Создание распределенной инфраструктуры с защищенным доступом

В этом руководстве вы создадите инфраструктуру для организации защищенного доступа к веб-приложениям, размещенным в разных каталогах Yandex Cloud. Для контроля трафика все запросы к веб-приложениям будут приниматься на общий IP-адрес и проверяться правилами профиля безопасности Yandex Smart Web Security.

Такой подход позволяет изолировать ресурсы, с которыми работают разные команды, и обеспечить общую политику безопасности для входящего трафика.

Это руководство — частный сценарий руководства Централизованная публикация в интернете и защита от DDoS-атак приложений в разных каталогах. В руководстве приведен пример сценария создания всей инфраструктуры с нуля.

Минимальные роли, необходимые для выполнения руководства:

• На облако:

  • resource-manager.admin — для создания каталогов и назначения ролей.

• На каталоги:

  • vpc.admin — для создания ресурсов в Yandex Virtual Private Cloud.
  • smart-web-security.editor — для создания профиля безопасности.
  • compute.editor — для создания виртуальных машин.
  • alb.editor — для создания ресурсов в Yandex Application Load Balancer

Схема размещения ресурсов в Yandex CloudСхема размещения ресурсов в Yandex Cloud

На схеме обозначены следующие ресурсы:

• IP-адрес — публичный IP-адрес или домен, на который поступают запросы к веб-приложениям.

• Каталог безопасности secured-entry-point — каталог, доступ к которому должны иметь только администраторы ресурсов компании и сотрудники службы информационной безопасности (СИБ). В этом каталоге будут располагаться:

  • ALB app-load-balancer — L7-балансировщик Yandex Application Load Balancer, через который веб-приложения публикуются в интернете.
  • SWS sws-profile — профиль безопасности Yandex Smart Web Security для защиты трафика на уровне приложений (L7).
  • Управляющая ВМ work-station — виртуальная машина Yandex Compute Cloud, с которой происходит подключение к ВМ в каталогах веб-приложений.

• VPC alb-network — облачная сеть Yandex Virtual Private Cloud, которая объединяет подсети в разных каталогах:

  • alb-subnet-a, alb-subnet-b, alb-subnet-d — подсети с узлами ALB в трех зонах доступности.
  • subnet-service-1, subnet-service-2 — подсети с ресурсами веб-приложений.

• Каталоги веб-приложений service-1 и service-2 с целевыми ресурсами веб-приложений — ВМ vm-service-1 и vm-service-2. Доступ к этим каталогам будут иметь команды, разрабатывающие веб-сервисы.

Чтобы создать инфраструктуру и организовать защищенный доступ к веб-приложениям:

1. Подготовьте облако к работе.
2. Создайте каталог безопасности.
3. Создайте виртуальную сеть и подсети.
4. Создайте каталоги для веб-приложений.
5. Подключите каталоги веб-приложений к внутренним подсетям балансировщика.
6. Настройте группы безопасности.
7. Настройте профиль безопасности.
8. Создайте ресурсы.
9. Настройте балансировщик.
10. Проверьте инфраструктуру.

Если созданные ресурсы вам больше не нужны, удалите их.

Подготовьте облако к работеПодготовьте облако к работе

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость поддержки инфраструктуры входит:

• плата за постоянно работающие ВМ (см. тарифы Yandex Compute Cloud);
• плата за использование Application Load Balancer (см. тарифы Yandex Application Load Balancer);
• плата за использование публичных IP-адресов и исходящий трафик (см. тарифы Yandex Virtual Private Cloud);
• плата за количество запросов в сервис Smart Web Security (см. тарифы Yandex Smart Web Security).

Создайте каталог безопасностиСоздайте каталог безопасности

В каталоге безопасности будут располагаться балансировщик нагрузки, облачная сеть, подсети и профиль безопасности.

Создайте каталог без сетиСоздайте каталог без сети

Назначьте роли на каталогНазначьте роли на каталог

Предоставьте администраторам инфраструктуры и СИБ доступ к каталогу для управления сетью, балансировщиком и профилем безопасности.

