Salut tout le monde et bienvenue.
Maintenant, dans la vidéo d'aujourd'hui, nous examinons l'aspect déploiement des pare-feu réseau.
Donc, cela va être la session pratique associée au pare-feu réseau.
Maintenant, avant d'aller de l'avant et de le déployer, il y a certaines choses importantes que nous devons comprendre
du point de vue de l'architecture.
Donc, juste l'appareil, le pare-feu réseau protège ces sous-réseaux au sein de votre VPC en filtrant le trafic
entre les sous-réseaux et l'emplacement en dehors de votre VPC.
Par exemple, si vous voyez que vous avez un sous-réseau client ici et que vous avez la passerelle Internet et les ressources
qui font partie du sous-réseau client, vous devez envoyer du trafic vers Internet.
Ainsi, entre le sous-réseau client et la passerelle Internet, vous disposez d'un sous-réseau dédié d'un sous-réseau
de pare-feu où réside le point de terminaison lié au pare-feu de votre réseau.
C'est donc très important.
Vous devez créer un sous-réseau spécifique où réside votre point de terminaison de pare-feu réseau afin qu'il puisse filtrer
le trafic entre la passerelle Internet et votre sous-réseau client, et les règles seraient appliquées en conséquence.
Parlons maintenant rapidement des entrées de la table de routage.
Donc, au niveau du sous-réseau du pare-feu, ce que nous devrons faire, le 10 000 est la route locale par défaut.
C'est bon.
Une route que nous devrons ajouter, qui est le 0000 vers la passerelle Internet, car une fois que le trafic de l'AC vers
l'instance d'un sous-réseau client atteint celui du sous-réseau du pare-feu, le sous-réseau du pare-feu doit avoir
la connexion vers la passerelle Internet afin que il peut envoyer le trafic vers lui.
C'est donc l'une des entrées que vous devrez ajouter dans la table de routage du sous-réseau du pare-feu.
La deuxième entrée de table de routage est liée au sous-réseau client et ce que nous devons faire pour 0000 au lieu de l'envoyer
à la passerelle Internet, vous devrez spécifier le point de terminaison VPC associé au pare-feu
du réseau.
D'accord.
C'est donc la deuxième entrée.
Et la troisième entrée que vous devrez ajouter se situe au niveau de la passerelle Internet.
Vous pouvez donc utiliser une association de périphérie où tout trafic se dirige vers le sous-réseau du client.
Donc, si vous voyez que le sous-réseau du client est dix 020 barre oblique 24.
Ainsi, tout trafic allant vers cela doit aller vers le point de terminaison VPC.
Ainsi, même le trafic entrant de la passerelle Internet vers le sous-réseau du client doit passer par la zone du sous-réseau
du pare-feu.
Ce sont donc les trois entrées de route importantes.
Super.
Faisons donc une chose avant de poursuivre les discussions liées au pare-feu
réseau, préparons l'architecture.
Maintenant, une chose avant de commencer que vous devez vérifier est la tarification du pare-feu réseau.
Donc, chaque fois que vous voyez des services de base de données qui effectuent beaucoup de choses intéressantes, vérifiez toujours
les prix en premier.
Donc, en ce qui concerne la tarification du pare-feu réseau, vous voyez que vous avez un point de terminaison de pare-feu réseau car nous discutions
du fait que vous aurez un point de terminaison dans l'un des sous-réseaux.
Donc, le coût ici est de 0 $. 395 par heure, environ 0 $. 4 par heure.
À ce stade.
Il peut arriver qu'après quelques mois lorsque vous regardez cette vidéo, le prix change,
mais vérifiez simplement le prix avant de créer les ressources ici.
Super.
Maintenant, dans mon environnement d'adresses, passons rapidement au service VPC.
Je clique donc sur Créer un VPC.
Et récemment, ils ont lancé cette nouvelle expérience Créer un VPC.
Ainsi, il devient très simple de lancer un VPC ici.
Ainsi, tout est généré pour vous.
Le nom du VPC est donc Project.
Ce sera le parpaing.
Si vous descendez un peu, vous pouvez spécifier les zones de disponibilité et le nombre de sous-réseaux
publics et privés.
Alors faisons une chose juste pour la simplicité.
Les sous-réseaux publics sélectionneront comme le sous-réseau privé sélectionnera comme zéro.
Vous voyez donc que la configuration globale a changé.
Leur passerelle réseau n'est pas vraiment nécessaire.
Le point de terminaison VPC de S three Gateway n'est pas non plus vraiment nécessaire.
Voici donc les configurations de base ici.
Une fois cela fait, vous pouvez continuer et créer le VPC.
