Skip to main content
Create a cloud firewall
Last update:

Create a cloud firewall

We recommend create resources in order. If you create all the resources that are described in the configuration file The Terraform creates resources regardless of the order in which they are listed in the file.


  1. Optional: configure your ISPs.
  2. Create a private network and subnet.
  3. Create a cloud router connected to an external network.
  4. Create rules.
  5. Create a policy for inbound traffic.
  6. Create a policy for outbound traffic.
  7. Create a cloud firewall.

Configuration files⁠

Example file for configuring providers
terraform {
  required_providers {
    selectel  = {
      source  = "selectel/selectel"
      version = "6.0.0"
    }
    openstack = {
      source  = "terraform-provider-openstack/openstack"
      version = "2.1.0"
    }
  }
}

provider "selectel" {
  domain_name = "123456"
  username    = "user"
  password    = "password"
}

resource "selectel_vpc_project_v2" "project_1" {
  name = "project"
}

resource "selectel_iam_serviceuser_v1" "serviceuser_1" {
  name         = "username"
  password     = "password"
  role {
    role_name  = "member"
    scope      = "project"
    project_id = selectel_vpc_project_v2.project_1.id 
  }
}

provider "openstack" {
  auth_url    = "https://cloud.api.selcloud.ru/identity/v3"
  domain_name = "123456"
  tenant_id   = selectel_vpc_project_v2.project_1.id
  user_name   = selectel_iam_serviceuser_v1.serviceuser_1.name
  password    = selectel_iam_serviceuser_v1.serviceuser_1.password
  region      = "ru-9"
}
Sample file for creating a cloud firewall
resource "openstack_networking_network_v2" "network_1" {
  name           = "private-network"
  admin_state_up = "true"
}

resource "openstack_networking_subnet_v2" "subnet_1" {
  name       = "private-subnet"
  network_id = openstack_networking_network_v2.network_1.id
  cidr       = "192.168.199.0/24"
}

data "openstack_networking_network_v2" "external_network_1" {
  external = true
}

resource "openstack_networking_router_v2" "router_1" {
  name                = "router"
  external_network_id = data.openstack_networking_network_v2.external_network_1.id
}

resource "openstack_networking_router_interface_v2" "router_interface_1" {
  router_id = openstack_networking_router_v2.router_1.id
  subnet_id = openstack_networking_subnet_v2.subnet_1.id
}

resource "openstack_fw_rule_v2" "rule_1" {
  name     = "allow-protected-network-traffic-rule"
  action   = "allow"
  protocol = "icmp"
}

resource "openstack_fw_rule_v2" "rule_2" {
  name                   = "allow-protected-network-traffic-rule"
  action                 = "allow"
  protocol               = "tcp"
  source_ip_address      = "192.168.199.0/24"
  destination_ip_address = "10.20.30.0/24"
}

resource "openstack_fw_policy_v2" "firewall_policy_1" {
  name    = "ingress-firewall-policy"
  audited = true
  rules   = [
    openstack_fw_rule_v2.rule_1.id,
  ]
}

resource "openstack_fw_policy_v2" "firewall_policy_2" {
  name    = "egress-firewall-policy"
  audited = true
  rules   = [
    openstack_fw_rule_v2.rule_2.id,
  ]
}

resource "openstack_fw_group_v2" "group_1" {
  name                       = "group"
  admin_state_up             = true
  ingress_firewall_policy_id = openstack_fw_policy_v2.firewall_policy_1.id
  egress_firewall_policy_id  = openstack_fw_policy_v2.firewall_policy_2.id
  ports                      = [
    openstack_networking_router_interface_v2.router_interface_1.port_id,
  ]
}

optional: configure providers⁠

If you're set up the ISPs Selectel and OpenStack, skip this step.

  1. Make sure that in the control panel you created a service user with the Account Administrator and User Administrator roles.

  2. Create a directory to store the configuration files and a separate file with the extension .tf to configure the ISPs.

  3. Add Selectel and OpenStack providers to the file to configure the providers:

    terraform {
      required_providers {
        selectel  = {
          source  = "selectel/selectel"
          version = "6.0.0"
        }
        openstack = {
          source  = "terraform-provider-openstack/openstack"
          version = "2.1.0"
        }
      }
    }

    Here version — версии провайдеров. Актуальную версию можно посмотреть в документации Selectel (в Terraform Registry и GitHub) и OpenStack (в Terraform Registry и GitHub).

    Подробнее о продуктах, услугах и сервисах, которыми можно управлять с помощью провайдеров, в инструкции Провайдеры Selectel и OpenStack.

  4. Инициализируйте провайдер Selectel:

    provider "selectel" {
      domain_name = "123456"
      username    = "user"
      password    = "password"
    }

    Здесь:

    • domain_name — номер аккаунта Selectel. Можно посмотреть в панели управления в правом верхнем углу;
    • username — имя сервисного пользователя с ролями Администратор аккаунта и Администратор пользователей. Можно посмотреть в панели управления: раздел Управление доступом → Управление пользователями → вкладка Сервисные пользователи (раздел доступен только Владельцу аккаунта и Администратору пользователей);
    • password — пароль сервисного пользователя. Можно посмотреть при создании пользователя или изменить на новый.

  5. Создайте проект:

    resource "selectel_vpc_project_v2" "project_1" {
      name = "project"
    }

    Посмотрите подробное описание ресурса selectel_vpc_project_v2.

