Network Lists

Uma network list é um conjunto nomeado de endereços IP e intervalos CIDR, de Autonomous System Numbers (ASNs) ou de países. Uma regra de firewall compara o endereço do cliente de uma requisição com a lista por meio do critério Network, que Network Shield disponibiliza no firewall. Criar uma lista não exige um firewall, e uma lista não corresponde a nenhuma requisição até que uma regra em um firewall vinculado a um workload a referencie.

Campos da network list

Uma network list carrega quatro campos que uma requisição define e quatro que a plataforma define e retorna. Uma criação e um PUT precisam enviar name, type e items, enquanto um PATCH envia apenas os campos que altera.

O type nunca muda depois da criação. Uma atualização que envia outro tipo é recusada com 22002, mesmo quando os itens são válidos para o novo tipo, e Azion Console bloqueia o tipo com a tag The type cannot be changed after the network list is created. Para comparar outro tipo de entrada, crie uma lista desse tipo.

Definir active como false nunca pausa uma regra que usa a lista. Uma lista que uma regra referencia não pode receber false (22003), e uma regra não pode referenciar uma lista com false (25031). Para que uma lista deixe de corresponder a requisições, altere ou exclua as regras que a referenciam.

Uma resposta também carrega version_id, version_state, is_versioned e version, que uma requisição não define.

Uma lista pode ser referenciada por várias regras em vários firewalls. Alterar os itens muda o resultado da comparação em cada uma dessas regras, sem novo deploy. A API grava a mudança na hora, e ela chega ao tráfego à medida que se propaga. Para saber quanto tempo isso leva, consulte Correspondência de listas.

Tipos de lista

O type de uma lista define o formato de cada item nela. Cada tipo tem um valor na API e um rótulo no Console.

No Azion Console, o campo List recebe uma entrada por linha para IP/CIDR e ASN. Ele aceita prefixos IPv4 de /0 a /32 e prefixos IPv6 até /128 e, segundo o texto de ajuda, também aceita um ASN escrito como AS13335. O campo verifica cada linha antes de salvar e nomeia cada uma que recusa, com mensagens como --LT must be a valid UTC date and time in the format YYYY-MM-DDTHH:MM:SSZ, add a space before --LT e the --LT date must be in the future. O campo Countries é uma seleção múltipla por nome de país, e Azion Console envia o código de duas letras de cada país selecionado.

Anotações de item

Um item ip_cidr pode carregar uma data de expiração, um comentário ou os dois, depois do endereço. Itens asn e countries não aceitam nenhum deles. Um item com anotação segue esta sintaxe:

A plataforma aceita estes itens e os armazena exatamente como foram enviados:

As anotações contam para os 250 caracteres que um item comporta. Sempre que uma requisição grava items, em uma criação ou em uma atualização, a plataforma processa os itens antes de armazená-los:

• Duplicatas exatas são removidas sem aviso. Notações equivalentes não são duplicatas, então 192.0.2.80 e 192.0.2.80/32 são mantidos.
• Um item cuja data de expiração já passou é descartado sem aviso. Quando todos os itens estão expirados, a gravação é recusada com 22019.
• Os itens restantes são armazenados como foram enviados, com as anotações, na ordem de envio.

A plataforma não remove um item quando a data de expiração dele passa depois da gravação. O item continua armazenado e continua correspondendo a requisições até que uma gravação posterior de items, ou azion update network-list --remove-item, o remova. Para saber como uma data de expiração chega ao tráfego, consulte Correspondência de listas.

Listas mantidas pela Azion

A Azion mantém listas que uma regra de qualquer conta pode referenciar e que nenhuma conta pode alterar. A página Network Lists no Azion Console e GET /v4/workspace/network_lists retornam essas listas ao lado das listas que você cria.

A lista 2 contém os endereços IP de exit nodes do Tor, e a Azion a fornece a todas as contas. O last_editor dela mostra Azion, e o last_modified muda quando a Azion atualiza os itens. Uma regra a referencia como qualquer lista que você cria, com 2 como argumento de ${network}. Para ver uma regra que a usa, consulte Bloqueie exit nodes do Tor.

Qualquer gravação em uma lista mantida pela Azion é recusada com 22004, mesmo uma gravação que não altera nada.

Contas com Origin Shield também recebem a lista Azion Origin Shield, que contém os prefixos IPv4 e IPv6 que a infraestrutura da Azion usa para se conectar às origens. A página do Origin Shield documenta essa lista e como a Azion anuncia as atualizações dela.

