Alibaba Cloud VPC, vSwitch, NAT und Security Groups auf STACKIT

Ein öffentlicher vSwitch, ein NAT-Gateway und eine Security Group, bewertet

Links die Eingabe, rechts ein Auszug aus assessment.json mit den Werten, die der Lauf am 4. November 2026 geschrieben hat. Die Security Group trägt zwei Regeln: HTTPS von überall erlaubt und Telnet verworfen, beide mit Priorität 1. Da assessment.json in einer einzigen Zeile geschrieben ist, zeigt der Ausschnitt ausgewählte Felder jeder Einheit, eingerückt und so verschachtelt wie in der Datei, mit unveränderten Werten. Die Eingabeblöcke stehen in getrennten Ausschnitten, weil sie in main.tf nicht direkt aufeinander folgen.

resource "alicloud_vswitch" "public" {
  vswitch_name = "payments-public"
  vpc_id       = alicloud_vpc.main.id
  cidr_block   = "10.80.0.0/24"
  zone_id      = "eu-central-1a"
}

resource "alicloud_nat_gateway" "egress" {
  vpc_id           = alicloud_vpc.main.id
  vswitch_id       = alicloud_vswitch.public.id
  nat_gateway_name = "payments-egress"
  nat_type         = "Enhanced"
  payment_type     = "PayAsYouGo"
}

resource "alicloud_security_group" "web" {
  security_group_name = "payments-web"
  vpc_id              = alicloud_vpc.main.id
}

resource "alicloud_security_group_rule" "web_https" {
  type              = "ingress"
  ip_protocol       = "tcp"
  port_range        = "443/443"
  priority          = 1
  security_group_id = alicloud_security_group.web.id
  cidr_ip           = "0.0.0.0/0"
}

resource "alicloud_security_group_rule" "web_deny_telnet" {
  type              = "ingress"
  ip_protocol       = "tcp"
  policy            = "drop"
  port_range        = "23/23"
  priority          = 1
  security_group_id = alicloud_security_group.web.id
  cidr_ip           = "0.0.0.0/0"
}

[
  {
    "id": "alicloud_vswitch.public",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT network"
      },
      "reason": "A vSwitch becomes a STACKIT network with its own address range. It is bound to a zone at the source; review the zone placement of the workloads on it."
    }
  },
  {
    "id": "alicloud_nat_gateway.egress",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "NAT gateway rules do not carry over one to one. Whether the egress and any published port need a STACKIT network with a public address, or a NAT appliance on a server, is an architect's decision."
    }
  },
  {
    "id": "alicloud_security_group.web",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "LOW",
      "target": {
        "service": "STACKIT security groups"
      },
      "reason": "A security group becomes a STACKIT security group. STACKIT rules only allow traffic, so a deny rule or a priority order of the source needs a decision."
    }
  }
]

• vSwitch: ein Netzwerk mit eigenem Bereich

  Konfidenz MEDIUM. Der vSwitch ist an der Quelle an eine Zone gebunden; die Zonenplatzierung der Workloads darauf wird daher geprüft.

• NAT-Gateway: Ihre Entscheidung

  MANUAL_REVIEW mit Konfidenz LOW. Ob Egress und veröffentlichte Ports ein STACKIT-Netzwerk mit öffentlicher Adresse oder eine NAT-Appliance auf einem Server brauchen, entscheidet ein Architekt.

• Security Group: bewusst LOW

  Die beiden Regeln sind mit der Gruppe verknüpft, doch StackToIT erkennt den Ressourcentyp der Regel, ohne ihn zuzuordnen. Der Lauf weist das aus und begrenzt die Gruppe auf LOW, statt zu raten, was die Regeln bewirken.

Die zehn Einheiten und ihr Ziel

Die drei Security-Group-Regeln sind keine eigenen Einheiten: Der Lauf ordnet sie als Facetten ihrer Gruppe zu. Die Datenbank-Gruppe liegt in Welle 3, weil ihre Regel die Web-Gruppe als Quelle nennt.

Security Groups: was sich bei den Regeln ändert

Dokumentation von Alibaba Cloud und STACKIT nebeneinander, angewendet auf die beiden Regeltypen in der Umgebung.

• Deny und Priorität

  Regeln in Alibaba Cloud tragen eine Priorität von 1 bis 100 und eine Allow- oder Deny-Richtlinie. Bei gleicher Priorität stehen Deny-Regeln vor Allow-Regeln, und der erste Treffer entscheidet. STACKIT Security Groups erlauben nur und werten Regeln gemeinsam statt der Reihe nach aus.