Создайте виртуальную сеть и подсетиСоздайте виртуальную сеть и подсети

В каталоге безопасности создайте сеть с подсетями для L7-балансировщика и каталогов веб-приложений. Это обеспечит сетевую связность между L7-балансировщиком и ресурсами веб-приложений.

Создайте каталоги для веб-приложенийСоздайте каталоги для веб-приложений

В каталогах будут размещаться ресурсы веб-приложений. В этом руководстве — виртуальные машины с тестовыми веб-сервисами. Создайте каталоги и предоставьте пользователям доступ для подключения к сетевым ресурсам и управления ВМ.

Подключите каталоги веб-приложений к внутренним подсетям балансировщикаПодключите каталоги веб-приложений к внутренним подсетям балансировщика

Чтобы объединить ресурсы каталогов в общую сеть, переместите подсети виртуальной сети в каталоги веб-приложений.

Настройте группы безопасностиНастройте группы безопасности

Группы безопасности позволяют настроить правила для входящего и исходящего трафика. В этом руководстве входящий трафик из интернета принимается L7-балансировщиком и маршрутизируется по внутренней сети на ВМ веб-приложений. Настройте группы безопасности в каждом из каталогов в соответствии с рекомендациями.

Создайте группы безопасности для ВМ веб-приложенийСоздайте группы безопасности для ВМ веб-приложений

Правила должны разрешать исходящий и входящий трафик от подсети балансировщика.

Создайте группу безопасности для L7-балансировщикаСоздайте группу безопасности для L7-балансировщика

Правила должны разрешать входящий трафик из интернета на порт 80 и трафик для проверки состояния узлов балансировщика на порт 30080 с источником Проверки состояния балансировщика.

Создайте группы безопасности для управляющей ВМСоздайте группы безопасности для управляющей ВМ

Правила должны разрешать исходящий трафик от управляющей ВМ к порту 22 ВМ веб-приложений.

Настройте профиль безопасностиНастройте профиль безопасности

Профиль безопасности содержит правила фильтрации трафика для защиты от информационных угроз на прикладном уровне L7 модели OSI.

Создайте профиль безопасности по преднастроенному шаблону:

Создайте ресурсыСоздайте ресурсы

В качестве ресурсов будут использоваться виртуальные машины, по одной в каждом каталоге. ВМ в каталоге безопасности secured-entry-point необходима для доступа к виртуальным машинам веб-приложений по внутренней сети. В этом руководстве она называется управляющей ВМ.

Для ограничения внешнего трафика виртуальные машины веб-приложений не будут иметь внешний IP-адрес.

Создайте ВМ для управления веб-приложениямиСоздайте ВМ для управления веб-приложениями

Создайте ВМ для веб-приложенийСоздайте ВМ для веб-приложений

Аналогично создайте ВМ в каталогах service-1 и service-2, при этом:

• Выберите зоны доступности ru-central1-a и ru-central1-b соответственно.
• Убедитесь, что для ВМ выбраны подсети subnet-service-1 и subnet-service-2 соответственно.
• В поле Публичный IP-адрес выберите опцию Без адреса.
• В поле Группы безопасности выберите группы безопасности service-1-security-group и service-2-security-group.
• Укажите имена ВМ vm-service-1 и vm-service-2.

Настройте балансировщикНастройте балансировщик

Создайте и настройте балансировщик с помощью визарда.

Запустите визардЗапустите визард

Настройте целевую группуНастройте целевую группу

В целевые группы входят ВМ, созданные в каталогах веб-приложений. Целевые группы будут подключены к балансировщику через внутренние подсети.

Создайте целевую группу для каталога service-1:

Настройте группы бэкендовНастройте группы бэкендов

Группы бэкендов содержат настройки балансировки трафика и проверок состояния целевых ресурсов. Визард автоматически создает один бэкенд и одну группу проверки состояния. В качестве целевой группы будет выбрана группа, созданная на предыдущем шаге.

