ACL Rangkaian berbanding Kumpulan Keselamatan

Peraturan NACL dinilai mengikut susunan nombor peraturan menaik (1 hingga 32766), dan penilaian berhenti sebaik sahaja sesuatu peraturan sepadan—peraturan Allow bernombor lebih rendah boleh ditindih oleh Deny yang bernombor lebih rendah lagi untuk trafik yang sama. AWS mengesyorkan penomboran peraturan dengan kenaikan 10 atau 100 supaya terdapat ruang untuk memasukkan peraturan kemudian. Setiap NACL berakhir dengan peraturan lalai (* DENY) yang menolak semua trafik yang tidak sepadan dengan mana-mana peraturan eksplisit. Peraturan tangkapan semua ini tidak boleh disunting atau dipadamkan.

Oleh sebab NACL tidak mengekalkan keadaan, anda mesti mengambil kira kedua-dua arah bagi setiap sambungan. Apabila klien di internet menyambung ke tikaian EC2 anda pada port 443, tikaian tersebut menghantar respons kembali ke port sementara klien (port tinggi rawak, biasanya 1024-65535 pada Linux dan 49152-65535 pada Windows). Peraturan keluar NACL anda mesti membenarkan julat ini secara jelas. Kesilapan konfigurasi NACL yang lazim ialah mencipta peraturan Allow untuk port masuk 443 tetapi terlupa membenarkan port sementara keluar—menyebabkan sambungan berjaya diwujudkan tetapi respons digugurkan secara senyap.

Sebagai peringatan: security groups dilampirkan pada tikaian (atau ENI), hanya membenarkan peraturan Allow yang eksplisit (tiada Deny), mengekalkan keadaan (respons kepada trafik masuk yang dibenarkan secara automatik dibenarkan keluar tanpa peraturan), dan menilai semua peraturan yang dilampirkan bersama-sama menggunakan logik OR. Anda boleh merujuk ID kumpulan keselamatan lain sebagai sumber/destinasi, yang lebih mudah diselenggara berbanding julat IP. Kumpulan keselamatan ialah mekanisme utama untuk kawalan akses pada peringkat tikaian, manakala NACL menambah lapisan tambahan pada peringkat subnet.

Perbandingan penting untuk peperiksaan:

• Aras: NACL = subnet; SG = tikaian (ENI)
• Keadaan: NACL = tidak mengekalkan keadaan; SG = mengekalkan keadaan
• Peraturan: NACL = Allow DAN Deny; SG = Allow sahaja (penolakan tersirat)
• Penilaian: NACL = mengikut susunan (padanan pertama menang); SG = semua peraturan dinilai (mana-mana Allow menang)
• Skop: NACL digunakan pada semua tikaian dalam subnet; SG hanya digunakan pada tikaian berkaitan
• Masuk/Keluar: NACL memerlukan peraturan eksplisit bagi kedua-dua arah; SG mengekalkan keadaan (hanya peraturan masuk diperlukan untuk respons)

Gunakan NACL untuk: Menyekat IP tertentu (kumpulan keselamatan tidak boleh menolak—hanya membenarkan; NACL boleh menambahkan peraturan Deny eksplisit untuk menyekat IP berniat jahat atau pengikis yang diketahui). Peraturan seluruh subnet (gunakan peraturan yang sama pada semua tikaian dalam subnet tanpa mengubah kumpulan keselamatan individu). Lapisan pertahanan tambahan (jika salah konfigurasi kumpulan keselamatan membuka akses secara tidak sengaja, peraturan Deny NACL di sempadan subnet masih boleh menyekat trafik tersebut). Dalam amalan, kebanyakan pasukan mengurus akses terutamanya melalui kumpulan keselamatan dan menggunakan NACL hanya untuk penyekatan IP yang eksplisit.

NACL lalai (yang dicipta bersama setiap VPC) membenarkan semua trafik masuk dan keluar—ia mempunyai peraturan 100 Allow All Inbound dan 100 Allow All Outbound. Subnet yang tidak dikaitkan secara eksplisit dengan NACL tersuai akan menggunakan NACL lalai. Jika anda mencipta NACL tersuai, ia bermula hanya dengan peraturan Deny-All lalai (peraturan *), yang menyekat semua trafik sehingga anda menambahkan peraturan Allow eksplisit. Ini bermakna melampirkan NACL tersuai baharu pada subnet akan menyekat semua trafik serta-merta—pastikan anda menambahkan peraturan Allow sebelum mengaitkannya dengan subnet pengeluaran.

Bagi trafik masuk ke tikaian EC2: trafik terlebih dahulu melalui NACL di sempadan subnet (dinilai mengikut susunan peraturan). Jika NACL membenarkan trafik tersebut, trafik kemudiannya sampai ke kumpulan keselamatan pada tikaian—kumpulan keselamatan itu juga mesti membenarkannya. Kedua-duanya mesti membenarkan trafik tersebut sebelum ia boleh sampai ke tikaian. Bagi trafik keluar: kumpulan keselamatan dinilai dahulu (mengekalkan keadaan—benarkan jika trafik itu ialah respons kepada trafik masuk yang dibenarkan), kemudian NACL (tidak mengekalkan keadaan—mesti mempunyai Allow keluar yang eksplisit). Memahami susunan ini menjelaskan sebab peraturan trafik balasan keluar diperlukan untuk NACL yang tidak mengekalkan keadaan walaupun kumpulan keselamatan mengekalkan keadaan.

NACL sering menjadi punca masalah rangkaian yang sukar dikesan kerana sifatnya yang tidak mengekalkan keadaan. Gejala: sambungan berjaya diwujudkan tetapi data berhenti mengalir (peraturan port sementara keluar tiada); trafik sehala (peraturan masuk atau keluar terlupa); IP tertentu tidak dapat menyambung (peraturan Deny bernombor lebih rendah dipadankan sebelum peraturan Allow). Kaedah penyahpepijatan: gunakan VPC Flow Logs untuk melihat sama ada paket ialah ACCEPT atau REJECT pada peringkat NACL. Log aliran akan menunjukkan paket yang ditolak serta sumber/destinasinya, sekali gus membantu mengenal pasti peraturan yang tiada.

Corak yang disyorkan untuk keselamatan VPC berperingkat: NACLs pada subnet awam hanya membenarkan port 80, 443 dan port sementara yang diperlukan daripada internet; semua yang lain ditolak. Kumpulan keselamatan subnet awam pada ALB membenarkan port 80/443 daripada 0.0.0.0/0. Kumpulan keselamatan aplikasi persendirian hanya membenarkan trafik daripada ID kumpulan keselamatan ALB. Kumpulan keselamatan data persendirian hanya membenarkan trafik daripada ID kumpulan keselamatan aplikasi. Pertahanan berlapis ini memastikan bahawa walaupun satu lapisan tersalah konfigurasi, lapisan lain tetap memberikan perlindungan—prinsip yang dipanggil akses minimum pada setiap lapisan.

Dalam pelajaran ini, anda telah mempelajari bahawa: NACLs ialah tembok api tanpa keadaan pada peringkat subnet yang menyokong peraturan Benarkan dan Tolak yang dinilai mengikut susunan bernombor, kumpulan keselamatan ialah tembok api berkeadaan pada peringkat tika dengan peraturan Benarkan sahaja, yang semua peraturannya dinilai bersama, dan gunakan NACLs untuk menyekat IP secara jelas serta peraturan seluruh subnet, dan gunakan kumpulan keselamatan untuk kawalan akses tika yang terperinci. Modul Asas VPC ini telah selesai—seterusnya kita akan mendalami RDS dan Pangkalan Data Hubungan pada AWS.