Ağ ACL'leri ve Güvenlik Grupları

AWS, bir VPC içinde birbirinden farklı iki güvenlik duvarı mekanizması sunar. Security Group'lar Instance düzeyinde (teknik olarak ENI düzeyinde) çalışır ve durum bilgili yapıdadır. Network Access Control List'leri (NACL'ler) alt ağ düzeyinde çalışır ve durum bilgisizdir. Her ikisi de bir alt ağa ve onunla ilişkilendirilmiş Instance'lara giren veya bunlardan çıkan tüm trafik için değerlendirilir. İkisini birlikte kullanmak, derinlemesine savunma sağlar: alt ağ sınırında ilk katman olarak NACL'ler, Instance başına güvenlik duvarı olarak Security Group'lar. SAA-C03 sınavında bu iki mekanizma sıkça karşılaştırılır.

Bir Network ACL (NACL), bir alt ağın sınırını geçen tüm trafiğe uygulanan numaralı bir kural listesidir. NACL'ler durum bilgisizdir; her paket bağımsız olarak değerlendirilir. Gelen TCP 80 bağlantı noktasına izin verirseniz yanıtın alt ağdan çıkabilmesi için dışa doğru dönüş trafiğine (geçici bağlantı noktaları 1024-65535) açıkça izin vermeniz gerekir. Kurallar sayısal sırayla (en düşük numaradan başlayarak) değerlendirilir; ilk eşleşen kural uygulanır ve başka kural kontrol edilmez. Her VPC, varsayılan olarak gelen ve giden tüm trafiğe izin veren bir NACL ile birlikte gelir.

NACL kuralları artan kural numarası sırasıyla (1'den 32766'ya kadar) değerlendirilir ve bir kural eşleştiği anda değerlendirme durur. Aynı trafik için daha düşük numaralı bir Allow kuralı, daha da düşük numaralı bir Deny kuralı tarafından geçersiz kılınabilir. AWS, daha sonra araya kural eklemeye yer bırakmak için kural numaralarının 10 veya 100'lük artışlarla verilmesini önerir. Her NACL, açık kurallardan hiçbiriyle eşleşmeyen tüm trafiği engelleyen bir varsayılan kuralla (* DENY) sona erer. Bu tümünü yakalayan kural düzenlenemez veya silinemez.

NACL'ler durum bilgisiz olduğundan her bağlantının her iki yönünü hesaba katmanız gerekir. İnternetteki bir istemci EC2 Instance'ınıza 443 numaralı bağlantı noktası üzerinden bağlandığında Instance, yanıtı istemcinin geçici bağlantı noktasına (Linux'ta genellikle 1024-65535, Windows'ta 49152-65535 aralığındaki rastgele yüksek bir bağlantı noktası) gönderir. NACL'nizin dışa doğru kuralları bu aralığa açıkça izin vermelidir. Yaygın bir NACL yapılandırma hatası, gelen 443 bağlantı noktası için bir Allow kuralı oluşturup dışa doğru geçici bağlantı noktalarına izin vermeyi unutmaktır; bu durumda bağlantılar kurulur ancak yanıtlar sessizce bırakılır.

Hatırlatma olarak: Security Group'lar Instance'lara (veya ENI'lere) eklenir, yalnızca açık Allow kurallarına izin verir (Deny yoktur), durum bilgili yapıdadır (izin verilen gelen trafiğe verilen yanıtlar, bir kural olmadan otomatik olarak dışa doğru izinli olur) ve eklenmiş tüm kuralları OR mantığıyla birlikte değerlendirir. Diğer Security Group ID'lerini kaynak veya hedef olarak belirtebilirsiniz; bu, IP aralıklarını kullanmaya göre daha kolay yönetilir. Security Group'lar Instance düzeyinde erişim denetimi için birincil mekanizmadır; NACL'ler ise ek bir alt ağ düzeyi katmanı sağlar.

Sınav için kritik karşılaştırma:

• Düzey: NACL = alt ağ; SG = Instance (ENI)
• Durum: NACL = durum bilgisiz; SG = durum bilgili
• Kurallar: NACL = Allow VE Deny; SG = yalnızca Allow (örtük deny)
• Değerlendirme: NACL = sırayla (ilk eşleşme kazanır); SG = tüm kurallar değerlendirilir (herhangi bir Allow kazanır)
• Kapsam: NACL alt ağdaki tüm Instance'lara uygulanır; SG yalnızca ilişkilendirilmiş Instance'lara uygulanır
• Gelen/Giden: NACL'in her iki yönde de açık kurallara ihtiyacı vardır; SG durum bilgili olduğundan yanıtlar için yalnızca gelen kurallar gerekir

NACL'leri şu amaçlarla kullanın: Belirli IP'leri engelleme (Security Group'lar engelleyemez, yalnızca izin verir; NACL'ler bilinen kötü amaçlı IP'leri veya veri kazıyıcıları engellemek için açık Deny kuralları ekleyebilir). Alt ağ genelinde kurallar (tek tek Security Group'lara dokunmadan aynı kuralı bir alt ağdaki tüm Instance'lara uygulamak). Ek savunma katmanı (bir Security Group yanlış yapılandırma sonucunda erişimi yanlışlıkla açarsa alt ağ sınırındaki bir NACL Deny kuralı trafiği yine de engelleyebilir). Uygulamada ekiplerin çoğu erişimi öncelikle Security Group'lar üzerinden yönetir ve NACL'leri yalnızca açık IP engelleme için kullanır.