  6. Создайте сервисного пользователя для доступа к проекту и назначьте ему роль Администратор проекта:

    resource "selectel_iam_serviceuser_v1" "serviceuser_1" {
      name         = "username"
      password     = "password"
      role {
        role_name  = "member"
        scope      = "project"
        project_id = selectel_vpc_project_v2.project_1.id 
      }
    }

    Здесь:

    • username — имя пользователя;
    • password — пароль пользователя. Пароль должен быть не короче восьми символов и содержать латинские буквы разных регистров и цифры;
    • project_id — ID проекта. Можно посмотреть в панели управления: раздел Облачная платформа → откройте меню проектов (название текущего проекта) → в строке нужного проекта нажмите .

    Посмотрите подробное описание ресурса selectel_iam_serviceuser_v1.

  7. Инициализируйте провайдер OpenStack:

    provider "openstack" {
      auth_url    = "https://cloud.api.selcloud.ru/identity/v3"
      domain_name = "123456"
      tenant_id   = selectel_vpc_project_v2.project_1.id
      user_name   = selectel_iam_serviceuser_v1.serviceuser_1.name
      password    = selectel_iam_serviceuser_v1.serviceuser_1.password
      region      = "ru-9"
    }

    Здесь:

    • domain_name — номер аккаунта Selectel. Можно посмотреть в панели управления в правом верхнем углу;
    • region — пул, например ru-9. Все ресурсы будут создаваться в этом пуле. Список доступных пулов можно посмотреть в инструкции Матрицы доступности.

  8. Если одновременно с настройкой провайдеров вы создаете ресурсы, то для ресурсов OpenStack добавьте аргумент depends_on. Например, для ресурса openstack_networking_network_v2:

    resource "openstack_networking_network_v2" "network_1" {
      name           = "private-network"
      admin_state_up = "true"

      depends_on = [
        selectel_vpc_project_v2.project_1,
        selectel_iam_serviceuser_v1.serviceuser_1
      ]
    }

  9. Опционально: если вы хотите использовать зеркало, создайте отдельный конфигурационный файл Terraform CLI и добавьте в него блок:

    provider_installation {
      network_mirror {
        url = "https://tf-proxy.selectel.ru/mirror/v1/"
        include = ["registry.terraform.io/*/*"]
      }
      direct {
        exclude = ["registry.terraform.io/*/*"]
      }
    }

    Подробнее о настройках зеркал в инструкции CLI Configuration File документации HashiCorp.

  10. Откройте CLI.

  11. Инициализируйте конфигурацию Terraform в директории:

    terraform init

  12. Проверьте, что конфигурационные файлы составлены без ошибок:

    terraform validate

  13. Отформатируйте конфигурационные файлы:

    terraform fmt

  14. Проверьте, какие ресурсы будут созданы:

    terraform plan

  15. Примените изменения и создайте ресурсы:

    terraform apply

  16. Подтвердите создание — введите yes и нажмите Enter. Созданные ресурсы отобразятся в панели управления.

  17. Если для создания ресурсов оказалось недостаточно квот, увеличьте квоты.

Create a private network and subnet⁠

resource "openstack_networking_network_v2" "network_1" {
  name           = "private-network"
  admin_state_up = "true"
}

resource "openstack_networking_subnet_v2" "subnet_1" {
  name       = "private-subnet"
  network_id = openstack_networking_network_v2.network_1.id
  cidr       = "192.168.199.0/24"
}

Here. cidr — CIDR of a private subnet, e.g. 192.168.199.0/24.

See a detailed description of the resources:

Create a cloud router connected to an external network⁠

A cloud router connected to an external network acts as a 1:1 NAT for access from a private network to the Internet through the public IP address of the router.

data "openstack_networking_network_v2" "external_network_1" {
  external = true
}

resource "openstack_networking_router_v2" "router_1" {
  name                = "router"
  external_network_id = data.openstack_networking_network_v2.external_network_1.id
}

resource "openstack_networking_router_interface_v2" "router_interface_1" {
  router_id = openstack_networking_router_v2.router_1.id
  subnet_id = openstack_networking_subnet_v2.subnet_1.id
}

See a detailed description of the resources:

Create rules⁠

A cloud firewall has a basic property: all inbound and outbound traffic that is not allowed is denied.

Until you add allowing rules will be banned:

  • traffic entering the private subnet that is connected to the router;
  • traffic originating from this subnet.
resource "openstack_fw_rule_v2" "rule_1" {
  name     = "allow-protected-network-traffic-rule"
  action   = "allow"
  protocol = "icmp"
}

resource "openstack_fw_rule_v2" "rule_2" {
  name                   = "allow-protected-network-traffic-rule"
  action                 = "allow"
  protocol               = "tcp"
  source_ip_address      = "192.168.199.0/24"
  destination_ip_address = "10.20.30.0/24"
}

Check out the detailed description of the resource openstack_fw_rule_v2.

Create a policy for inbound traffic⁠

resource "openstack_fw_policy_v2" "firewall_policy_1" {
  name    = "ingress-firewall-policy"
  audited = true
  rules   = [
    openstack_fw_rule_v2.rule_1.id,
  ]
}

Check out the detailed description of the resource openstack_fw_policy_v2.

Create a policy for outgoing traffic⁠

resource "openstack_fw_policy_v2" "firewall_policy_2" {
  name    = "egress-firewall-policy"
  audited = true
  rules   = [
    openstack_fw_rule_v2.rule_2.id,
  ]
}

Check out the detailed description of the resource openstack_fw_policy_v2.

Create a cloud firewall⁠

resource "openstack_fw_group_v2" "group_1" {
  name                       = "group"
  admin_state_up             = true
  ingress_firewall_policy_id = openstack_fw_policy_v2.firewall_policy_1.id
  egress_firewall_policy_id  = openstack_fw_policy_v2.firewall_policy_2.id
  ports                      = [
    openstack_networking_router_interface_v2.router_interface_1.port_id,
  ]
}

Check out the detailed description of the resource openstack_fw_group_v2.