Sådan filtrerer Network ACLs subnets

En netværks-ACL (NACL) er en firewall, der fungerer ved undernettets grænse. Hver pakke, der kommer ind i eller forlader et undernet, evalueres mod den NACL, der er knyttet til undernettet, uanset hvilken instans der sendte eller modtog den. Den er det andet netværksforsvarslag sammen med sikkerhedsgrupper.

NACL-regler er nummererede og evalueres i stigende rækkefølge. AWS kontrollerer regel 100 før 200, og den første matchende regel vinder, hvorefter evalueringen stopper. Denne rækkefølge er det modsatte af sikkerhedsgrupper, hvor alle regler kombineres uden prioritet. Efterlad mellemrum (100, 200, 300), så du senere kan indsætte regler.

I modsætning til sikkerhedsgrupper understøtter NACL'er både regler, der tillader og afviser. Det giver dig mulighed for helt at blokere en bestemt ondsindet IP-adresse eller et CIDR-område, hvilket en sikkerhedsgruppe ikke kan. Et almindeligt mønster er at afvise en kendt skadelig kilde med et lavt regelnummer før bredere tilladelsesregler.

Hver NACL har uafhængige sæt af regler for indgående og udgående trafik, og hvert sæt har sin egen nummerering. Da NACL'er er tilstandsløse, skal du udtrykkeligt håndtere begge retninger for hver kommunikation, herunder returtrafikken.

Den standard-NACL, der oprettes sammen med en VPC, tillader al indgående og al udgående trafik og er derfor reelt gennemsigtig. Enhver brugerdefineret NACL, du opretter, starter med at afvise al trafik i begge retninger, indtil du tilføjer tilladelsesregler. Undernet uden en udtrykkelig tilknytning bruger standard-NACL'en.

Et undernet kan være knyttet til præcis én NACL ad gangen, selvom én NACL kan beskytte mange undernet. Det er det omvendte af sikkerhedsgrupper, hvor en ressource kan have mange. NACL'er gælder bredt for alt i undernettet og er derfor en grovkornet kontrol.

Alle NACL'er slutter med en implicit *-regel, der afviser alt, som ikke matches af en nummereret regel. Du kan ikke redigere eller fjerne den. Hvis en pakke falder igennem alle dine nummererede regler, afviser stjernen den, så en manglende nødvendig tilladelsesregel ubemærket kan afbryde trafikken.

Da NACL'er er tilstandsløse, bruger returtrafik midlertidige porte (typisk 1024–65535 for Linux og 49152–65535 for Windows). Du skal tilføje udgående eller indgående tilladelsesregler, der dækker dette område, ellers bliver svarene kasseret. Dette er den klassiske NACL-fælde, som eksamenen ofte tester.

NACL'er er særligt nyttige, når du hurtigt skal blokere et IP-område i et helt undernet under en hændelse. En afvisningsregel med et lavt nummer forhindrer kilden i at nå nogen instans. Sikkerhedsgrupper kan ikke gøre dette, fordi de kun tillader trafik, hvilket gør NACL'er værdifulde til hurtig inddæmning.

Betragt NACL'er som et groft instrument, der gælder for hele undernettet, og sikkerhedsgrupper som det detaljerede værktøj pr. ressource. De fleste arkitekturer baserer sig primært på sikkerhedsgrupper og bruger NACL'er sparsomt til udtrykkelige afvisningsscenarier, mens standarden forbliver tilladende, medmindre der er behov for en bestemt blokering.

NACL-beslutninger observeres ligesom SG-beslutninger gennem VPC Flow Logs, som viser den endelige accept eller afvisning for hver datastrøm. Flow Logs angiver ikke, hvilken kontrol der traf beslutningen, så forståelse af reglernes rækkefølge hjælper dig med at vurdere, hvorfor en pakke blev afvist.

Netværks-ACL'er er tilstandsløse, ordnede firewalls ved undernettets grænse, som understøtter både tilladelse og afvisning. Reglerne er nummererede, og den første match vinder, hvorefter en ikke-redigerbar stjerne afviser alt. Brugerdefinerede NACL'er afviser alt, indtil du tilføjer regler. Fordi de er tilstandsløse, skal du tillade midlertidige porte for returtrafik. Brug dem til grove, hurtige blokeringer af skadelige IP-adresser i hele undernet.