Super.
Notre VPC est donc créé.
Faisons rapidement une vue VPC et voici toutes les configurations ici.
Maintenant, filtrons les choses par notre projet.
VPC Vous devriez donc pouvoir voir le projet VPC ici.
Passons maintenant aux sous-réseaux ici.
Comme prévu, il existe maintenant deux sous-réseaux similaires au diagramme dont nous parlions.
Ce sont deux sous-réseaux ici.
L'un est dédié au sous-réseau du pare-feu.
La seconde est dédiée au sous-réseau du client.
Maintenant, faisons une chose.
Descendons un peu.
Allons aux pare-feux ici.
C'est donc le pare-feu du réseau.
Cliquons sur Créer un pare-feu.
Donnons-lui un nom.
Je dirai Demo Network Firewall.
Vous pouvez sélectionner le VPC.
Dans notre cas, le VPC est associé à une commande de dix 00c.
Je vais sélectionner celui-ci.
Vous pouvez sélectionner la zone de disponibilité.
J'utiliserai la zone de disponibilité de trois ici et il n'y a qu'un seul sous-réseau ici qui sera sélectionné.
Descendons un peu.
La section suivante est associée à la politique de pare-feu en discutera dans un instant.
Mais à ce stade, sélectionnons créer une stratégie de pare-feu vide associée qui convient parfaitement.
Ensuite, vous avez une protection contre la suppression au cas où si vous en avez besoin, je vais simplement la désélectionner et je vais également désélectionner la
protection contre les changements de sous-réseau, principalement parce qu'il s'agit d'un environnement de test pour l'environnement de protection, vous
pouvez avoir une protection contre la suppression, etc.
Une fois cela fait, vous pouvez continuer et créer un pare-feu.
D'accord.
Il ne se crée donc pas.
Donc, nous avons peut-être manqué une chose.
Remontons rapidement un peu pour comprendre.
Il indique qu'un nom de ressource doit être défini.
Alors descendons un peu.
Et voici le nom de la politique de pare-feu que nous n'avons pas répété.
Nous discuterons des politiques de pare-feu dans un instant.
Appelons cela simplement la politique de pare-feu.
Descendons un peu.
Nous allons créer un pare-feu.
D'accord.
Donc, à ce stade, il est dans l'état de provisionnement.
Et même à partir d'ici, si nous ouvrons rapidement le pare-feu, vous voyez qu'il est dans l'état de provisionnement.
Maintenant, si vous voyez qu'il existe plusieurs options dans le pare-feu du réseau.
Vous avez un pare-feu, vous avez des politiques de pare-feu et vous avez les groupes de règles de pare-feu réseau.
Alors allons-y et comprenons chacun d'eux jusqu'au moment où notre pare-feu réseau est provisionné.
Maintenant, comme ce que nous examinions dans la console, il existe trois principaux types de ressources
que le pare-feu réseau gère.
Vous avez un pare-feu, vous avez une politique de pare-feu et vous avez le groupe de règles.
Commençons donc par le Rule Group Warrior.
Le groupe de règles définit donc essentiellement l'ensemble de règles à mettre en correspondance avec le trafic VPC et les actions à entreprendre lorsque
le pare-feu du réseau trouve une correspondance.
Maintenant, dans la vidéo de démonstration, nous parlions des règles liées à la façon dont les domaines sont bloqués, comment les adresses IP sont
bloquées.
Donc, toutes ces règles où vous spécifiez Facebook. com, Twitter. com, les adresses IP, toutes ces choses sont
ajoutées dans le cadre du groupe de règles.
Ceci est une partie.
La deuxième partie est liée à la politique de pare-feu.
Dans la politique de pare-feu, vous pouvez avoir un ou plusieurs groupes de règles, vous pouvez donc ajouter un ensemble de groupes de règles
dans une politique de pare-feu.
Et il existe quelques autres configurations et paramètres que vous pouvez également ajouter à Warrior.
Et troisièmement, le pare-feu, qui fournit la logique de filtrage du trafic pour les sous-réseaux du VPC.
Notez également que la stratégie de pare-feu est associée au pare-feu.
Maintenant, dans notre console, notre pare-feu réseau est toujours à l'état de provisionnement.
C'est bien parce que nous devons encore faire plusieurs choses comme les entrées de la table racine et ainsi de suite jusqu'au
moment où il est dans l'état de provisionnement, allons-y et créons rapidement un nouveau groupe de règles.
Je vais donc créer un groupe de règles ici.
Vous avez maintenant l'option du groupe de règles avec état ainsi que du groupe de règles sans état.
