Network ACL กรองซับเน็ตอย่างไร

ACL เครือข่าย (NACL) คือไฟร์วอลล์ที่ทำงานตรง ขอบเขตของซับเน็ต แพ็กเก็ตทุกแพ็กเก็ตที่เข้าหรือออกจากซับเน็ตจะถูกตรวจสอบกับ NACL ที่เชื่อมโยงกับซับเน็ตนั้น ไม่ว่าอินสแตนซ์ใดจะเป็นผู้ส่งหรือผู้รับก็ตาม นี่คือแนวป้องกันเครือข่ายชั้นที่สองที่ทำงานคู่กับกลุ่มความปลอดภัย

กฎของ NACL มีการ กำหนดหมายเลข และประเมินตามลำดับจากน้อยไปมาก AWS จะตรวจสอบกฎ 100 ก่อน 200 และ กฎแรกที่ตรงกันจะเป็นผลตัดสิน จากนั้นจะหยุดการประเมิน ลำดับนี้ตรงข้ามกับกลุ่มความปลอดภัย ซึ่งรวมกฎทั้งหมดเข้าด้วยกันโดยไม่มีลำดับความสำคัญ ควรเว้นช่วงหมายเลขไว้ เช่น 100, 200, 300 เพื่อให้แทรกกฎภายหลังได้

ต่างจากกลุ่มความปลอดภัย NACL รองรับทั้งกฎ อนุญาตและปฏิเสธ จึงสามารถบล็อก IP หรือช่วง CIDR ที่เป็นอันตรายโดยเฉพาะได้ทันที ซึ่งกลุ่มความปลอดภัยทำไม่ได้ รูปแบบที่พบบ่อยคือปฏิเสธแหล่งที่มาที่ทราบว่าไม่ปลอดภัยด้วยหมายเลขกฎต่ำ ก่อนถึงกฎอนุญาตที่ครอบคลุมกว่า

NACL แต่ละรายการมีชุดกฎ ขาเข้าและขาออก ที่เป็นอิสระต่อกัน และแต่ละชุดมีการกำหนดหมายเลขของตัวเอง เนื่องจาก NACL ไม่มีสถานะ คุณจึงต้องจัดการทั้งสองทิศทางของทุกการสื่อสารอย่างชัดเจน รวมถึงการรับส่งข้อมูลตอบกลับ

NACL เริ่มต้นที่สร้างมาพร้อมกับ VPC จะอนุญาตการรับส่งข้อมูลขาเข้าและขาออกทั้งหมด จึงแทบไม่ต่างจากการปล่อยผ่าน ส่วน NACL ที่กำหนดเองจะเริ่มต้นด้วยการ ปฏิเสธ การรับส่งข้อมูลทั้งหมดทั้งสองทิศทาง จนกว่าคุณจะเพิ่มกฎอนุญาต ซับเน็ตที่ไม่ได้เชื่อมโยงไว้อย่างชัดเจนจะใช้ NACL เริ่มต้น

ซับเน็ตหนึ่งรายการสามารถเชื่อมโยงกับ NACL หนึ่งรายการได้ในเวลาเดียวกันเท่านั้น แม้ NACL หนึ่งรายการจะใช้ป้องกันซับเน็ตได้หลายรายการก็ตาม ซึ่งตรงข้ามกับกลุ่มความปลอดภัยที่ทรัพยากรหนึ่งรายการสามารถมีกลุ่มได้หลายกลุ่ม NACL ใช้กับทุกสิ่งในซับเน็ตอย่างครอบคลุม จึงเป็นการควบคุมแบบหยาบ

