Ağ ACL'leri Alt Ağları Nasıl Filtreler

Ağ ACL'si (NACL), alt ağ sınırında çalışan bir güvenlik duvarıdır. Bir alt ağa giren veya alt ağdan çıkan her paket, hangi örneğin gönderdiğinden ya da aldığından bağımsız olarak o alt ağla ilişkilendirilmiş NACL'ye göre değerlendirilir. Güvenlik gruplarıyla birlikte ağ savunmasının ikinci katmanını oluşturur.

NACL kuralları numaralandırılır ve artan sırayla değerlendirilir. AWS, 200 numaralı kuraldan önce 100 numaralı kuralı denetler ve değerlendirmeyi durdurarak eşleşen ilk kuralı uygular. Bu sıralama, tüm kuralların öncelik olmadan birleştiği güvenlik gruplarının tersidir. Daha sonra araya kural ekleyebilmek için aralık bırakın (100, 200, 300).

Güvenlik gruplarının aksine NACL'ler hem izin verme hem de reddetme kurallarını destekler. Böylece belirli bir kötü amaçlı IP'yi veya CIDR aralığını doğrudan engelleyebilirsiniz; güvenlik grubu bunu yapamaz. Yaygın bir yaklaşım, daha geniş izin kurallarından önce düşük numaralı bir kuralla bilinen kötü bir kaynağı reddetmektir.

Her NACL'nin, her birinin kendi numaralandırmasına sahip bağımsız gelen ve giden kural kümeleri vardır. NACL'ler durum bilgili olmadığından, dönüş trafiği de dahil olmak üzere her iletişimin her iki yönünü açıkça ele almanız gerekir.

Bir VPC ile oluşturulan varsayılan NACL, gelen ve giden tüm trafiğe izin verir; bu nedenle fiilen şeffaftır. Oluşturduğunuz özel NACL, izin kuralları ekleyene kadar her iki yöndeki trafiği reddederek başlar. Açık bir ilişkilendirmesi olmayan alt ağlar varsayılan NACL'yi kullanır.

Bir alt ağ aynı anda tam olarak bir NACL ile ilişkilendirilebilir; ancak bir NACL birçok alt ağı koruyabilir. Bu, bir kaynağın birden çok güvenlik grubuna sahip olabildiği güvenlik gruplarındaki durumun tersidir. NACL'ler alt ağdaki her şeye geniş kapsamlı biçimde uygulanır ve bu nedenle kaba bir denetim sağlar.

Her NACL, numaralı bir kuralla eşleşmeyen her şeyi reddeden örtük bir * kuralıyla sona erer. Bu kuralı düzenleyemez veya kaldıramazsınız. Bir paket tüm numaralı kurallardan geçerse yıldız kuralı tarafından reddedilir; bu nedenle gerekli bir izin kuralını unutmak trafiği sessizce keser.

NACL'ler durum bilgili olmadığından dönüş trafiği geçici portları kullanır (Linux için genellikle 1024–65535, Windows için 49152–65535). Bu aralığı kapsayan giden veya gelen izin kuralları eklemelisiniz; aksi takdirde yanıtlar atılır. Bu, sınavın test etmeyi sevdiği klasik NACL tuzağıdır.

NACL'ler, bir olay sırasında bir IP aralığını tüm alt ağ genelinde hızlıca engellemeniz gerektiğinde öne çıkar. Düşük numaralı bir reddetme kuralı, bu kaynağın herhangi bir örneğe ulaşmasını engeller. Güvenlik grupları yalnızca izin verebildiğinden bunu yapamaz; bu da NACL'leri hızlı sınırlama için değerli kılar.

NACL'leri kaba ve alt ağ genelinde uygulanan bir araç, güvenlik gruplarını ise ayrıntılı ve kaynak başına kullanılan bir araç olarak düşünün. Çoğu mimari öncelikle güvenlik gruplarına dayanır ve NACL'leri açık reddetme senaryolarında sınırlı kullanır; belirli bir engelleme gerekmediği sürece varsayılanı izin verici tutar.

SG kararları gibi NACL kararları da her akış için nihai kabul veya ret sonucunu gösteren VPC Akış Günlükleri aracılığıyla gözlemlenir. Akış Günlükleri, kararı hangi denetimin verdiğini söylemez; bu nedenle bir paketin neden reddedildiğini anlamak için kural sırasını bilmek önemlidir.

NACL değerlendirmesini ne kadar anladığınızı test edin.

Ağ ACL'leri, alt ağ sınırında bulunan, hem izin verme hem de reddetmeyi destekleyen durum bilgili olmayan ve sıralı güvenlik duvarlarıdır. Kurallar numaralandırılır ve ilk eşleşme uygulanır; değerlendirme düzenlenemeyen, her şeyi reddeden yıldız kuralıyla sona erer. Özel NACL'ler siz kural ekleyene kadar her şeyi reddeder. Durum bilgili olmadıkları için dönüş trafiğinde geçici portlara izin vermelisiniz. Kötü amaçlı IP'leri alt ağ genelinde kaba ve hızlı biçimde engellemek için bunları kullanın.