют:

  • снизить риск случайных изменений, ведущих к сбоям сервисов;

  • улучшить читаемость и отслеживаемость настроек безопасности;

  • обеспечить повторное использование групп между инстансами и ускорить сопровождение.

Рекомендации по работе с Security Groups

  1. Перед внесением изменений или удалением правил в существующих Security Groups рекомендуется проводить ревизию их использования, чтобы снизить риск нарушения сетевых настроек и сбоев в работе сервисов.

  2. Инстансы с пометкой prod (например, prod-netbox-billing) и связанные с ними Security Groups требуют повышенного внимания. Изменения в этих группах рекомендуется выполнять только после анализа возможных последствий.

  3. Удаление правил рекомендуется выполнять только после подтверждения, что они не используются другими сервисами или инстансами. В случае неопределённости целесообразно временно деактивировать правило и оценить влияние на работу сервисов.

Рекомендации по наименованию Security Groups

В качестве дополнительной меры для упрощения администрирования рекомендуем применять стандартизованный подход к наименованию и структуре Security Groups: Одна группа = одно правило. 

Примеры наименования для разных портов и протоколов:

Наименование Security Group Протокол / Порт Описание
http TCP/80 Доступ к веб-сервисам по HTTP
https TCP/443 Доступ к веб-сервисам по HTTPS
https_custom_8843 TCP/8843 Доступ к кастомному веб-сервису
ssh TCP/22 Доступ по SSH к Linux-инстансу
rdp tcp/3389 Доступ по SSH к Windows-инстансу

Преимущества такого подхода:

  • Переиспользование: одна Security Group с конкретным правилом может применяться к нескольким инстансам.
  • Прозрачность: легко определить, какие порты открыты и для чего они используются.
  • Простота изменений: при необходимости изменить правило, достаточно обновить одну группу, не затрагивая другие сервисы.
Back to top