Como as ACLs de Rede Filtram Sub-redes

Uma ACL de rede (NACL) é um firewall que opera no limite da sub-rede. Todo pacote que entra ou sai de uma sub-rede é avaliado em relação à NACL associada a essa sub-rede, independentemente da instância que o enviou ou recebeu. Ela é a segunda camada de defesa de rede, juntamente com os grupos de segurança.

As regras das NACLs são numeradas e avaliadas em ordem crescente. A AWS verifica a regra 100 antes da 200, e a primeira regra correspondente prevalece, interrompendo a avaliação. Essa ordenação é oposta à dos grupos de segurança, nos quais todas as regras se combinam sem prioridade. Deixe intervalos (100, 200, 300) para poder inserir regras posteriormente.

Ao contrário dos grupos de segurança, as NACLs aceitam regras de permissão e negação. Isso permite bloquear diretamente um IP ou intervalo CIDR malicioso específico, algo que um grupo de segurança não pode fazer. Um padrão comum é negar uma origem reconhecidamente maliciosa com um número de regra baixo, antes das regras de permissão mais abrangentes.

Cada NACL tem conjuntos independentes de regras de entrada e saída, cada um com sua própria numeração. Como as NACLs não mantêm estado, você precisa tratar explicitamente as duas direções de cada comunicação, incluindo o tráfego de retorno.

A NACL padrão criada com uma VPC permite todo o tráfego de entrada e de saída, portanto é efetivamente transparente. Qualquer NACL personalizada que você criar começa negando todo o tráfego nas duas direções, até que você adicione regras de permissão. As sub-redes sem uma associação explícita usam a NACL padrão.

Uma sub-rede pode ser associada a exatamente uma NACL por vez, embora uma NACL possa proteger várias sub-redes. Isso é o inverso dos grupos de segurança, dos quais um recurso pode ter vários. As NACLs se aplicam amplamente a tudo na sub-rede, sendo um controle pouco granular.

Toda NACL termina com uma regra * implícita que nega tudo o que não corresponder a uma regra numerada. Você não pode editá-la nem removê-la. Se um pacote passar por todas as suas regras numeradas sem correspondência, o asterisco o negará; portanto, esquecer uma regra de permissão necessária interrompe o tráfego silenciosamente.

Como as NACLs não mantêm estado, o tráfego de retorno usa portas efêmeras (normalmente 1024–65535 no Linux e 49152–65535 no Windows). Você precisa adicionar regras de permissão de entrada ou saída que cubram esse intervalo; caso contrário, as respostas serão descartadas. Essa é a armadilha clássica das NACLs que o exame adora testar.

As NACLs são especialmente úteis quando você precisa bloquear rapidamente um intervalo de IPs em toda uma sub-rede durante um incidente. Uma regra de negação com número baixo impede que essa origem alcance qualquer instância. Os grupos de segurança não podem fazer isso porque só permitem tráfego, o que torna as NACLs valiosas para uma contenção rápida.

Trate as NACLs como um instrumento abrangente e pouco granular para toda a sub-rede e os grupos de segurança como a ferramenta precisa e específica para cada recurso. A maioria das arquiteturas depende principalmente de grupos de segurança e usa NACLs com parcimônia para cenários de negação explícita, mantendo o padrão permissivo quando nenhum bloqueio específico é necessário.

As decisões das NACLs, assim como as decisões dos SGs, são observadas por meio dos registros de fluxo da VPC, que mostram a aceitação ou rejeição final de cada fluxo. Os registros de fluxo não informam qual controle tomou a decisão; por isso, entender a ordem das regras ajuda a raciocinar sobre o motivo de um pacote ter sido rejeitado.

Teste sua compreensão da avaliação das NACLs.

As ACLs de rede são firewalls sem estado e ordenados no limite da sub-rede, compatíveis tanto com permissão quanto com negação. As regras são numeradas, e a primeira correspondência prevalece, terminando com um asterisco não editável que nega tudo. As NACLs personalizadas negam tudo até que você adicione regras. Como não mantêm estado, você precisa permitir portas efêmeras para o tráfego de retorno. Use-as para bloqueios amplos e rápidos de IPs maliciosos em toda a sub-rede.