Come le Network ACL filtrano le subnet

Una network ACL (NACL) è un firewall che opera al confine della subnet. Ogni pacchetto in entrata o in uscita da una subnet viene valutato in base alla NACL associata a quella subnet, indipendentemente dall'istanza che lo ha inviato o ricevuto. Costituisce il secondo livello di difesa della rete, insieme ai security group.

Le regole delle NACL sono numerate e valutate in ordine crescente. AWS verifica la regola 100 prima della 200 e vince la prima regola corrispondente, interrompendo la valutazione. Questo ordine è l'opposto di quello dei security group, in cui tutte le regole si combinano senza priorità. Lasci degli intervalli (100, 200, 300) per poter inserire altre regole in seguito.

A differenza dei security group, le NACL supportano regole sia di autorizzazione sia di negazione. Ciò consente di bloccare direttamente uno specifico IP o intervallo CIDR dannoso, cosa che un security group non può fare. Un modello comune consiste nel negare un'origine nota come pericolosa con un numero di regola basso, prima delle regole di autorizzazione più ampie.

Ogni NACL dispone di set di regole in ingresso e in uscita indipendenti, ciascuno con una propria numerazione. Poiché le NACL sono stateless, deve gestire esplicitamente entrambe le direzioni di ogni conversazione, compreso il traffico di risposta.

La NACL predefinita creata con una VPC consente tutto il traffico in ingresso e in uscita, quindi è di fatto trasparente. Qualsiasi NACL personalizzata creata inizia con il rifiuto di tutto il traffico in entrambe le direzioni, finché non vengono aggiunte regole di autorizzazione. Le subnet senza un'associazione esplicita utilizzano la NACL predefinita.

Una subnet può essere associata a esattamente una NACL alla volta, mentre una NACL può proteggere molte subnet. È l'opposto dei security group, di cui una risorsa può avere molti. Le NACL si applicano in modo esteso a tutto ciò che si trova nella subnet, quindi costituiscono un controllo poco granulare.

Ogni NACL termina con una regola * implicita che nega tutto ciò che non corrisponde a una regola numerata. Non è possibile modificarla o rimuoverla. Se un pacchetto supera tutte le regole numerate, l'asterisco lo nega; dimenticare una regola di autorizzazione necessaria interrompe quindi il traffico senza segnalarlo esplicitamente.

Poiché le NACL sono stateless, il traffico di risposta utilizza porte effimere (in genere 1024–65535 per Linux e 49152–65535 per Windows). Deve aggiungere regole di autorizzazione in uscita o in ingresso che coprano questo intervallo, altrimenti le risposte vengono scartate. È il classico tranello sulle NACL che l'esame ama verificare.

Le NACL sono particolarmente utili quando durante un incidente è necessario bloccare rapidamente un intervallo IP per un'intera subnet. Una regola di negazione con un numero basso impedisce a quell'origine di raggiungere qualsiasi istanza. I security group non possono farlo perché consentono solo il traffico, rendendo le NACL preziose per un contenimento rapido.

Consideri le NACL come uno strumento poco granulare e valido per l'intera subnet, e i security group come uno strumento granulare e specifico per ogni risorsa. La maggior parte delle architetture si basa principalmente sui security group e utilizza le NACL con parsimonia per scenari di negazione esplicita, mantenendo l'impostazione predefinita permissiva salvo la necessità di un blocco specifico.

Le decisioni delle NACL, come quelle dei SG, vengono osservate tramite i VPC Flow Logs, che mostrano l'accettazione o il rifiuto finale per ogni flusso. I Flow Logs non indicano quale controllo abbia preso la decisione; comprendere l'ordine delle regole aiuta quindi a capire perché un pacchetto è stato rifiutato.

Verifichi la Sua comprensione della valutazione delle NACL.

Le network ACL sono firewall stateless e ordinati che operano al confine della subnet e supportano sia l'autorizzazione sia la negazione. Le regole sono numerate e vince la prima corrispondenza, fino alla regola con asterisco non modificabile che nega tutto. Le NACL personalizzate negano tutto finché non si aggiungono regole. Poiché sono stateless, è necessario consentire le porte effimere per il traffico di risposta. Le utilizzi per blocchi poco granulari, rapidi e validi per l'intera subnet contro IP dannosi.