Listy ACL sieci a grupy zabezpieczeń

AWS udostępnia dwa odrębne mechanizmy zapory sieciowej w ramach VPC. Security Groups działają na poziomie instancji (technicznie na poziomie ENI) i są stanowe. Network Access Control Lists (NACL) działają na poziomie podsieci i są bezstanowe. Oba mechanizmy są sprawdzane dla każdego ruchu wchodzącego do podsieci lub opuszczającego ją oraz dla powiązanych z nią instancji. Jednoczesne użycie obu zapewnia ochronę warstwową: NACL jako pierwszą linię ochrony na granicy podsieci, a grupy zabezpieczeń jako zaporę dla poszczególnych instancji. Egzamin SAA-C03 często porównuje te dwa mechanizmy.

Network ACL (NACL) to numerowana lista reguł stosowanych do całego ruchu przekraczającego granicę podsieci. NACL są bezstanowe — każdy pakiet jest oceniany niezależnie. Jeśli zezwolą Państwo na przychodzący ruch TCP na porcie 80, należy jawnie zezwolić na wychodzący ruch zwrotny (porty efemeryczne 1024–65535), aby odpowiedź mogła opuścić podsieć. Reguły są sprawdzane w kolejności numerycznej (najpierw najniższy numer); zastosowanie ma pierwsza pasująca reguła, a kolejne nie są już sprawdzane. Każdy VPC ma domyślny NACL zezwalający na cały ruch przychodzący i wychodzący.

Reguły NACL są sprawdzane w rosnącej kolejności według numeru reguły (od 1 do 32766), a sprawdzanie kończy się natychmiast po dopasowaniu reguły — reguła Allow o niższym numerze może zostać przesłonięta przez regułę Deny o jeszcze niższym numerze dla tego samego ruchu. AWS zaleca numerowanie reguł co 10 lub 100, aby pozostawić miejsce na późniejsze dodawanie reguł. Każdy NACL kończy się regułą domyślną (* DENY), która odrzuca cały ruch niepasujący do żadnej jawnej reguły. Tej reguły obejmującej pozostały ruch nie można edytować ani usuwać.

Ponieważ NACL są bezstanowe, należy uwzględnić oba kierunki każdego połączenia. Gdy klient w Internecie łączy się z instancją EC2 na porcie 443, instancja wysyła odpowiedź z powrotem na port efemeryczny klienta (losowy port o wysokim numerze, zazwyczaj 1024–65535 w systemie Linux i 49152–65535 w systemie Windows). Reguły wychodzące NACL muszą jawnie zezwalać na ten zakres. Częstym błędem w konfiguracji NACL jest utworzenie reguły Allow dla przychodzącego portu 443 i pominięcie zezwolenia na wychodzące porty efemeryczne — połączenia zostają wtedy nawiązane, ale odpowiedzi są po cichu odrzucane.

Przypomnienie: grupy zabezpieczeń są przypisywane do instancji (lub ENI), zezwalają wyłącznie na jawne reguły Allow (nie obsługują Deny), są stanowe (odpowiedzi na dozwolony ruch przychodzący są automatycznie dozwolone wychodząco bez dodatkowej reguły), a wszystkie przypisane reguły oceniają łącznie z użyciem logiki OR. Jako źródła lub miejsca docelowe można wskazywać identyfikatory innych grup zabezpieczeń, co ułatwia utrzymanie konfiguracji w porównaniu z zakresami adresów IP. Grupy zabezpieczeń są podstawowym mechanizmem kontroli dostępu na poziomie instancji, a NACL dodają dodatkową warstwę na poziomie podsieci.

Kluczowe porównanie na egzamin:

• Poziom: NACL = podsieć; SG = instancja (ENI)
• Stan: NACL = bezstanowy; SG = stanowy
• Reguły: NACL = Allow ORAZ Deny; SG = tylko Allow (niejawna odmowa)
• Sprawdzanie: NACL = według kolejności (wygrywa pierwsze dopasowanie); SG = sprawdzane są wszystkie reguły (wystarczy dowolna reguła Allow)
• Zakres: NACL dotyczy wszystkich instancji w podsieci; SG dotyczy wyłącznie powiązanych instancji
• Ruch przychodzący/wychodzący: NACL wymaga jawnych reguł w obu kierunkach; SG jest stanowa (w przypadku odpowiedzi wystarczą reguły ruchu przychodzącego)

NACL należy używać do: blokowania określonych adresów IP (grupy zabezpieczeń nie mogą odrzucać ruchu — mogą tylko zezwalać; NACL mogą zawierać jawne reguły Deny blokujące znane złośliwe adresy IP lub roboty indeksujące). Reguł obejmujących całą podsieć (ta sama reguła dotyczy wszystkich instancji w podsieci bez modyfikowania poszczególnych grup zabezpieczeń). Dodatkowej warstwy ochrony (jeśli błędna konfiguracja grupy zabezpieczeń przypadkowo otworzy dostęp, reguła Deny w NACL na granicy podsieci nadal może zablokować ruch). W praktyce większość zespołów zarządza dostępem głównie za pomocą grup zabezpieczeń, a NACL wykorzystuje tylko do jawnego blokowania adresów IP.