NACL ทุกรายการจะลงท้ายด้วย กฎ * โดยนัย ซึ่งปฏิเสธทุกสิ่งที่ไม่ตรงกับกฎที่มีหมายเลข คุณไม่สามารถแก้ไขหรือลบกฎนี้ได้ หากแพ็กเก็ตผ่านกฎที่มีหมายเลขทั้งหมดโดยไม่ตรงกับกฎใด ดอกจันจะปฏิเสธแพ็กเก็ตนั้น ดังนั้นการลืมกฎอนุญาตที่จำเป็นจะทำให้การรับส่งข้อมูลหยุดทำงานโดยไม่แสดงสัญญาณชัดเจน

เนื่องจาก NACL ไม่มีสถานะ การรับส่งข้อมูลตอบกลับจึงใช้ พอร์ตชั่วคราว (โดยทั่วไปคือ 1024–65535 สำหรับ Linux และ 49152–65535 สำหรับ Windows) คุณต้องเพิ่มกฎอนุญาตขาออกหรือขาเข้าที่ครอบคลุมช่วงนี้ มิฉะนั้นการตอบกลับจะถูกทิ้ง นี่คือจุดที่มักทำให้เกิดข้อผิดพลาดของ NACL และเป็นเรื่องที่ข้อสอบชอบนำมาทดสอบ

NACL มีประโยชน์อย่างมากเมื่อต้อง บล็อกช่วง IP ทั้งซับเน็ตอย่างรวดเร็วระหว่างเกิดเหตุการณ์ กฎปฏิเสธที่มีหมายเลขต่ำจะหยุดไม่ให้แหล่งที่มานั้นเข้าถึงอินสแตนซ์ใด ๆ ได้ กลุ่มความปลอดภัยทำเช่นนี้ไม่ได้เพราะรองรับเฉพาะการอนุญาต ทำให้ NACL มีคุณค่าสำหรับการจำกัดขอบเขตเหตุการณ์อย่างรวดเร็ว

ให้มอง NACL เป็นเครื่องมือที่ หยาบและครอบคลุมทั้งซับเน็ต ส่วนกลุ่มความปลอดภัยเป็นเครื่องมือที่ ละเอียดและใช้กับทรัพยากรแต่ละรายการ สถาปัตยกรรมส่วนใหญ่พึ่งพากลุ่มความปลอดภัยเป็นหลัก และใช้ NACL อย่างจำกัดสำหรับกรณีที่ต้องปฏิเสธโดยเฉพาะ โดยคงค่าเริ่มต้นให้ผ่อนปรน เว้นแต่จำเป็นต้องบล็อกบางสิ่ง

ผลการตัดสินใจของ NACL เช่นเดียวกับผลการตัดสินใจของ SG จะตรวจสอบได้ผ่าน VPC Flow Logs ซึ่งแสดงผลสุดท้ายว่าอนุญาตหรือปฏิเสธในแต่ละการไหลของข้อมูล Flow Logs ไม่ได้ระบุว่าการควบคุมใดเป็นผู้ตัดสินใจ ดังนั้นการเข้าใจลำดับกฎจึงช่วยให้วิเคราะห์ได้ว่าเหตุใดแพ็กเก็ตจึงถูกปฏิเสธ

ทดสอบความเข้าใจเกี่ยวกับการประเมิน NACL

ACL เครือข่ายเป็นไฟร์วอลล์ที่ ไม่มีสถานะและมีลำดับ อยู่ที่ขอบเขตซับเน็ต และรองรับทั้ง การอนุญาตและการปฏิเสธ กฎมีหมายเลข และ กฎแรกที่ตรงกันจะเป็นผลตัดสิน โดยลงท้ายด้วยดอกจันที่ปฏิเสธทั้งหมดและแก้ไขไม่ได้ NACL ที่กำหนดเองจะปฏิเสธทุกสิ่งจนกว่าจะเพิ่มกฎ เนื่องจากไม่มีสถานะ คุณจึงต้องอนุญาต พอร์ตชั่วคราว สำหรับการรับส่งข้อมูลตอบกลับ ใช้ NACL เพื่อบล็อก IP ที่ไม่ดีในระดับซับเน็ตอย่างครอบคลุมและรวดเร็ว