O critério Network

Uma regra de firewall referencia uma network list por meio do critério ${network}. A tabela lista a variável, os dois operadores, o argumento e a configuração de firewall que o critério exige:

Uma lista funciona como blocklist com matches e Deny (403 Forbidden), e como allowlist com does not match e o mesmo behavior. Em um corpo de requisição para /v4/workspace/firewalls/{firewall_id}/request_rules, o critério é uma entrada de um bloco criteria:

Para conhecer os outros critérios que uma regra pode encadear com ${network} e os comportamentos que uma regra executa quando corresponde, consulte Rules Engine para Firewall. Para conhecer a janela de contagem e a chave de um rate limit, consulte Set Rate Limit.

API

Toda operação fica sob https://api.azion.com/v4 e carrega um token de Personal Tokens em um header Authorization: Token [TOKEN VALUE]. Uma requisição com corpo também envia Content-Type: application/json. Para mais informações, consulte Primeiros passos com a API da Azion.

Um PATCH que envia items substitui o array inteiro em vez de acrescentar itens a ele, então uma atualização envia todos os itens que a lista mantém. Para adicionar ou remover itens avulsos sem reenviar a lista, use --add-item e --remove-item na Azion CLI.

GET /v4/workspace/network_lists aceita estes parâmetros de query, e a resposta carrega count, total_pages, page, page_size, next, previous e results:

GET /v4/workspace/network_lists/{network_list_id} também aceita fields. Em uma lista ip_cidr, ipv4=true retorna apenas os itens IPv4 e ipv6=true, apenas os itens IPv6.

Esta requisição cria uma lista ip_cidr e envia 192.0.2.10 duas vezes:

A resposta carrega 201, e o endereço repetido fica armazenado uma única vez:

Azion CLI

Azion CLI gerencia network lists com o substantivo network-list. A tabela lista as flags da Azion CLI 4.23.0.

--type aceita asn, countries ou ip_cidr, e --items, --add-item e --remove-item aceitam valores separados por vírgula. --items substitui todos os itens, como faz um PATCH, enquanto --add-item e --remove-item leem a lista primeiro e alteram apenas os itens que indicam. --remove-item só encontra um item escrito exatamente como está armazenado, incluindo a data de expiração --LT e o comentário #. Com apenas o endereço de um item com anotação, ele não altera nada e ainda assim imprime Updated Network List with ID <network-list-id>. --file aceita um arquivo JSON com os campos descritos em Campos da network list. azion update network-list também aceita --type, que a API recusa com 22002 porque um tipo nunca muda.

A flag de id é --network-list-id, e --id é recusada como flag desconhecida. Sem --items nem --file, azion create network-list pede os itens e falha quando nenhum terminal responde, então um script sempre passa uma das duas. azion list network-list --format json imprime as colunas da tabela, e não os registros. A ajuda de azion describe network-list lista uma flag --with-code, que o comando recusa como desconhecida.

Uma criação pela linha de comando imprime o id criado:

Adicionar um item a uma lista existente mantém os itens que já estão nela:

Uma exclusão imprime Network List <network-list-id> was successfully deleted. Quando a API recusa um comando, a CLI imprime o detalhe retornado pela API. Excluir uma lista em uso imprime Error: Failed to delete Network List: ["You can not delete the network list in use by Edge Firewall(s)."].

Outras interfaces

Estas interfaces também gerenciam ou leem network lists, e cada uma é documentada na própria página.

Uma regra com o critério Network compara uma lista sem código. Uma função em um firewall chama Azion.networkList.contains() quando a comparação alimenta uma lógica própria, e a chamada retorna true quando o endereço está na lista.

Permissões

Duas permissões de equipe controlam as network lists:

O firewall cujas regras referenciam uma lista tem o próprio par, View Firewall e Edit Firewall. Para mais informações, consulte Teams Permissions.

Erros

Uma requisição recusada retorna um array errors. Cada entrada carrega um code, um title, um detail, o status e um ponteiro source que indica o campo. Um erro de item acrescenta meta.index e meta.value, e indica apenas o primeiro item inválido. Este corpo responde a uma criação cujos itens são 192.0.2.1, abc e 198.51.100.300, e aponta apenas abc:

meta.index conta os itens que restam depois que os itens expirados são descartados, então ele pode ser menor que a posição do item na requisição. Todos os erros da tabela a seguir respondem 400, exceto 10004, que responde 404.

Limites

Uma network list comporta de 1 a 20.000 itens de até 250 caracteres cada, com um nome de 1 a 250 caracteres, e uma requisição de listagem retorna até 100 listas por página. Para conhecer cada limite e o que acontece quando ele é ultrapassado, consulte Limites de Firewall.

Recursos relacionados