HowTo: Sicherheitsgruppen erstellen und verwalten

Sicherheitsgruppe in OpenStack sind virtuelle Firewalls, die den ein- und ausgehenden Netzwerkverkehr für Instanzen (VMs) steuern. Sie definieren Regeln, welche IP-Protokolle, Ports und Quell- bzw. Zieladressen erlaubt oder blockiert werden.

Jede Instanz ist mindestens einer Sicherheitsgruppe zugeordnet – standardmäßig der default-Gruppe. Regeln können individuell angepasst werden, um z. B. SSH-, HTTP- oder Datenbankzugriffe zu erlauben. Änderungen an einer Sicherheitsgruppe wirken sich automatisch auf alle zugeordneten Instanzen aus.

Weitere Informationen zu Sicherheitsgruppen:

In diesem Beispiel wird Port 80 für einen Webserver geöffnet.

Horizon Dashboard

Beispiele für das Arbeiten mit Sicherheitsgruppe via Horizon WebGUI

Auflisten der Sicherheitsgruppen

Horizon -> Netzwerk -> Sicherheitsgruppen

Neue Sicherheitsgruppe erstellen

Horizon -> Netzwerk -> Sicherheitsgruppen -> Sicherheitsgruppen erstellen

Name: webserver-sec
Beschreibung: Sicherheitsgruppe für Webserver

📘
Wird bei dieser Sicherheitsgruppe kein "Egress/Austritt" benötigt, können diese Regeln entfernt werden.

Regel erstellen und neue Regeln hinzufügen

Regeln verwalten

Horizon -> Netzwerk -> Sicherheitsgruppen -> Regel verwalten

Regel hinzufügen

Horizon -> Netzwerk -> Sicherheitsgruppen -> Regel verwalten -> Regel hinzufügen

Neue Regel:

In den Regeln können die Vorlagen verwendet werden oder angepasste TCP/UDP-Regeln erstellt werden. Bei den angepassten TCP/UDP-Regeln können die Ports definiert werden. CIDR bezieht sich auf die Quell-IP-Adresse. Sollen alle IP-Adressen "any" erlaubt werden muss 0.0.0.0/0 verwendet werden.

Weitere Protokolle

🚧
In der WebGUI können TCP und UDP ausgewählt werden. Horizon bietet auch die Möglichkeit weitere Protokolle (z. B. ESP) freizuschalten. "other-protocol/anderes Protokoll" auswählen und passende Protokoll-Nummer hinzufügen.

Sicherheitsgruppen einer Instanz zuordnen

Horizon -> Instanzen -> gewünschte Instanz auswählen -> Dropdown Menü -> Sicherheitsgruppen bearbeiten

gewünschte Sicherheitsgruppe mittels + hinzufügen und Speichern drücken

CLI

📘
Für das Bearbeiten der Sicherheitsgruppen muss die Openstack-CLI installiert sein und ein App-Credential erstellt worden sein.

Beispiele für das Arbeiten mit Sicherheitsgruppe via Openstack CLI

Auflisten der Sicherheitsgruppen

openstack security group list

Neue Sicherheitsgruppen erstellen

openstack security group create webserver-sec --description "Sicherheitsgruppe für Webserver"

📘
Wird bei dieser Sicherheitsgruppe kein "Egress/Austritt" benötigt, können diese Regeln entfernt werden.

Regel auflisten

openstack security group show ssh

Regel erstellen

openstack security group rule create --proto tcp --dst-port 80 webserver-sec

Regel löschen

openstack security group rule delete #RULE_ID

Sicherheitsgruppen einer Instanz zuordnen

openstack server add security group <INSTANCE_NAME> webserver-sec

Sicherheitsgruppen von einer Instanz entfernen

openstack server remove security group <INSTANCE_NAME> webserver-sec