Domyślny NACL (tworzony wraz z każdym VPC) zezwala na cały ruch przychodzący i wychodzący — zawiera regułę 100 Allow All Inbound oraz regułę 100 Allow All Outbound. Podsieci, które nie są jawnie powiązane z niestandardowym NACL, korzystają z domyślnego NACL. Po utworzeniu niestandardowego NACL zawiera on początkowo wyłącznie domyślną regułę Deny-All (reguła *), blokując cały ruch do czasu dodania jawnych reguł Allow. Oznacza to, że przypisanie nowego niestandardowego NACL do podsieci natychmiast zablokuje cały ruch — przed powiązaniem go z produkcyjnymi podsieciami należy dodać reguły Allow.

W przypadku ruchu przychodzącego do instancji EC2 ruch najpierw przechodzi przez NACL na granicy podsieci (gdzie jest sprawdzany zgodnie z kolejnością reguł). Jeśli NACL zezwoli na ruch, dociera on następnie do grupy zabezpieczeń instancji — grupa zabezpieczeń również musi na niego zezwolić. Oba mechanizmy muszą dopuścić ruch, aby mógł on dotrzeć do instancji. W przypadku ruchu wychodzącego najpierw sprawdzana jest grupa zabezpieczeń (stanowa — zezwala, jeśli ruch jest odpowiedzią na dozwolony ruch przychodzący), a następnie NACL (bezstanowy — musi zawierać jawną regułę Allow dla ruchu wychodzącego). Zrozumienie tej kolejności wyjaśnia, dlaczego reguły NACL dla ruchu zwrotnego są potrzebne nawet przy użyciu stanowych grup zabezpieczeń.

NACL są częstym źródłem trudnych do zdiagnozowania problemów z siecią ze względu na swój bezstanowy charakter. Objawy to: połączenia zostają nawiązane, ale przepływ danych się zatrzymuje (brak reguły dla wychodzących portów efemerycznych); ruch odbywa się tylko w jednym kierunku (brak reguły przychodzącej lub wychodzącej); określone adresy IP nie mogą się połączyć (reguła Deny o niższym numerze jest dopasowywana przed regułą Allow). Metoda diagnozowania: należy użyć VPC Flow Logs, aby sprawdzić, czy pakiety na poziomie NACL mają status ACCEPT czy REJECT. Dziennik przepływu pokaże odrzucone pakiety oraz ich źródło i miejsce docelowe, pomagając wskazać brakującą regułę.

Zalecany schemat zabezpieczeń VPC z wieloma warstwami: NACLs w publicznych podsieciach zezwalają z Internetu wyłącznie na porty 80, 443 oraz wymagane porty efemeryczne; cała pozostała komunikacja jest odrzucana. Grupy zabezpieczeń publicznych podsieci przypisane do ALB zezwalają na porty 80/443 z 0.0.0.0/0. Grupy zabezpieczeń prywatnych aplikacji zezwalają wyłącznie na ruch z identyfikatora grupy zabezpieczeń ALB. Grupy zabezpieczeń prywatnych danych zezwalają wyłącznie na ruch z identyfikatora grupy zabezpieczeń aplikacji. Ta wielowarstwowa ochrona zapewnia, że nawet jeśli jedna warstwa zostanie skonfigurowana nieprawidłowo, inna nadal zapewnia ochronę — jest to zasada minimalnego dostępu na każdej warstwie.

Sprawdź swoją znajomość zagadnień AWS Solutions Architect (SAA-C03) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: NACLs to bezstanowe zapory na poziomie podsieci, które obsługują reguły Allow i Deny oceniane w kolejności określonej numerami, grupy zabezpieczeń to stanowe zapory na poziomie instancji z regułami wyłącznie Allow, przy czym wszystkie reguły są oceniane łącznie oraz NACLs służą do jawnego blokowania adresów IP i definiowania reguł obowiązujących w całej podsieci, a grupy zabezpieczeń — do szczegółowej kontroli dostępu do instancji. To kończy moduł VPC Basics — w następnej kolejności omówimy RDS i relacyjne bazy danych w AWS.