VMs with security groups allowing all egress traffic cannot access the Internet in 4.23.0.0
- 主要言語
- Java
- スター
- 3.1k
- フォーク
- 1.4k
- 平均マージ
- 6日 19時間
- マージ済み PR(30日)
- 32
説明
### problem
# Description
In CloudStack 4.23.0.0, a VM cannot access the Internet when its security group has egress rules configured, even when the egress rules allow all outbound traffic (0.0.0.0/0).
The same configuration works as expected in older CloudStack versions.
The issue occurs when the security group has egress rules but no ingress rules.
# Expected behavior
The VM should be able to initiate outbound connections to the Internet when the security group has an egress rule allowing all traffic.
According to the CloudStack documentation:
```
If there is no Egress rule in a Security Group, all the outgoing traffic will be allowed.
If there are Egress rules in a Security Group, only the outgoing traffic which match a Egress rule will be allowed.
Only the incoming traffic which match a Ingress rule will be allowed.
```
# Actual behavior
With CloudStack 4.23.0.0:
- The VM has a security group assigned.
- The security group has one egress rule allowing ALL outbound traffic.
- There are no ingress rules.
- The VM cannot access the Internet.
### versions
The versions of ACS, hypervisors, storage, network etc..
### The steps to reproduce the bug
1.
2.
3.
...
### What to do about it?
_No response_
コントリビューションガイド
調査の方向性
ファイル、テスト、エントリポイントは特定されていません。まず、0.0.0.0/0 を許可する egress-only のセキュリティグループで 4.23.0.0 のケースを再現し、次に動作していた古いバージョンと比較して、セキュリティグループの egress パスを追跡してください。VM が ingress ルールなしで Internet 接続を開始でき、関連するリグレッションがテストでカバーされれば完了です。
索引モデルが issue の本文から書いたものです。
評価
- 技術スタック
- java
- 領域
- cloud, networking, security
- issue の種類
- バグ
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 活発さ
- 活発
- 明瞭さ
- 説明が足りない
- 初心者へのやさしさ
- 45/100