• Die Telnet-Drop-Regel

  Auf STACKIT wird eingehender Verkehr blockiert, solange keine Regel ihn erlaubt – mit einer dokumentierten Ausnahme: Verkehr zwischen Instanzen derselben Security Group ist erlaubt. Für die Drop-Regel auf Port 23 gibt es kein STACKIT-Äquivalent. Von außen ist sie entbehrlich, solange keine übernommene Allow-Regel den Port öffnet; zwischen Mitgliedern derselben Gruppe wäre Telnet aber erreichbar. Härten Sie daher die Server selbst oder teilen Sie die Gruppe auf.

• Gruppe als Quelle

  Die Datenbank-Regel nennt die Web-Gruppe als Quelle; Alibaba Cloud gleicht das über die privaten Adressen der Gruppenmitglieder ab. Der STACKIT-Terraform-Provider bietet dafür bei Security-Group-Regeln das Argument remote_security_group_id; die STACKIT-Konzeptseite selbst beschreibt nur Adressen und CIDR-Blöcke als Quelle. Testen Sie die neu aufgebaute Regel, bevor Sie sich darauf verlassen.

• Standards je Gruppentyp

  Basisgruppen in Alibaba Cloud erlauben eingehenden Verkehr von Mitgliedern derselben Gruppe und allen ausgehenden Verkehr; Enterprise-Gruppen dagegen verweigern beides. STACKIT erlaubt allen ausgehenden Verkehr über eine Standardregel und blockiert eingehenden Verkehr, außer von Mitgliedern derselben Gruppe.

• Zuweisung

  STACKIT-Gruppen hängen an Netzwerkschnittstellen, nicht an Servern. Eine Gruppe kann viele Schnittstellen bedienen; mehrere Gruppen an einer Schnittstelle werden permissiv zusammengeführt.

• Portbereiche und Prioritäten

  Die Eingabe schreibt Ports als Bereiche wie 443/443 und gibt jeder Regel Priorität 1. Halten Sie vor dem Neuaufbau je Regel ihre Absicht fest, damit sie den Verlust der Prioritätszahl überlebt.

NAT, öffentliche Adressen und Egress

Warum das NAT-Gateway nicht Regel für Regel übersetzt wird.

1. 01

   Seite Alibaba Cloud

   Ein Internet-NAT-Gateway lässt mehrere ECS-Instanzen einer VPC über SNAT-Einträge eine EIP für den Internetzugang teilen. Ein VPC-NAT-Gateway übersetzt private Adressen, etwa bei überlappenden Bereichen.

2. 02

   STACKIT ausgehend

   Jedes STACKIT Virtual Network hat über Source NAT mit Masquerading ein Gateway ins Internet. Ohne Floating IP kann ein Server Verbindungen nach außen aufbauen, aber keine eingehenden Verbindungen annehmen.

3. 03

   STACKIT eingehend

   Erreichbarkeit entsteht durch eine Public IP an einer Netzwerkschnittstelle oder an einer Ressource wie einem Load Balancer. Eine Floating IP erzeugt eine 1:1-NAT-Zuordnung zwischen öffentlicher und privater Adresse.

4. 04

   Was das für die Umgebung heißt

   Reinen SNAT-Egress deckt das Netzwerk weitgehend selbst ab. Veröffentlichte Ports, also eingehende Portweiterleitungen über das NAT-Gateway, werden zu Public IPs, Load Balancern oder einer NAT-Appliance auf einem Server. Die Wahl überlässt der Lauf Ihnen.

5. 05

   Freigabelisten ändern sich

   Aus der Elastic IP in der Umgebung wird eine STACKIT Public IP mit anderer Adresse. Partner, die Ihre Egress-Adresse auf ihrer Freigabeliste führen, brauchen die neue Adresse vor dem Cutover.

Reihenfolge der Arbeit, wie der Lauf sie ableitet

Welle 1

VPC und EIP: Adressplan und öffentliche Adresse stehen zuerst.

Welle 2

Die drei vSwitches (public, App A, App B) und die Web-Security-Group.

Welle 3

Server, interner Load Balancer, Datenbank-Security-Group und die NAT-Entscheidung.

Pakete

Fünf manuelle Arbeitspakete; verantwortlich ist jeweils der Network Architect, außer beim Server, der an den Platform Architect geht.

Fragen von Netzwerkteams

Quellen

• Alibaba-Cloud-Dokumentation: Security-Group-Regeln
• Alibaba-Cloud-Dokumentation: Was ist ein NAT-Gateway?
• STACKIT-Dokumentation: Security Groups, Konzepte
• STACKIT-Dokumentation: Virtual Network, Konzepte
• STACKIT-Dokumentation: Core Networking, Architektur
• STACKIT-Terraform-Provider: stackit_security_group_rule