Перейти к основному содержимому

Service to CIDR (Ingress/Egress) TCP/UDP

Ресурс Service to CIDR представляет собой введенную нами абстракцию, которая обеспечивает гибкое управление и контроль за сетевым трафиком между cервисом и CIDR, используя TCP, UDP протоколы. Этот ресурс дает возможность детально настроить, какой трафик разрешен к передаче между сервисом и CIDR`ом, тем самым гарантируя высокий уровень защиты и управления сетевой инфраструктурой.

Более подробную документацию по API можно посмотреть здесь.
Более подробно по организации БД можно посмотреть здесь.

Входные параметры​

  • ieCidrSvcRules.rules[] - Структура, содержащая описание создаваемых правил.
  • ieCidrSvcRules.rules[].CIDR - Список, содержащий подсети типа IP.
  • ieCidrSvcRules.rules[].svc - Имя сервиса.
  • ieCidrSvcRules.rules[].logs - Включить/отключить логирование.
  • ieCidrSvcRules.rules[].trace - Включить/отключить трассировку.
  • ieCidrSvcRules.rules[].ports - Блок описывающий набор пар портов (source-destination).
  • ieCidrSvcRules.rules[].ports[].d - Набор открытых портов получателя
  • ieCidrSvcRules.rules[].ports[].s - Набор открытых портов отправителя.
  • ieCidrSvcRules.rules[].traffic - Поле описывающий направление трафика.
  • ieCidrSvcRules.rules[].transport - Протокол L3/L4 уровня модели OSI.
  • ieCidrSvcRules.rules[].action - Действие для пакетов в сформированных правил в цепочке.
  • ieCidrSvcRules.rules[].priority - Структура, содержащая описание порядка применения правил в цепочке.
  • ieCidrSvcRules.rules[].priority.some - Поле, определяющее порядок применения правил в цепочке.
  • ieCidrSvcRules.syncOp - Поле определяющее действие с данными из запроса.
названиеобязательностьтип данныхзначение по умолчанию
ieCidrSvcRules.rules[]даObject[]
ieCidrSvcRules.rules[].CIDRдаString
ieCidrSvcRules.rules[].svcдаString
ieCidrSvcRules.rules[].logsнетBooleanfalse
ieCidrSvcRules.rules[].traceнетBooleanfalse
ieCidrSvcRules.rules[].portsнетObject[][]
ieCidrSvcRules.rules[].ports[].dда/нетString
ieCidrSvcRules.rules[].ports[].sда/нетString
ieCidrSvcRules.rules[].trafficдаEnum("Ingress", "Egress")
ieCidrSvcRules.rules[].transportнетEnum("TCP", "UDP")TCP
ieCidrSvcRules.rules[].actionдаEnum("ACCEPT", "DROP")
ieCidrSvcRules.rules[].priorityнетObject
ieCidrSvcRules.rules[].priority.someнетInteger | String
syncOpдаEnum("Delete", "Upsert", "FullSync")

Ограничения

  • ieCidrSvcRules.rules[].svc:

    • Длина значения не должна превышать 256 символов.
    • Значение должно начинаться и заканчиваться символами без пробелов.
    • Значение не может быть пустой строкой
    • Возможно указать только существующий Service.

  • ieCidrSvcRules.rules[].CIDR:

    • Значение не может быть пустым.
    • Значение поля должно начинаться и заканчиваться символами без пробелов.
    • Подсеть должна соответствовать формату записи, определенному в RFC 4632.

  • ieCidrSvcRules.rules[].ports:

    • Source порты не должны пересекаться в разных пачках в рамках ресурса
    • Source || destination порт обязателен для заполнения

  • ieCidrSvcRules.rules[].ports[].s:

    • Значения портов должно находиться в интервале от 1 до 65535.
    • Если значение не будет указано то будет использоваться весь диапазон портов.
    • Значения портов прописываются по одному или интервально, используя '-'.
    • Не допускаются пересечения портов для ресурса.
    • Интервал прописывается от меньшего к большему (99-110)

  • ieCidrSvcRules.rules[].ports[].d:

    • Значения портов должно находиться в интервале от 1 до 65535.
    • Если значение не будет указано то будет использоваться весь диапазон портов.
    • Значения портов прописываются по одному или интервально используя '-'.
    • Интервал прописывается от меньшего к большему (9090-1010)
    • Допускаются пересечения портов destination для ресурса.

  • ieCidrSvcRules.rules[].priority.some:

    • Значения должны находиться в интервале от -32768 до 32767
    • Принимает значения (число) в виде string || integer

Пример использования

Ingress

curl '127.0.0.1:9007/v2/sync' \
--header 'Content-Type: application/json' \
--data '{
    "ieCidrSvcRules": {
        "rules": [
            {
                "CIDR": "::1/128",
                "action": "DROP",
                "logs": true,
                "name": "svc-cidr-0",
                "ports": [
                    {
                        "d": "20000",
                        "s": "22000"
                    }
                ],
                "priority": {
                    "some": 0
                },
                "svc": "svc-0",
                "trace": true,
                "traffic": "Ingress",
                "transport": "TCP"
            }
        ]
    },
    "syncOp": "FullSync"
}'

Egress

curl '127.0.0.1:9007/v2/sync' \
--header 'Content-Type: application/json' \
--data '{
    "ieCidrSvcRules": {
        "rules": [
            {
                "CIDR": "10.0.0.0/8",
                "action": "DROP",
                "logs": true,
                "name": "add-svc-cidr-1",
                "ports": [
                    {
                        "d": "20000",
                        "s": "22000"
                    }
                ],
                "priority": {
                    "some": 0
                },
                "svc": "svc-0",
                "trace": true,
                "traffic": "Egress",
                "transport": "TCP"
            }
        ]
    },
    "syncOp": "FullSync"
}'

Выходные параметры

названиетип данныхописание
-Objectв случае успеха возвращается пустое тело

Возможные ошибки API

Пользователь указал некорректные значения агрументов
  • HTTP code: 400
  • gRPC code: INVALID_ARGUMENT
  • gRPC number: 3
Не найден метод
  • HTTP code: 404
  • gRPC code: NOT_FOUND
  • gRPC number: 5
Ошибка в указанных данных
  • HTTP code: 500
  • gRPC code: INTERNAL
  • gRPC number: 13

Диаграмма последовательности