Je vais juste créer un groupe de règles.
Appelons cela un filtre de domaine.
Vous pouvez donner une capacité ici.
Je dirai juste cinq.
Et ici, il existe plusieurs façons de spécifier comme la valeur de tuple.
Vous devez spécifier l'adresse IP source, l'adresse IP de destination du port source, le protocole du port de destination, etc.
La liste de domaine et le serveur sont compatibles.
Les règles IPS utiliseront la liste de domaines ici et le nom de domaine que vous pouvez dire facebook. com et précisons également Twitter.
com.
D'accord.
Vous pouvez spécifier les protocoles, HTTP, https, et vous pouvez spécifier les actions si le trafic vers celui-ci
doit être autorisé ou refusé.
Je dirai donc simplement refuser et nous créerons un groupe de règles avec état ici.
Maintenant, ce groupe de règles que nous avions créé, il doit être associé au niveau de la politique de pare-feu.
Avant de faire cela, créons également un autre groupe de règles ici.
Ici, je sélectionnerai le groupe de règles sans état dans le nom, je dirai le filtre IP dans la capacité.
Vous pouvez simplement lui donner un fichier comme point de départ.
Et dans les règles ici, vous pouvez sélectionner les protocoles au cas où il y aurait beaucoup de protocoles
disponibles.
Vous voyez, il y a tellement de protocoles qui sont disponibles ici.
Alors celui-ci en est un.
La deuxième est la source.
Permettez-moi de dire 8888 destination 0000/0.
Allons-y.
Un peu vers le bas.
Dans les actions que vous pouvez faire après la chute.
Je dirai simplement laisser tomber.
Je vais ajouter une règle et nous avons une règle qui est disponible.
Je clique sur Créer un groupe de règles sans état.
D'accord.
Donc, à ce stade, deux groupes de règles sont disponibles.
Désormais, ces groupes de règles peuvent être ajoutés à une stratégie de pare-feu.
Alors allons-y et ajoutons ces deux groupes de règles à notre politique de pare-feu.
Et actuellement, nous avons cette politique de pare-feu qui est disponible.
Je vais sélectionner ça.
Il y a ces deux groupes de règles ici.
Nous avons un filtre de domaine et un filtre IP.
Et parallèlement à cela, vous avez également une certaine liste de groupes de règles disponibles au cas où vous le souhaiteriez, vous pouvez
la sélectionner.
Je ne l'utiliserai pas pour la démo d'aujourd'hui.
Descendons un peu.
Je clique sur suivant.
Il vous suffit donc de vérifier le nombre de groupes de règles ajoutés.
Dans ce cas c'est à.
Et puis cliquez sur Ajouter un groupe de règles à la politique de pare-feu.
Super.
Maintenant que nous en discutons, vous avez vos groupes de règles, vous avez également les groupes de règles de gestion.
C'est donc très utile dans les entreprises.
Mais pour notre environnement de test, nous allons rester simple.
Descendons un peu.
Passons aux pare-feu et notre point de terminaison de pare-feu est prêt.
Maintenant, si vous ouvrez rapidement ceci, descendons un peu.
Examinons les détails du pare-feu.
Descendons un peu ici.
Vous verrez que notre pare-feu est associé à ce VPC et qu'il existe un sous-réseau se terminant par BD huit, qui est essentiellement
le sous-réseau du pare-feu.
Et c'est l'ID du point de terminaison.
Maintenant, dans les entrées de la table ronde, nous discutions de la façon dont le trafic du sous-réseau du client
doit aller vers le point de terminaison, le trafic en particulier celui qui va vers Internet.
Et il en va de même pour la passerelle Internet.
Le trafic qui va vers le sous-réseau du client doit passer par le point de terminaison du VPC.
C'est donc quelque chose que nous devrons ajouter.
Maintenant, faisons une chose.
Allons mieux.
Cherchons par notre projet VPC.
Passons aux sous-réseaux.
Deux sous-réseaux sont disponibles.
Si j'ouvre rapidement l'un des sous-réseaux.
Examinons la table ronde ici.
Il y a deux table ronde 14000, qui est vers la passerelle Internet et le deuxième sous-réseau.
Encore une fois, il a la même table ronde, alors nous devrons modifier cela maintenant avant de le modifier.
Vérifions à nouveau rapidement dans quel sous-réseau le pare-feu réseau est créé.
Ouvrons à nouveau les détails de la fibre et c'est en huit.
Donc huit est le deuxième.
Donc, le premier associé au 3v1, ce sera notre sous-réseau client où nous lancerons une
instance AC deux.
