Miten Network ACL:t suodattavat aliverkkoja

Network ACL (NACL) on palomuuri, joka toimii aliverkon rajalla. Jokainen aliverkkoon saapuva tai sieltä lähtevä paketti arvioidaan kyseiseen aliverkkoon liitetyn NACL:n perusteella riippumatta siitä, mikä instanssi paketin lähetti tai vastaanotti. Se on security groupien rinnalla toimiva verkkopuolustuksen toinen kerros.

NACL-säännöt ovat numeroituja, ja ne arvioidaan nousevassa järjestyksessä. AWS tarkistaa säännön 100 ennen sääntöä 200, ja ensimmäinen täsmäävä sääntö ratkaisee, minkä jälkeen arviointi lopetetaan. Tämä on päinvastainen toimintatapa kuin security groupeilla, joissa kaikki säännöt yhdistyvät ilman prioriteettia. Jättäkää väliin numeroita (100, 200, 300), jotta voitte lisätä sääntöjä myöhemmin.

Toisin kuin security groupit, NACL:t tukevat sekä sallivia että estäviä sääntöjä. Näin voitte estää tietyn haitallisen IP-osoitteen tai CIDR-alueen suoraan, mihin security group ei pysty. Yleinen toimintatapa on estää tunnettu haitallinen lähde pienellä sääntönumerolla ennen yleisempiä sallivia sääntöjä.

Jokaisella NACL:llä on erilliset saapuvan ja lähtevän liikenteen sääntöjoukot, joilla kummallakin on oma numerointinsa. Koska NACL:t ovat tilattomia, teidän on käsiteltävä keskustelun molemmat suunnat erikseen, myös paluuliikenne.

VPC:n mukana luotava oletus-NACL sallii kaiken saapuvan ja lähtevän liikenteen, joten se on käytännössä läpinäkyvä. Luomanne mukautettu NACL alkaa estää kaiken liikenteen molempiin suuntiin, kunnes lisäätte sallivia sääntöjä. Aliverkot, joihin ei ole liitetty erikseen NACL:ää, käyttävät oletus-NACL:ää.

Aliverkkoon voi olla kerrallaan liitettynä täsmälleen yksi NACL, vaikka yksi NACL voi suojata useita aliverkkoja. Tämä on päinvastoin kuin security groupeilla, joita resurssilla voi olla useita. NACL:t koskevat laajasti kaikkea aliverkon liikennettä, joten ne ovat karkea hallintakeino.

Jokaisen NACL:n lopussa on implisiittinen *-sääntö, joka estää kaiken liikenteen, johon numeroitu sääntö ei täsmää. Sääntöä ei voi muokata tai poistaa. Jos paketti ohittaa kaikki numeroidut sääntönne, tähti estää sen. Tarvittavan sallivan säännön unohtaminen katkaisee siis liikenteen huomaamatta.

Koska NACL:t ovat tilattomia, paluuliikenne käyttää dynaamisia portteja (Linuxissa yleensä 1024–65535 ja Windowsissa 49152–65535). Teidän on lisättävä lähtevän tai saapuvan liikenteen sallivat säännöt, jotka kattavat tämän alueen, tai vastaukset hylätään. Tämä on klassinen NACL-kompastuskivi, jota kokeessa testataan mielellään.

NACL:t ovat parhaimmillaan, kun IP-alue on estettävä nopeasti koko aliverkossa tietoturvapoikkeaman aikana. Pienen sääntönumeron estävä sääntö estää kyseistä lähdettä tavoittamasta yhtäkään instanssia. Security groupit eivät pysty tähän, koska ne sallivat vain liikennettä, joten NACL:t ovat hyödyllisiä nopeassa rajaamisessa.

Käsitelkää NACL:iä karkeana, koko aliverkon kattavana työkaluna ja security groupeja tarkkana, resurssikohtaisena työkaluna. Useimmat arkkitehtuurit tukeutuvat ensisijaisesti security groupeihin ja käyttävät NACL:iä säästeliäästi erityisiin estotilanteisiin. Oletus pidetään sallivana, ellei tiettyä estoa tarvita.

NACL-päätöksiä, kuten SG-päätöksiä, seurataan VPC Flow Logs -lokien avulla. Ne näyttävät kunkin liikennevirran lopullisen hyväksymis- tai hylkäyspäätöksen. Flow Logs ei kerro, mikä hallintakeino päätöksen teki, joten sääntöjen järjestyksen ymmärtäminen auttaa selvittämään, miksi paketti hylättiin.

Network ACL:t ovat aliverkon rajalla toimivia tilattomia ja järjestettyjä palomuureja, jotka tukevat sekä sallimista että estämistä. Säännöt on numeroitu, ja ensimmäinen täsmäävä sääntö ratkaisee. Lopussa on muokkaamaton, kaiken estävä tähtisääntö. Mukautetut NACL:t estävät kaiken, kunnes lisäätte sääntöjä. Tilattomuuden vuoksi paluuliikenteelle on sallittava dynaamiset portit. Käyttäkää niitä haitallisten IP-osoitteiden karkeisiin ja nopeisiin, koko aliverkon kattaviin estoihin.