Настройка групп безопасности

Зачем нужно правило

Настройки правила

Для работы с Git-репозиториями по протоколу SSH.

• Диапазон портов — 22 и 2222. Для каждого порта создайте отдельное правило.

• Протокол — TCP.

• Источник — CIDR.

• CIDR блоки — задайте диапазоны адресов подсетей внутри Yandex Cloud или публичные IP-адреса компьютеров в интернете, чтобы открыть доступ для подсетей и компьютеров. Примеры:

  • 172.16.0.0/12.
  • 85.32.32.22/32.

  Чтобы разрешить трафик с любых IP-адресов, укажите 0.0.0.0/0.

Для работы с Git-репозиториями по протоколу HTTPS.

• Диапазон портов — 443.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — задайте диапазоны адресов подсетей внутри Yandex Cloud или публичные IP-адреса компьютеров в интернете, чтобы открыть доступ для подсетей и компьютеров.

Для использования сертификата Let's Encrypt.

Такой сертификат используется по умолчанию при работе с Git-репозиториями по протоколу HTTPS. Если вы не указываете это правило, то для работы по протоколу HTTPS добавьте собственный сертификат.

• Диапазон портов — 80 и 443. Для каждого порта создайте отдельное правило.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — 0.0.0.0/0.

Для создания резервных копий инстанса.

• Диапазон портов — 443.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — 213.180.193.243/32.

Для проверки доступности ресурсов сетевым балансировщиком.

• Диапазон портов — 80.
• Протокол — TCP.
• Источник — Проверки состояния балансировщика.

Для подключения к GitLab Container Registry.

• Диапазон портов — 5050.

• Протокол — TCP.

• Источник — CIDR.

• CIDR блоки — задайте диапазоны адресов подсетей внутри Yandex Cloud или публичные IP-адреса компьютеров в интернете, чтобы открыть доступ для подсетей и компьютеров.

  Чтобы разрешить трафик с любых IP-адресов, укажите 0.0.0.0/0.

Зачем нужно правило

Настройки правила

Для использования сертификата Let's Encrypt.

• Диапазон портов — 443.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — 0.0.0.0/0.

Для создания резервных копий инстанса.

• Диапазон портов — 443.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — 213.180.193.243/32.

Для запросов в службу метаданных при обновлении инстанса.

• Диапазон портов — 80.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — 169.254.169.254/32.

Для запросов в службу DNS.

• Диапазон портов — 53.

• Протокол — UDP.

• Источник — CIDR.

• CIDR блоки — <второй_IP-адрес_в_подсети>/32. Например для подсети 10.128.0.0/24 это будет CIDR 10.128.0.2/32.

  Если в вашей подсети есть собственный DNS-сервер, также разрешите исходящий трафик к нему, например IP-адрес_DNS_сервера/32.

Для запросов к NTP-серверам для поддержки двухфакторной аутентификации.

• Диапазон портов — 123.
• Протокол — UDP.
• Источник — CIDR.
• CIDR блоки — 0.0.0.0/0.

Для доступа к воркерам под управлением раннера, созданного с помощью консоли управления.

• Диапазон портов — 22.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — CIDR подсети, в которой находится инстанс Managed Service for GitLab (воркеры создаются в ней же). Например 10.128.0.0/24.

Зачем нужно правило

Настройки правила

Для управления раннером с инстанса GitLab по протоколу SSH.
Обязательное правило.

• Диапазон портов — 22.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — CIDR всех подсетей, где могут запускаться раннеры.
  Вместо CIDR вы можете указать группу безопасности, созданную для раннеров.

Зачем нужно правило

Настройки правила

Для взаимодействия с публичным адресом инстанса GitLab по протоколу HTTPS (например, для клонирования репозиториев, загрузки артефактов).
Обязательное правило.

• Диапазон портов — 443.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — публичный адрес GitLab.

Для доступа к реестру артефактов (например, Cloud Registry, dockerhub.io).
Рекомендуемое правило.

• Диапазон портов — 443, 5000 или другой.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — CIDR реестров, к которым предоставляется доступ. Чтобы разрешить трафик на любые IP-адреса, укажите 0.0.0.0/0.

Для доступа к объектным хранилищам (например, LFS, Container Registry).
Рекомендуемое правило.

• Диапазон портов — 443.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — CIDR объектных хранилищ, к которым предоставляется доступ. Чтобы разрешить трафик на любые IP-адреса, укажите 0.0.0.0/0.

Для доступа к внешним ресурсам.
Опциональное правило.

• Диапазон портов — 443, 80 или другой.
• Протокол — TCP.
• Источник — CIDR.
• CIDR блоки — CIDR внешних ресурсов.
  Если список ресурсов не определен, можно разрешить исходящий трафик к любым адресам (CIDR — 0.0.0.0/0) через все порты. В этом случае можно пропустить настройку рекомендуемых правил и настройку доступа из управляемого раннера к публичному адресу инстанса GitLab.