Donc, ce que nous devons faire pour ce sous-réseau spécifique, qui sera le sous-réseau client, en fait, vous
pouvez également le renommer.
Appelons-le simplement sous-réseau client.
C'est donc plus facile à identifier.
Pour cela, nous devrons ajouter l'entrée de la table ronde.
Alors faisons ça.
Ainsi, dans la table ronde va rapidement créer une nouvelle table ronde.
Je dirai sous-réseau client.
Il sera associé à notre projet VPC.
Je vais créer une table ronde et dans cette table ronde, il y a une route par défaut de dix zéro zéro 16, que nous voyons également
dans ce diagramme.
C'est bon.
La prochaine route dont nous avons besoin vers la destination d'Internet et elle devrait aller vers le point de terminaison VPC.
Nous allons donc modifier les itinéraires.
Ajoutons une nouvelle route vers Internet et elle devrait aller vers le point de terminaison, qui est notre point de terminaison VPC ici et
je clique sur Enregistrer.
D'accord?
Et nous devons associer cela à notre sous-réseau.
Ajoutons-le et nous l'associerons à notre sous-réseau client.
Super.
Maintenant, à partir de ces sous-réseaux, vérifions rapidement.
Ainsi, à partir d'une enquête auprès des clients, examinez la table ronde.
Il existe deux routes, une vers le local et la seconde vers le point de terminaison du VPC.
Notre partie sous-réseau client est donc terminée.
La partie suivante est également le sous-réseau du pare-feu.
Ainsi, dans la table de routage, vous pouvez soit utiliser la table de routage par défaut, soit simplement créer une nouvelle table de
routage et créer une nouvelle table ronde afin qu'elle soit plus facile à comprendre.
Je dis donc table de routage du pare-feu.
Celle-ci serait associée au projet VPC.
Je clique sur Créer une table de routage.
Allons-y et modifions les itinéraires.
Je vais ajouter un autre itinéraire.
Référons-nous à un schéma.
Ainsi, la route de 0000 devrait aller vers la passerelle Internet.
Nous allons donc l'utiliser.
Ainsi, la route zéro zéro doit aller vers la passerelle Internet et je clique sur Enregistrer les modifications.
Super.
Et la troisième route est associée à la passerelle Internet.
Vous pouvez donc utiliser l'association Edge là où tout trafic allant vers le sous-réseau client doit aller vers le
point de terminaison VPC.
Donc, ce que vous pouvez faire, vous pouvez rapidement ouvrir le sous-réseau, obtenir la plage C.
Voici donc la gamme C, copions ceci.
Créons une table ronde.
Je vais juste l'appeler comme ICW.
La table racine l'associera à notre projet VPC et nous créerons cette table.
Une table ronde est donc créée.
Cette fois, nous utiliserons l'association d'âge.
Associons-le à la passerelle Internet.
Et dans les notes, nous ajouterons le CAGR de notre sous-réseau client.
La cible cette fois serait le point de terminaison du VPC.
Comme vous le voyez, la cible serait le point de terminaison du VPC.
C'est ce que nous allons faire.
Nous allons cliquer sur Enregistrer les modifications.
Parfait.
Ainsi, toutes nos entrées de table ronde sont maintenant créées.
Alors maintenant, afin de tester les choses qui fonctionnent comme prévu,
ouvrons rapidement la console facile et lançons une nouvelle instance.
Nous l'appelons simplement sous-réseau client.
AC deux descendons un peu.
Dans le gardien, vous pouvez soit sélectionner la clé, soit continuer sans le clavier.
Je vais juste sélectionner la clé pour le moment.
Allons un peu plus loin dans les paramètres réseau.
Nous devrons le modifier pour qu'il utilise un projet VPC et qu'il utilise notre sous-réseau, qui est le sous-réseau client, pour nous assurer qu'il
se lance dans le sous-réseau client au sein de l'adresse IP automatique et publique.
Je dirai simplement activer et nous cliquerons sur l'instance de lancement.
D'accord.
Nous obtenons donc une erreur indiquant que le type d'instance demandé n'est pas pris en charge dans cette zone de disponibilité.
D'accord.
Modifions donc la configuration de l'instance.
Descendons un peu cette fois au lieu de PT vers micro car il ne semble pas être disponible à Osaka dans cette
zone de disponibilité spécifique.
Allons-y pour un type d'instance complètement différent.
Je vais juste essayer de savoir.
Grand.
Voyons s'il est disponible.
Et oui, il est disponible.
Encore une fois, c'est un apprentissage important que tous les types d'instance ne sont pas disponibles dans toutes les
régions.
