Alibaba Cloud VPC, vSwitch, NAT en security groups op STACKIT

Een publieke vSwitch, een NAT-gateway en een security group, beoordeeld

Links de invoer, rechts een fragment van assessment.json met de waarden die de run op 4 november 2026 schreef. De security group heeft twee regels: HTTPS toegestaan vanaf elk adres en Telnet geblokkeerd, beide met prioriteit 1. assessment.json staat op één regel, dus het paneel toont geselecteerde velden per eenheid, ingesprongen en genest zoals in het bestand, met ongewijzigde waarden. De invoerblokken staan in aparte panelen omdat ze in main.tf niet naast elkaar staan.

resource "alicloud_vswitch" "public" {
  vswitch_name = "payments-public"
  vpc_id       = alicloud_vpc.main.id
  cidr_block   = "10.80.0.0/24"
  zone_id      = "eu-central-1a"
}

resource "alicloud_nat_gateway" "egress" {
  vpc_id           = alicloud_vpc.main.id
  vswitch_id       = alicloud_vswitch.public.id
  nat_gateway_name = "payments-egress"
  nat_type         = "Enhanced"
  payment_type     = "PayAsYouGo"
}

resource "alicloud_security_group" "web" {
  security_group_name = "payments-web"
  vpc_id              = alicloud_vpc.main.id
}

resource "alicloud_security_group_rule" "web_https" {
  type              = "ingress"
  ip_protocol       = "tcp"
  port_range        = "443/443"
  priority          = 1
  security_group_id = alicloud_security_group.web.id
  cidr_ip           = "0.0.0.0/0"
}

resource "alicloud_security_group_rule" "web_deny_telnet" {
  type              = "ingress"
  ip_protocol       = "tcp"
  policy            = "drop"
  port_range        = "23/23"
  priority          = 1
  security_group_id = alicloud_security_group.web.id
  cidr_ip           = "0.0.0.0/0"
}

[
  {
    "id": "alicloud_vswitch.public",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT network"
      },
      "reason": "A vSwitch becomes a STACKIT network with its own address range. It is bound to a zone at the source; review the zone placement of the workloads on it."
    }
  },
  {
    "id": "alicloud_nat_gateway.egress",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "NAT gateway rules do not carry over one to one. Whether the egress and any published port need a STACKIT network with a public address, or a NAT appliance on a server, is an architect's decision."
    }
  },
  {
    "id": "alicloud_security_group.web",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "LOW",
      "target": {
        "service": "STACKIT security groups"
      },
      "reason": "A security group becomes a STACKIT security group. STACKIT rules only allow traffic, so a deny rule or a priority order of the source needs a decision."
    }
  }
]

• vSwitch: een netwerk met een eigen bereik

  Zekerheidsniveau MEDIUM. De vSwitch is bij de bron aan een zone gebonden, dus de zoneplaatsing van de workloads erop wordt beoordeeld.

• NAT-gateway: uw keuze

  MANUAL_REVIEW met zekerheidsniveau LOW. Of egress en elke gepubliceerde poort een STACKIT-netwerk met een publiek adres nodig hebben of een NAT-appliance op een server, is een beslissing van de architect.

• Security group: bewust LOW

  De twee regels zijn aan de groep gekoppeld, maar StackToIT herkent het resourcetype van de regel zonder het te koppelen. De run meldt dat en beperkt de groep tot LOW in plaats van te raden wat de regels doen.

De tien eenheden en waar ze terechtkomen

De drie regels van security groups zijn geen eenheden op zich: de run koppelt ze als facetten aan hun groep. De databasegroep komt in golf 3 terecht omdat de regel de webgroep als bron noemt.

Security groups: wat er in de regels verandert

De documentatie van Alibaba Cloud en STACKIT naast elkaar, toegepast op de twee regeltypen in de omgeving.

• Deny en prioriteit

  Regels in Alibaba Cloud hebben een prioriteit van 1 tot 100 en een beleid Allow of Deny. Bij gelijke prioriteit gaan Deny-regels vóór Allow-regels en beslist de eerste treffer. STACKIT security groups staan verkeer alleen toe en worden samen beoordeeld, niet op volgorde.