Настройте HTTP-роутерНастройте HTTP-роутер

HTTP-роутер определяет правила маршрутизации запросов к бэкендам и позволяет модифицировать запросы прямо на балансировщике. Визард автоматически создает виртуальный хост и правило маршрутизации. В качестве группы бэкендов будет выбрана группа, созданная на предыдущем шаге.

Настройте L7-балансировщикНастройте L7-балансировщик

Балансировщик нагрузки принимает запросы и распределяет их по ВМ из целевой группы в соответствии с правилами, указанными в HTTP-роутере. Для приема трафика балансировщик использует обработчики. Визард создаст обработчик автоматически. В качестве HTTP-роутера будет выбран роутер, созданный на предыдущем шаге.

Подключите ресурсы второго каталогаПодключите ресурсы второго каталога

При создании балансировщика с помощью визарда возможно подключить ресурсы только одного каталога. Поэтому целевую группу и группу бэкендов каталога service-2 необходимо создать и подключить вручную.

Проверьте инфраструктуруПроверьте инфраструктуру

1. Запустите тестовые веб-сервисы на ВМ веб-приложений.
2. Посмотрите проверки состояний.
3. Проверьте доступность веб-приложений.
4. Проверьте работу профиля безопасности.

Запустите тестовые веб-сервисы на ВМ веб-приложенийЗапустите тестовые веб-сервисы на ВМ веб-приложений

1. Подключитесь к управляющей ВМ work-station в каталоге безопасности:

   ssh -l <имя_пользователя> <публичный_IP-адрес_ВМ>
   

   Если вы используете разные ключи для разных ВМ, укажите путь к нужному ключу в команде подключения, например:

   ssh -i ~/.ssh/<имя_ключа> -l <имя_пользователя> <публичный_IP-адрес_ВМ>
   

   Где:

   • <имя_ключа> — имя файла приватного SSH-ключа, использованного при создании ВМ.
   • <имя_пользователя> — логин, указанный при создании ВМ.
   • <публичный_IP-адрес_ВМ> — IP-адрес ВМ.

   Совет

   Команду подключения к ВМ можно скопировать на странице описания ВМ в блоке Доступ.

2. С управляющей ВМ подключитесь к ВМ vm-service-1:

   1. Поместите файл с приватным SSH-ключом ВМ vm-service-1 в папку ~/.ssh управляющей ВМ.

   2. Подключитесь к ВМ vm-service-1:

      ssh -i ~/.ssh/<имя_ключа> -l <имя_пользователя> <внутренний_IP-адрес_ВМ>
      

      Где:

      • <имя_ключа> — имя файла приватного SSH-ключа, использованного при создании ВМ.
      • <имя_пользователя> — логин, указанный при создании ВМ.
      • <внутренний_IP-адрес_ВМ> — внутренний IP-адрес ВМ vm-service-1.

3. Запустите тестовый веб-сервис с помощью команды:

   mkdir test-server; \
   echo 'HELLO!' > test-server/hello_3.txt; \
   echo 'TEST SERVER 1' > test-server/test_3.txt; \
   python3 -m http.server -d test-server 8000
   

   При запуске команды:

   • Будет создана папка test-server с двумя файлами: hello_1.txt и test_1.txt.
   • Запустится встроенный в Python тестовый веб-сервис на порту 8000.

   Результат:

   Serving HTTP on 0.0.0.0 port 8000 (http://0.0.0.0:8000/) ...
   10.133.0.10 - - [30/May/2025 09:55:41] "GET / HTTP/1.1" 200 -
   10.133.0.15 - - [30/May/2025 09:55:41] "GET / HTTP/1.1" 200 -
   10.133.0.10 - - [30/May/2025 09:55:42] "GET / HTTP/1.1" 200 -
   10.133.0.15 - - [30/May/2025 09:55:42] "GET / HTTP/1.1" 200 -
   10.133.0.10 - - [30/May/2025 09:55:43] "GET / HTTP/1.1" 200 -
   10.133.0.15 - - [30/May/2025 09:55:43] "GET / HTTP/1.1" 200 -
   ...
   

4. Откройте новое окно терминала и аналогично запустите тестовый сервис на ВМ vm-service-2. В команде запуска используйте другие имена файлов, чтобы ответы от веб-приложений отличались.

