IBM Cloud CISの動作確認(6) -Security編-

##目的
IBMCloud InternetServicesを活用して、CISを経由したWebサーバへのロードバランスを試す。
今回は、IPアドレスやユーザエージェントを判断した上でFWが機能するか動作確認をする。
CISは30日間無料でお試しできるので是非やってみましょう

六部に分けて記載する予定です。

• 初期導入編:IBM Cloud CISの動作確認(1) -初期導入編-
• 証明書設定編:IBM Cloud CISの動作確認(2) -証明書編-
• 動作確認編:IBM Cloud CISの動作確認(3) -動作確認編-
• GLB編:IBM Cloud CISの動作確認(4) -GLB編-
• cache編：IBM Cloud CISの動作確認(5) -cache編-
• Security編：（本ページ)

##環境

• ローカル端末：macOS Catalina 10.15.6 1台
• プラットフォーム:IBMCloud
  • CDNサービス：IBM Cloud Internet Services 1サービス(Freeプラン)
  • ロードバランシングサービス:IBM Cloud Load Balancer 1サービス(Public to Private)
    • TOK04サーバ:CentOS 7.7.1908(Virtual Server for Classic) 2台
  • TOK05サーバ:CentOS 7.7.1908(Virtual Server for Classic) 1台

###概要構成図
TOK05/TOK04

ローカル端末での作業

##IPアドレス制御
IBM Cloudポータルでの作業

参考:Cloudflareのセキュリティレベルについて

###ブロック
IPアドレスで一致したアドレスからの通信をブロックする。
国別コードでの制御はフリープランだと出来ない模様。

ブロックしたいIPアドレスを入力、適用先をこのドメイン、アクションをブロックし、作成を選択。

設定後、ブラウザからアクセスするとError1006となり、明示的にブロックされていることがわかる。

curlで見ると、HTTP403（Forbidden）で見えた。

% curl -I https://glb.m365.work/
HTTP/2 403

###チャレンジ
IPルールの作成にて、アクションチャレンジを選択する。

チャレンジに変更後URLへアクセスすると、よくある画面へ
私は人間ですを選択する

続けて、指定された画像(今回は飛行機)を選択して、チェックを選択する。

問題なければ正常にコンテンツで表示された。

###ユーザーエージェント制御
ユーザーエージェント、例えばクライアントOSや利用ブラウザ等で制御できる。
今回はMacOSX10.15のユーザをブロックしてみた。
ユーザエージェントの確認方法はこちらを参照:IPアドレス、ユーザーエージェントの確認

セキュリティー -> ファイアウォール・ルール -> 作成を選択する。

ユーザーエージェントに「Macintosh; Intel Mac OS X 10_15_6」を含む場合のアクションをブロックとする。

ブラウザからアクセス確認
Error1020にて明示的に拒否されている。
参考:Cloudflare 1XX エラーのトラブルシューティング