运维边界

由于管理区无公网访问需求，参考企业安全实践，仅需设置与IDC间的访问控制策略。

图1 开发测试环境子网

如图1 开发测试环境子网所示，网络ACL“NACL-DEV-MGMT”关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。

本节中提到的IP地址及端口号仅为示例。管理员也可设置具备End Uesr角色相应的策略，使管理员可访问开发测试环境业务端口。

表1 网络ACL“NACL-DEV-MGMT”入方向
规则 #	源 IP	协议	目的端口	允许/拒绝	说明
对管理员	客户数据中心某子网-a	TCP	22	允许	允许客户数据中心某子网-a中的管理员访问开发测试环境管理区的VM。
对管理员	客户数据中心某子网-a	TCP	3389	允许	允许客户数据中心某子网-a中的管理员访问开发测试环境管理区的VM。
*	0.0.0.0/0	ANY	ANY	拒绝	拒绝所有未经前置规则处理的数据流。

表2 网络ACL“NACL-DEV-MGMT”出方向
规则 #	目的 IP	协议	目的端口	允许/拒绝	说明
1	0.0.0.0/0	ANY	ANY	允许	对于由管理区发起的出方向流量不做限制。
*	0.0.0.0/0	ANY	ANY	拒绝	拒绝所有未经前置规则处理的数据流。