Посмотрите проверки состоянийПосмотрите проверки состояний

1. Перейдите на страницу балансировщика app-load-balancer.
2. Слева выберите Проверки состояния.
3. Убедитесь, что целевые ресурсы имеют во всех подсетях балансировщика статусы HEALTHY.

Проверьте доступность веб-приложенийПроверьте доступность веб-приложений

Чтобы проверить доступность веб-приложений, в браузере перейдите по адресу:

http://<публичный_IP-адрес_балансировщика>/<префикс_маршрута>

Где:

• <публичный_IP-адрес_балансировщика> — IP-адрес балансировщика app-load-balancer.
• <префикс_маршрута> — префикс, указанный в поле Начинается с при настройке HTTP-роутера. В этом руководстве — app1 и app2.

Откроется страница со списком файлов в корневой папке соответствующего сервиса, например:

Directory listing for /
  hello_1.txt
  test_1.txt

Проверьте работу профиля безопасностиПроверьте работу профиля безопасности

1. Проверьте разрешение трафика правилом Smart Protection:

   1. В браузере перейдите по адресу:

      http://<публичный_IP-адрес_балансировщика>/<префикс_маршрута>
      

   2. На другой вкладке браузера перейдите на страницу балансировщика app-load-balancer.

   3. Слева выберите Логи.

   4. В поле Запрос укажите фильтрующее выражение:

      json_payload.smartwebsecurity.matched_rule.rule_type = SMART_PROTECTION
      and json_payload.smartwebsecurity.matched_rule.verdict = ALLOW
      

   5. Нажмите Выполнить.

      В списке логов останутся записи об успешных GET-запросах.

2. Добавьте запрещающее базовое правило:

   1. Перейдите на страницу профиля безопасности sws-profile.

   2. В блоке Правила безопасности нажмите Добавить правило.

   3. Введите имя правила: deny-rule.

   4. В поле Приоритет установите значение 1000.

   5. В блоке Тип правила: оставьте значение Базовое.

   6. Параметр Действие оставьте в положении Запретить.

   7. Параметр Трафик установите в положение При условии.

   8. Далее выберите:

      • Условия — IP.
      • Условия на IP — Совпадает или принадлежит диапазону.
      • IP совпадает или принадлежит диапазону — укажите IP-адрес устройства, с которого проводится тестирование веб-сервиса.

   9. Нажмите Добавить.

3. Проверьте работу базового правила:

   1. В браузере перейдите по адресу:

      http://<публичный_IP-адрес_балансировщика>/<префикс_маршрута>
      

   2. На другой вкладке браузера перейдите на страницу балансировщика app-load-balancer.

   3. Слева выберите Логи.

   4. В поле Запрос укажите фильтрующее выражение:

      json_payload.smartwebsecurity.matched_rule.rule_type = RULE_CONDITION
      and json_payload.smartwebsecurity.matched_rule.verdict = DENY
      

   5. Нажмите Выполнить.

      В списке логов останутся записи о заблокированных правилом GET-запросах.

Как удалить созданные ресурсыКак удалить созданные ресурсы

Чтобы перестать платить за ресурсы, удалите каталоги, в которых была развернута инфраструктура.

Если вы разворачивали инфраструктуру в существующих каталогах:

1. Удалите L7-балансировщик app-load-balancer.

2. Удалите HTTP-роутер alb-http-router.

3. Удалите группы бэкендов backend-group-1 и backend-group-2.

4. Удалите целевые группы target-group-1 и target-group-2.

5. Удалите ВМ:

   • work-station
   • vm-service-1
   • vm-service-2

6. Удалите профиль безопасности sws-profile.

7. Удалите группы безопасности:

   • alb-security-group
   • vm-security-group
   • service-1-security-group
   • service-2-security-group

8. Удалите подсети:

   • subnet-service-1
   • subnet-service-2
   • subnet-alb-a
   • subnet-alb-b
   • subnet-alb-d

9. Удалите облачную сеть alb-network.