Vous devrez donc vérifier généralement si vous utiliserez la Virginie du Nord, l'Ohio et d'autres régions, vous ne verrez
pas vraiment de problème.
Mais dans certaines des régions les plus récentes, c'est l'un des problèmes auxquels vous serez généralement confronté de toute façon.
Ouvrons donc notre ESI à l'instance.
Il est donc dans la phase d'initialisation maintenant jusqu'au moment où les instances s'initialisent.
Faisons une chose pour le groupe de sécurité associé à cette instance facile, il y a un port de
22 qui est autorisé.
Modifions rapidement le groupe de sécurité.
Je vais modifier les règles entrantes.
Ajoutons une nouvelle règle.
Je dirai tout le trafic autorisé de tous, puis supprimerai la règle précédente de 22 et je cliquerai sur Enregistrer.
Super.
Revenons aux instances et la statistique est passée ici.
Alors faisons une chose.
Copions l'adresse IP publique de l'instance.
Et à partir d'un sceau, je vais aller de l'avant et essayer de le cingler.
Et comme prévu, nous pouvons nous connecter à l'instance.
Alors allons-y et essayons de faire un SSH.
Super.
Nous sommes donc maintenant connectés à l'instance AC deux.
À partir de là, vérifions rapidement si nous sommes en mesure de nous connecter aux serveurs comme Facebook en utilisant Ping et que cela
fonctionne comme prévu.
Faisons maintenant un appel avec le trait d'union A sur le facebook https. com.
Et comme prévu, vous n'obtenez pas vraiment de réponse.
Faisons un contrôle c.
Essayons également Twitter et
comme prévu, vous ne recevez aucune réponse.
Maintenant, que pouvez-vous faire pour vérifier si cela fonctionne vraiment comme prévu.
Passons aux groupes de règles ici et dans le filtre de domaine.
Supprimons ces domaines.
Supprimons l'un des domaines.
Disons que je vais supprimer Twitter.
D'accord.
Parfait.
Alors à partir de l'argile, nettoyons l'écran.
Et après quelques secondes, notez qu'il faut un peu de temps en secondes pour que les règles soient reflétées.
Alors maintenant, si je fais un objectif, vous voyez que cela fonctionne parfaitement bien et nous recevons une réponse en retour.
De même, nous avions également une règle sans état qui bloquerait le trafic vers l'adresse IP 8888.
Et vous voyez, nous n'obtenons pas vraiment de réponse.
Super.
Voilà donc la vue d'ensemble de haut niveau sur le pare-feu réseau.
Encore une fois, la vidéo a duré un peu plus longtemps, mais comme il y avait beaucoup de choses en
jeu et que nous parlions de tout et de rien, pratiquement, cela a pris un peu de temps.
Maintenant, une dernière chose à noter est qu'au départ, cela peut sembler un peu déroutant car il y a tellement
de choses impliquées liées aux entrées de route, liées aux concepts de pare-feu réseau, etc.
Mais une fois que vous l'aurez implémenté, les choses deviendront beaucoup plus simples.
Encore une fois, notez qu'avant de conclure la vidéo, assurez-vous de supprimer toutes les ressources
que vous avez créées.
Sinon, vous obtiendrez une facture plus élevée inattendue.
Maintenant, laissez-moi vous montrer rapidement comment vous pouvez supprimer le pare-feu du réseau.
Donc, si vous essayez de le supprimer directement, cela pourrait entraîner une erreur.
Essayons.
Et comme prévu, il est en cours de modification et indique qu'il est incapable de répondre à la demande car les points de terminaison
VPC existent toujours dans les tables de routage.
Vous devez donc supprimer les entrées de point de terminaison VPC de la table de route.
Faisons cela rapidement.
Donc, à partir de notre VPC personnalisé, passons aux sous-réseaux et à partir du sous-réseau client, nous avons eu cette entrée de table ronde
et la même chose au niveau de la passerelle Internet.
Alors supprimons cela rapidement.
Donc, au niveau de la passerelle Internet, supprimons la route.
Je vais supprimer la route du point de terminaison VPC.
Retournons.
De la même manière.
Au niveau du sous-réseau client.
Supprimons la route.
Et une fois les entrées de route supprimées, si vous essayez de supprimer le fichier, eh bien, essayons une fois de plus.
Vous voyez, cette fois, cela fonctionne parfaitement bien.
Supprimons le message d'erreur précédent afin que la suppression soit en cours.
D'accord.
De même, assurez-vous de supprimer également le VPC personnalisé et les deux instances AC qui ont été créées.
Voilà donc la vue d'ensemble de haut niveau.
Et avec cela se terminera enfin la vidéo d'aujourd'hui.