Sicherheitsgruppen (SGs) und Network Access Control Lists (NACLs) sind die Funktionen, die mit Virtual Private Cloud (VPC) in Amazon Web Services (AWS) geliefert werden.
SG fungiert als Firewall für unsere Instanz, um eingehenden und ausgehenden Datenverkehr zu kontrollieren oder einzuschränken. Wenn wir eine Instanz in einer VPC starten, können wir der Instanz bis zu fünf Sicherheitsgruppen zuweisen. Sicherheitsgruppen agieren auf Instanzebene und nicht auf Subnetzebene. Wenn wir beim Start keine bestimmte Gruppe angeben, wird die Instanz automatisch der Standardsicherheitsgruppe der VPC zugewiesen.
Wir können Regeln in der SG hinzufügen, die den eingehenden Datenverkehr zu Instanzen steuern, und einen separaten Regelsatz, der den ausgehenden Datenverkehr steuert.
Eine NACL ist eine optionale Sicherheitsebene für die VPC, die als Firewall fungiert, um den Datenverkehr in und aus einem oder mehreren Subnetzen zu kontrollieren. Wir können NACLs mit ähnlichen Regeln wie SGs einrichten, um dem Subnetz eine zusätzliche Sicherheitsebene hinzuzufügen.
Bevor wir mit der Erstellung einer SG und einer NACL fortfahren, sehen wir uns den Unterschied zwischen beiden an.
- SG arbeitet auf Instanzebene, während NACL auf Subnetzebene arbeitet.
- SG unterstützt nur Allow-Regeln und NACL unterstützt Allow- und Deny-Regeln.
- SG wertet alle Regeln aus, bevor entschieden wird, ob Datenverkehr zugelassen wird, und in NACL-Regeln werden sie in numerischer Reihenfolge verarbeitet, wenn entschieden wird, ob Datenverkehr zugelassen wird.
- SG wird nur dann auf eine Instanz angewendet, wenn jemand die Sicherheitsgruppe angibt, während NACL automatisch auf alle Instanzen in den Subnetzen angewendet wird, denen sie zugeordnet ist.
In diesem Artikel sehen wir die Schritte zum Erstellen einer SG und einer NACL.
Voraussetzungen
- AWS-Konto (erstellen, falls Sie noch keins haben).
Was werden wir tun?
- Melden Sie sich bei AWS an.
- Erstellen Sie eine Sicherheitsgruppe
- Erstellen Sie eine Netzwerkzugriffskontrollliste.
Melden Sie sich bei AWS an
- Klicken Sie hier, um zur AWS-Anmeldeseite zu gelangen.
Wenn wir auf den obigen Link klicken, sehen wir eine Webseite wie folgt, auf der wir uns mit unseren Anmeldedaten anmelden müssen.
Sobald wir uns erfolgreich bei AWS angemeldet haben, sehen wir die Hauptkonsole mit allen Diensten, die wie folgt aufgelistet sind.
Erstellen Sie eine Sicherheitsgruppe
Um eine SG zu erstellen, klicken Sie auf „Service“ in der oberen Menüleiste, suchen Sie nach „VPC“ und klicken Sie auf das Ergebnis.
Klicken Sie im Haupt-VPC-Dashboard im linken Bereich auf „Sicherheitsgruppe“, um Ihre erste Sicherheitsgruppe zu erstellen.
Klicken Sie auf „Sicherheitsgruppe erstellen“, um sie zu erstellen.
Geben Sie der zu erstellenden Sicherheitsgruppe einen Namen und eine Beschreibung, die helfen kann, den Zweck zu verstehen.
Sobald die Sicherheitsgruppe erstellt wurde, können Sie den folgenden Bildschirm sehen. Klicken Sie auf den Sicherheitsgruppen-ID-Link, um zur SG zu gehen und eingehende und ausgehende Regeln hinzuzufügen.
Klicken Sie hier auf "Eingehende Regeln", die im unteren Menü neben der Beschreibung verfügbar sind, und klicken Sie auf "Regeln bearbeiten", um Regeln in dieser SG hinzuzufügen.
Sie können den Typ der hinzuzufügenden Regel, ihren Port/Portbereich auswählen. In Quelle können Sie entweder "Meine IP", "Benutzerdefiniert" oder "Anywhere" auswählen, dies entscheidet, welche Quelle zugelassen wird. Fügen Sie eine Beschreibung hinzu, die hilft, den Zweck der hinzugefügten Regel zu verstehen. Wenn Sie mit dem Hinzufügen der gewünschten Regel fertig sind, klicken Sie auf "Regeln speichern".
So wie wir eingehende Regeln hinzugefügt haben, können auch ausgehende Regeln hinzugefügt werden.
Erstellen Sie eine Netzwerkzugriffskontrollliste
Um eine NACL zu erstellen, klicken Sie im linken Bereich auf "Netzwerk-ACLs".
Geben Sie der NACL einen Namen und wählen Sie die VPC aus, auf die diese NACL angewendet werden soll, und klicken Sie auf Erstellen.
Wählen Sie die soeben erstellte NACL aus und klicken Sie im unteren Menü auf "Eingehende Regeln".
Regelnummer hinzufügen, die über die Priorität gegenüber anderen Regeln entscheidet. Die niedrigste Nummer hat die höchste Priorität. Hier hat die erste Regel Priorität 1 für Port 22 als Verweigern. Dies bedeutet, dass selbst wenn die zweite Regel Allow for all (0.0.0.0/0) mit niedrigerer Priorität hat, diese zweite Regel keine Auswirkung auf die Quelle der ersten Regel hat und die Quelle der ersten Regel weiterhin verweigert. Seien Sie sehr vorsichtig, wenn Sie ihnen Regeln und Regelnummern hinzufügen. Wenn Sie alle erforderlichen Regeln hinzugefügt haben, klicken Sie auf "Erstellen".
Sie können denselben Schritten folgen, um ausgehende Regeln hinzuzufügen.
Schlussfolgerung
In diesem Artikel haben wir die Schritte zum Erstellen einer SG und einer NACL gesehen. Das Erstellen einer SG oder NACL ist sehr einfach, aber seien Sie sehr vorsichtig beim Hinzufügen der Regeln zu ihnen und insbesondere zu NACL.