Varsayılan NACL (her VPC ile birlikte oluşturulur), gelen ve giden tüm trafiğe izin verir; 100 numaralı All Inbound Allow ve 100 numaralı All Outbound Allow kurallarına sahiptir. Özel bir NACL ile açıkça ilişkilendirilmemiş alt ağlar varsayılan NACL'i kullanır. Bir özel NACL oluşturduğunuzda yalnızca varsayılan Deny-All kuralıyla (kural *) başlar ve siz açık Allow kuralları ekleyene kadar tüm trafiği engeller. Bu nedenle yeni bir özel NACL'i bir alt ağa ilişkilendirmek tüm trafiği hemen engeller; üretim alt ağlarıyla ilişkilendirmeden önce Allow kurallarını eklediğinizden emin olun.

Bir EC2 Instance'ına gelen trafik için trafik önce alt ağ sınırındaki NACL'den geçer (kural sırasına göre değerlendirilir). NACL trafiğe izin verirse trafik daha sonra Instance üzerindeki Security Group'a ulaşır; Security Group'un da trafiğe izin vermesi gerekir. Trafiğin Instance'a ulaşabilmesi için her ikisinin de izin vermesi şarttır. Giden trafikte önce Security Group değerlendirilir (durum bilgili olduğundan izin verilen gelen trafiğe yanıt niteliğindeyse izin verir), ardından NACL değerlendirilir (durum bilgisiz olduğundan açık bir dışa doğru Allow kuralı bulunmalıdır). Bu sırayı anlamak, durum bilgili Security Group'lar kullanılsa bile durum bilgisiz NACL'lerde dönüş trafiği kurallarının neden gerekli olduğunu açıklar.

NACL'ler, durum bilgisiz yapıları nedeniyle çözümlemesi zor ağ sorunlarının yaygın bir kaynağıdır. Belirtiler şunlardır: bağlantılar kurulur ancak veri akışı durur (dışa doğru geçici bağlantı noktası kuralı eksiktir); trafik yalnızca tek yönde akar (gelen veya giden kural unutulmuştur); belirli IP'ler bağlanamaz (Allow kuralından önce daha düşük numaralı bir Deny kuralı eşleşmektedir). Hata ayıklama yöntemi: paketlerin NACL düzeyinde ACCEPT veya REJECT olup olmadığını görmek için VPC Flow Logs kullanın. Akış günlüğü reddedilen paketleri ve bunların kaynağını/hedefini göstererek eksik kuralı belirlemenize yardımcı olur.

Çok katmanlı VPC güvenliği için önerilen model şöyledir: Genel alt ağlardaki NACLs, internetten yalnızca 80, 443 ve gerekli geçici bağlantı noktalarına izin verir; diğer her şeyi reddeder. ALB üzerindeki genel alt ağ güvenlik grupları, 0.0.0.0/0 üzerinden 80/443 bağlantılarına izin verir. Özel uygulama güvenlik grupları yalnızca ALB güvenlik grubu kimliğinden gelen bağlantılara izin verir. Özel veri güvenlik grupları yalnızca uygulama güvenlik grubu kimliğinden gelen bağlantılara izin verir. Bu katmanlı savunma yaklaşımı, bir katman yanlış yapılandırılsa bile başka bir katmanın koruma sağlamasını güvence altına alır; bu ilkeye her katmanda en az erişim adı verilir.

Bu dersteki AWS Solutions Architect (SAA-C03) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: NACLs, numaralandırılmış sıraya göre değerlendirilen hem Allow hem de Deny kurallarını destekleyen, durum bilgisi tutmayan alt ağ düzeyinde güvenlik duvarlarıdır; güvenlik grupları, yalnızca Allow kurallarına sahip, tüm kuralların birlikte değerlendirildiği, durum bilgisi tutan bulut sunucusu düzeyinde güvenlik duvarlarıdır; ayrıca açık IP engelleme ve alt ağ genelindeki kurallar için NACLs, ayrıntılı bulut sunucusu erişim denetimi için ise güvenlik grupları kullanılmalıdır. Böylece VPC Temelleri modülü tamamlanıyor; sırada AWS üzerinde RDS ve İlişkisel Veritabanlarına ayrıntılı olarak bakacağız.