Egress filtering — tarmoq yoki tizimdan tashqariga chiqayotgan trafikni manzil, port, protokol, identifikator yoki siyosat asosida tekshirish va cheklash amaliyotidir. Ko‘p xavfsizlik arxitekturalari kiruvchi trafikni qat’iy nazorat qiladi, ammo buzilgan xizmatning tashqariga istalgan ulanishiga ruxsat beradi. Egress nazorati bunday holatda ma’lumot chiqarish va tashqi boshqaruv kanalini cheklaydi.
Nazorat nuqtalari
Chegara firewall’i ichki tarmoqlardan internetga chiqishni CIDR, port va protokol bo‘yicha boshqarishi mumkin. Bulut security group, network policy, service mesh yoki explicit proxy xizmat va namespace darajasida aniqroq siyosat beradi. Host firewall esa jarayon joylashgan qurilmadagi chiqishni cheklaydi. Bir qatlamdagi xato boshqasida ushlanishi uchun ular o‘zaro moslashtiriladi.
Faqat IP allowlist dinamik bulut xizmatlarida murakkab, chunki manzillar o‘zgaradi va umumiy hosting bir IP’da ko‘plab domenni saqlaydi. DNS nomiga asoslangan nazorat resolver, caching va rebinding xususiyatlarini hisobga olishi kerak. HTTP proxy domain, metod va autentifikatsiya kontekstini ko‘radi, lekin shifrlangan trafikni ochish maxfiylik va sertifikat boshqaruvi xarajatini keltiradi.
Xavfsizlik maqsadlari
Server-side request forgery orqali buzilgan ilova metadata xizmati yoki ichki admin endpointga murojaat qilishi mumkin. Egress siyosati xizmatga kerak bo‘lmagan ichki diapazon va link-local manzillarni bloklaydi. Malware command-and-control serveriga ulanish, DNS tunneling yoki katta ma’lumot chiqarish ham anomaliya sifatida aniqlanishi mumkin.
Siyosat default deny tamoyiliga yaqin quriladi: xizmatning biznes vazifasi uchun kerakli destination va portlar hujjat bilan ochiladi. Yangilanish serveri, vaqt sinxronlash, DNS, monitoring va sertifikat tekshiruvi kabi infratuzilma bog‘liqliklari unutilmasligi kerak. Juda qattiq, lekin kuzatuvsiz qoida operatorni keng “allow any” istisnosiga majbur qilishi mumkin.
Amalga oshirish va kuzatuv
Kubernetesda NetworkPolicy plugin imkoniyatiga bog‘liq; siyosat yozilgani uning klasterda amalda bajarilishini avtomatik anglatmaydi. NAT’dan keyin asl workload identifikatori yo‘qolishi mumkin, shuning uchun loglar nazorat nuqtasigacha trace yoki pod metadata bilan boyitiladi. IPv4 bilan birga IPv6 va UDP ham qamrab olinadi.
Rad etilgan ulanishlar destination, port, workload va qoida bo‘yicha metrikaga aylanadi. Ruxsat etilgan trafik hajmi ham baseline bilan solishtiriladi, chunki o‘g‘irlangan credential qonuniy endpointga noodatiy katta ma’lumot yuborishi mumkin. Siyosat deploydan avval audit rejimida kuzatilib, kerakli oqimlar aniqlanadi; keyin enforcement yoqiladi va o‘zgarishlar review orqali boshqariladi.
+## Failover va xizmat nomlari
Ruxsat faqat bitta hozirgi IP’ga yozilsa, provider failover yoki regional ko‘chishda xizmat uziladi. Siyosat destinationning rasmiy diapazoni, private endpoint yoki boshqariladigan service tag’ga tayansa barqarorroq. Biroq juda keng provider diapazoni shu bulutdagi hujumchi resursiga chiqishni ham ochishi mumkin. Private endpoint trafikni internet gateway’dan olib tashlab, route va identity bilan cheklaydi. DNS failure paytida ilova hardcoded tashqi manzilga aylanib o‘tmasligi kerak. Emergency istisno muddati, egasi va avtomatik tugashiga ega bo‘ladi. Egress qoidasining dependency katalogi bilan bog‘lanishi xizmat o‘chirilganda eski ruxsatni ham olib tashlash imkonini beradi.
UDP javobi connection tracking jadvalida qisqa yashashi mumkin, uzoq oqim esa keepalive talab qiladi. Stateful firewall qaytish trafikiga ruxsat berishda asl chiqish bilan bog‘lanishni tekshiradi. Asymmetric route bu holatni yo‘qotib, faqat ayrim zonalarda ulanish uzilishiga sabab bo‘ladi.
Bog‘liq tushunchalar
Firewall, Network policy, Zero trust, SSRF, Data exfiltration, Proxy, Default deny