• De Telnet-blokkeerregel

  Op STACKIT wordt inkomend verkeer geblokkeerd tenzij een regel het toestaat, met één gedocumenteerde uitzondering: verkeer tussen instances in dezelfde security group is toegestaan. De blokkeerregel voor poort 23 heeft geen STACKIT-equivalent. Van buiten is die niet nodig zolang geen allow-regel die u overneemt die poort opent; tussen leden van dezelfde groep zou Telnet bereikbaar zijn, dus verhard de servers zelf of splits de groep.

• Groep als bron

  De databaseregel noemt de webgroep als bron, wat Alibaba Cloud toetst aan de privéadressen van de leden van de groep. De STACKIT-Terraform-provider biedt hiervoor een argument remote_security_group_id op regels van security groups; de conceptpagina van STACKIT zelf beschrijft alleen bronnen met adres en CIDR, dus test de opnieuw opgebouwde regel voordat u erop vertrouwt.

• Standaardwaarden verschillen per groeptype

  Basisgroepen van Alibaba Cloud staan inkomend verkeer van leden van dezelfde groep en al het uitgaande verkeer toe, terwijl enterprisegroepen beide weigeren. STACKIT staat via een standaardregel alle egress toe en blokkeert inkomend verkeer, behalve van leden van dezelfde groep.

• Koppeling

  STACKIT-groepen worden aan netwerkinterfaces gekoppeld, niet aan servers. Een groep kan veel interfaces bedienen en meerdere groepen op één interface worden permissief gecombineerd.

• Poortbereiken en prioriteiten

  De invoer schrijft poorten als bereiken zoals 443/443 en geeft elke regel prioriteit 1. Noteer elke regel met de bedoeling ervan voordat u de regel opnieuw opbouwt, zodat die bedoeling behouden blijft als het prioriteitsnummer vervalt.

NAT, publieke adressen en egress

Waarom de NAT-gateway niet regel voor regel wordt vertaald.

1. 01

   Kant van Alibaba Cloud

   Met een Internet NAT-gateway delen meerdere ECS-instances in een VPC via SNAT-entries één EIP voor toegang tot internet. Een VPC NAT-gateway vertaalt privéadressen, bijvoorbeeld voor overlappende bereiken.

2. 02

   STACKIT uitgaand

   Elk virtueel netwerk van STACKIT heeft via source NAT met masquerading een gateway naar internet. Zonder floating IP kan een server uitgaande verbindingen opzetten, maar geen inkomende verbindingen accepteren.

3. 03

   STACKIT inkomend

   Bereikbaarheid komt van een public IP op een netwerkinterface of op een resource zoals een load balancer. Een floating IP maakt een 1:1 NAT-koppeling tussen publiek en privéadres.

4. 04

   Wat dat betekent voor de omgeving

   Pure SNAT-egress wordt grotendeels door het netwerk zelf gedekt. Gepubliceerde poorten, dat wil zeggen inkomende poortdoorsturing via de NAT-gateway, worden public IP's of load balancers, of een NAT-appliance op een server. De run laat die keuze aan u over.

5. 05

   Allowlists veranderen

   Het elastic IP in de omgeving wordt een STACKIT public IP met een ander adres. Partners die uw egress-adres op een allowlist hebben, hebben het nieuwe adres nodig vóór de cutover.

Werkvolgorde zoals de run die afleidt

Golf 1

VPC en EIP: het adresplan en het publieke adres bestaan als eerste.

Golf 2

De drie vSwitches (publiek, app A, app B) en de security group van het web.

Golf 3

Server, interne load balancer, security group van de database en de NAT-beslissing.

Pakketten

Vijf handmatige werkpakketten, allemaal met de Network Architect als eigenaar, behalve de server, die naar de Platform Architect gaat.

Vragen van netwerkteams

Bronnen

• Regels van security groups (Alibaba Cloud Docs)
• Wat is een NAT-gateway (Alibaba Cloud Docs)
• Security Groups, concepten (STACKIT Docs)
• Virtual Network, concepten (STACKIT Docs)
• Core networking, architectuur (STACKIT Docs)
• Resource stackit_security_group_rule (STACKIT-Terraform-provider)