Hoe Network ACLs subnetten filteren

Een network ACL (NACL) is een firewall die werkt op de grens van een subnet. Elk pakket dat een subnet binnenkomt of verlaat, wordt getoetst aan de NACL die aan dat subnet is gekoppeld, ongeacht welke instantie het heeft verzonden of ontvangen. Dit is de tweede verdedigingslaag voor netwerken naast security groups.

NACL-regels zijn genummerd en worden in oplopende volgorde geëvalueerd. AWS controleert regel 100 vóór 200 en de eerste overeenkomende regel wint, waarna de evaluatie stopt. Deze volgorde is het tegenovergestelde van die van security groups, waarbij alle regels zonder prioriteit worden verenigd. Laat tussenruimtes (100, 200, 300), zodat je later regels kunt invoegen.

In tegenstelling tot security groups ondersteunen NACL's zowel regels om verkeer toe te staan als te weigeren. Daarmee kun je een specifiek kwaadaardig IP-adres of CIDR-bereik rechtstreeks blokkeren, iets wat een security group niet kan. Een veelgebruikt patroon is een bekende slechte bron weigeren met een laag regelnummer, vóór bredere regels die verkeer toestaan.

Elke NACL heeft onafhankelijke regelsets voor inkomend en uitgaand verkeer, elk met een eigen nummering. Omdat NACL's stateless zijn, moet je beide richtingen van elk gesprek expliciet afhandelen, inclusief het retourverkeer.

De standaard-NACL die samen met een VPC wordt gemaakt, staat al het inkomende en uitgaande verkeer toe en is dus feitelijk transparant. Elke aangepaste NACL die je maakt, begint met al het verkeer weigeren in beide richtingen totdat je regels toevoegt die verkeer toestaan. Subnets zonder expliciete koppeling gebruiken de standaard-NACL.

Een subnet kan op elk moment aan precies één NACL zijn gekoppeld, hoewel één NACL veel subnets kan beveiligen. Dit is het omgekeerde van security groups, waarvan een resource er meerdere kan hebben. NACL's zijn breed van toepassing op alles in het subnet en vormen daardoor een grofmazige controle.

Elke NACL eindigt met een impliciete *-regel die alles weigert wat niet door een genummerde regel wordt gedekt. Je kunt deze regel niet bewerken of verwijderen. Als een pakket door al je genummerde regels heen valt, weigert de sterregel het. Als je een benodigde regel die verkeer toestaat vergeet, wordt verkeer dus ongemerkt verbroken.

Omdat NACL's stateless zijn, gebruikt retourverkeer dynamische poorten (doorgaans 1024–65535 voor Linux en 49152–65535 voor Windows). Je moet regels toevoegen die dit bereik voor uitgaand of inkomend verkeer toestaan, anders worden antwoorden verwijderd. Dit is de klassieke NACL-valkuil die op het examen graag wordt getoetst.

NACL's zijn bijzonder nuttig wanneer je tijdens een incident snel een IP-bereik in een heel subnet moet blokkeren. Een weigeringsregel met een laag nummer voorkomt dat die bron een instantie bereikt. Security groups kunnen dit niet, omdat ze alleen verkeer toestaan. Daardoor zijn NACL's waardevol voor snelle indamming.

Beschouw NACL's als een bot, subnetbreed instrument en security groups als het gedetailleerde hulpmiddel per resource. De meeste architecturen vertrouwen voornamelijk op security groups en gebruiken NACL's spaarzaam voor expliciete weigeringssituaties. Daarbij blijft de standaardinstelling ruimhartig, tenzij een specifieke blokkade nodig is.

NACL-beslissingen worden, net als SG-beslissingen, bekeken via VPC Flow Logs, die voor elke gegevensstroom de uiteindelijke accept- of reject-beslissing tonen. Flow Logs vermelden niet welke controle de beslissing heeft genomen. Daarom helpt inzicht in de regelvolgorde je te begrijpen waarom een pakket is geweigerd.

Netwerk-ACL's zijn stateless firewalls met een vaste volgorde op de grens van een subnet, die zowel toestaan als weigeren ondersteunen. Regels zijn genummerd en de eerste overeenkomst wint, waarna een niet-bewerkbare sterregel alles weigert. Aangepaste NACL's weigeren alles totdat je regels toevoegt. Omdat ze stateless zijn, moet je dynamische poorten toestaan voor retourverkeer. Gebruik ze voor grofmazige, snelle subnetbrede blokkades van slechte IP-adressen.