Risolvere i problemi relativi alle policy Cloud NGFW per i profili di rete RoCE

Questa pagina descrive come risolvere i problemi comuni che potresti riscontrare durante la configurazione delle policy Cloud Next Generation Firewall (Cloud NGFW) per le reti Virtual Private Cloud (VPC) con il profilo di rete RDMA (Remote Direct Memory Access) su Ethernet convergente (RoCE).

Il criterio predefinito consente tutte le connessioni

Questo problema si verifica quando non associ alcuna policy del firewall per una rete VPC al profilo di rete RoCE.

Per risolvere il problema, definisci una policy del firewall per la tua rete VPC con il profilo di rete RoCE. Se non definisci una policy, tutte le istanze di macchine virtuali (VM) nella stessa rete VPC si connettono tra loro per impostazione predefinita. Per saperne di più, consulta Crea una rete con il profilo di rete RDMA.

La regola firewall implicita consente il traffico in entrata

Questo problema si verifica quando una policy del firewall RoCE viene collegata a una rete VPC utilizzando il profilo di rete RoCE e nessun'altra regola corrispondente.

Per risolvere il problema, tieni presente che la regola firewall implicita per una policy del firewall di rete RoCE è INGRESS ALLOW ALL. Questa regola si applica se non corrispondono altre regole.

Impossibile abilitare la registrazione nella regola implicita

Questo problema si verifica quando tenti di attivare il logging nella regola firewall implicita per una policy del firewall RoCE. Non puoi attivare la registrazione sulla regola implicita. Per saperne di più, consulta Regole firewall implicite.

Per risolvere il problema, crea una regola ALLOW o DENY separata. Utilizza i flag --src-ip-range=0.0.0.0/0 e --enable-logging con questa regola. I log delle azioni del firewall includono le seguenti informazioni sulla connessione:

  • I log ALLOW vengono pubblicati una sola volta, al momento della creazione della connessione, e forniscono informazioni a 2 tuple (indirizzo IP di origine, indirizzo IP di destinazione).
  • I log DENY forniscono informazioni a 5 tuple per il pacchetto rifiutato. Questi log vengono ripetuti finché i tentativi di traffico continuano, con una frequenza massima di una volta ogni 5 secondi.

Per saperne di più sui limiti, consulta Per regola firewall.

Passaggi successivi