apache / apache/cloudstack

VMs with security groups allowing all egress traffic cannot access the Internet in 4.23.0.0

オープン
#14,099 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る
bug
主要言語
Java
スター
3.1k
フォーク
1.4k
平均マージ
6日 19時間
マージ済み PR(30日)
32

説明

### problem

# Description

In CloudStack 4.23.0.0, a VM cannot access the Internet when its security group has egress rules configured, even when the egress rules allow all outbound traffic (0.0.0.0/0).

The same configuration works as expected in older CloudStack versions.

The issue occurs when the security group has egress rules but no ingress rules.

# Expected behavior

The VM should be able to initiate outbound connections to the Internet when the security group has an egress rule allowing all traffic.

According to the CloudStack documentation:
```
If there is no Egress rule in a Security Group, all the outgoing traffic will be allowed.
If there are Egress rules in a Security Group, only the outgoing traffic which match a Egress rule will be allowed.
Only the incoming traffic which match a Ingress rule will be allowed.
```

# Actual behavior

With CloudStack 4.23.0.0:

- The VM has a security group assigned.
- The security group has one egress rule allowing ALL outbound traffic.
- There are no ingress rules.
- The VM cannot access the Internet.

Image

Image

### versions

The versions of ACS, hypervisors, storage, network etc..

### The steps to reproduce the bug

1.
2.
3.
...

### What to do about it?

_No response_

コントリビューションガイド

コントリビューションガイドを開く

調査の方向性

ファイル、テスト、エントリポイントは特定されていません。まず、0.0.0.0/0 を許可する egress-only のセキュリティグループで 4.23.0.0 のケースを再現し、次に動作していた古いバージョンと比較して、セキュリティグループの egress パスを追跡してください。VM が ingress ルールなしで Internet 接続を開始でき、関連するリグレッションがテストでカバーされれば完了です。

索引モデルが issue の本文から書いたものです。

評価

技術スタック
java
領域
cloud, networking, security
issue の種類
バグ
難易度
4/5
見積もり時間
3〜5日
活発さ
活発
明瞭さ
説明が足りない
初心者へのやさしさ
45/100

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。