Cara Network ACL Menyaring Subnet

ACL jaringan (NACL) adalah firewall yang beroperasi pada batas subnet. Setiap paket yang masuk ke atau keluar dari subnet dievaluasi terhadap NACL yang terkait dengan subnet tersebut, apa pun instans yang mengirim atau menerimanya. NACL merupakan lapisan kedua pertahanan jaringan bersama grup keamanan.

Aturan NACL diberi nomor dan dievaluasi dalam urutan menaik. AWS memeriksa aturan 100 sebelum 200, dan aturan pertama yang cocok menjadi keputusan, lalu evaluasi berhenti. Urutan ini berlawanan dengan grup keamanan, yang semua aturannya bergabung tanpa prioritas. Sisakan jarak nomor (100, 200, 300) agar Anda dapat menyisipkan aturan nantinya.

Berbeda dari grup keamanan, NACL mendukung aturan izinkan dan tolak. Dengan demikian, Anda dapat langsung memblokir IP atau rentang CIDR berbahaya tertentu, sesuatu yang tidak dapat dilakukan grup keamanan. Pola umum adalah menolak sumber yang diketahui berbahaya dengan nomor aturan rendah sebelum aturan izinkan yang lebih luas.

Setiap NACL memiliki kumpulan aturan masuk dan keluar yang terpisah, masing-masing dengan penomorannya sendiri. Karena NACL bersifat stateless, Anda harus menangani kedua arah setiap percakapan secara eksplisit, termasuk lalu lintas balasan.

NACL bawaan yang dibuat bersama VPC mengizinkan semua lalu lintas masuk dan keluar, sehingga secara efektif bersifat transparan. NACL khusus apa pun yang Anda buat dimulai dengan menolak semua lalu lintas di kedua arah sampai Anda menambahkan aturan izinkan. Subnet tanpa asosiasi eksplisit menggunakan NACL bawaan.

Sebuah subnet dapat dikaitkan tepat dengan satu NACL pada satu waktu, meskipun satu NACL dapat melindungi banyak subnet. Hal ini berkebalikan dengan grup keamanan, yang memungkinkan satu sumber daya memiliki banyak grup. NACL berlaku luas untuk semua hal di dalam subnet, sehingga merupakan kontrol yang kasar.

Setiap NACL diakhiri dengan aturan * implisit yang menolak apa pun yang tidak cocok dengan aturan bernomor. Anda tidak dapat mengubah atau menghapusnya. Jika paket melewati semua aturan bernomor Anda, tanda bintang akan menolaknya. Jadi, lupa menambahkan aturan izinkan yang diperlukan dapat menghentikan lalu lintas tanpa pemberitahuan.

Karena NACL bersifat stateless, lalu lintas balasan menggunakan port sementara (biasanya 1024–65535 untuk Linux dan 49152–65535 untuk Windows). Anda harus menambahkan aturan izinkan masuk atau keluar yang mencakup rentang ini, atau respons akan dibuang. Inilah jebakan klasik NACL yang sering diuji dalam ujian.

NACL sangat berguna saat Anda harus memblokir rentang IP di seluruh subnet dengan cepat selama insiden. Aturan tolak dengan nomor rendah akan menghentikan sumber tersebut mencapai instans mana pun. Grup keamanan tidak dapat melakukan ini karena hanya mengizinkan, sehingga NACL berharga untuk penahanan cepat.

Anggap NACL sebagai instrumen kasar yang berlaku di seluruh subnet, dan grup keamanan sebagai alat terperinci untuk setiap sumber daya. Sebagian besar arsitektur terutama mengandalkan grup keamanan dan menggunakan NACL secara terbatas untuk skenario penolakan eksplisit, dengan tetap mempertahankan konfigurasi bawaan yang permisif kecuali diperlukan pemblokiran tertentu.

Keputusan NACL, seperti keputusan SG, diamati melalui VPC Flow Logs, yang menampilkan hasil akhir terima atau tolak untuk setiap aliran. Flow Logs tidak menyebutkan kontrol mana yang membuat keputusan tersebut, sehingga memahami urutan aturan membantu Anda menalar alasan sebuah paket ditolak.

Uji pemahaman Anda tentang evaluasi NACL.

ACL jaringan adalah firewall stateless dan berurutan pada batas subnet yang mendukung izinkan dan tolak. Aturan diberi nomor dan kecocokan pertama menjadi keputusan, lalu diakhiri tanda bintang yang tidak dapat diubah dan menolak semua. NACL khusus menolak semuanya sampai Anda menambahkan aturan. Karena bersifat stateless, Anda harus mengizinkan port sementara untuk lalu lintas balasan. Gunakan NACL untuk pemblokiran IP yang kasar, cepat, dan berlaku di seluruh subnet.