Ciao a tutti e bentornati.
Ora, nel video di oggi, esaminiamo l'aspetto della distribuzione dei firewall di rete.
Quindi questa sarà la sessione pratica associata al firewall di rete.
Ora, prima di procedere e implementarlo, ci sono alcune cose importanti che dobbiamo capire dal
punto di vista dell'architettura.
Quindi solo il dispositivo, il firewall di rete protegge queste sottoreti all'interno del tuo VPC filtrando il traffico
che passa tra le sottoreti e la posizione al di fuori del tuo VPC.
Ad esempio, se vedi che hai una sottorete del cliente qui e hai il gateway Internet e le risorse che fanno
parte della sottorete del cliente devono inviare del traffico verso Internet.
Pertanto, tra la sottorete del cliente e il gateway Internet, si dispone di una sottorete dedicata di una sottorete
del firewall in cui risiede l'endpoint relativo al firewall di rete.
Quindi questo è molto importante.
È necessario creare una sottorete specifica in cui risiede l'endpoint del firewall di rete in modo che possa filtrare
il traffico che passa tra il gateway Internet e la sottorete del cliente e le regole vengano applicate di conseguenza.
Ora discutiamo rapidamente anche delle voci della tabella di percorso.
Quindi, a livello di sottorete del firewall, quello che dovremo fare, il dieci 000 è il percorso locale predefinito.
Questo va bene.
Dovremo aggiungere un percorso, che è lo 0000 verso il gateway Internet perché una volta che il traffico dall'AC all'istanza
di una sottorete del cliente raggiunge quello della sottorete del firewall, la sottorete del firewall dovrebbe avere
la connessione verso il gateway Internet in modo che può inviare il traffico verso di esso.
Quindi questa è una delle voci che dovrai aggiungere nella tabella di instradamento della sottorete del firewall.
La seconda voce della tabella di instradamento è correlata alla sottorete del cliente e cosa dobbiamo fare per 0000
invece di inviarlo al gateway Internet, dovrai specificare l'endpoint VPC associato al firewall
di rete.
Tutto bene.
Quindi questa è la seconda voce.
E la terza voce che dovrai aggiungere è a livello di gateway Internet.
Quindi puoi utilizzare un'associazione perimetrale in cui tutto il traffico che sta andando verso la sottorete del cliente.
Quindi, se vedrai che la sottorete del cliente è dieci 020 barra 24.
Quindi tutto il traffico che va verso quello dovrebbe andare verso l'endpoint VPC.
Quindi anche il traffico in entrata dal gateway Internet alla sottorete del cliente deve passare attraverso l'area della sottorete
del firewall.
Quindi queste sono le tre voci importanti del percorso.
Grande.
Quindi facciamo una cosa prima di procedere ulteriormente in relazione alle discussioni relative al firewall
di rete, andiamo a preparare l'architettura.
Ora, una cosa prima di iniziare che devi verificare è il prezzo del firewall di rete.
Quindi, ogni volta che vedi alcuni servizi di database che eseguono molte cose interessanti, controlla sempre
prima i prezzi.
Quindi, in relazione al prezzo del firewall di rete, vedi che hai un endpoint del firewall di rete mentre stavamo discutendo
sul fatto che avrai un endpoint in una delle sottoreti.
Quindi il costo qui è di $ 0. 395 all'ora, circa $ 0. 4 all'ora.
In questa fase.
Può succedere che dopo alcuni mesi mentre guardi questo video, il prezzo potrebbe cambiare,
ma basta verificare il prezzo prima di creare le risorse qui.
Grande.
Ora, all'interno del mio ambiente di indirizzi, andiamo rapidamente al servizio VPC.
Quindi farò clic su Crea VPC.
E di recente hanno lanciato questa nuova esperienza Crea VPC.
Quindi in questo modo diventa molto semplice avviare un VPC qui.
Quindi tutto è generato per te.
Quindi il nome del VPC è Project.
Questo sarà il blocco di calcestruzzo.
Se scendi un po', puoi specificare le zone di disponibilità e il numero di sottoreti pubbliche
e private.
Quindi facciamo una cosa solo per semplicità.
Le sottoreti pubbliche selezioneranno la sottorete privata verrà selezionata come zero.
Quindi vedi che la configurazione generale è cambiata.
Il loro gateway di rete non è realmente richiesto.
Anche l'endpoint VPC di S tre Gateway non è realmente richiesto.
Quindi queste sono le configurazioni di base qui.
Una volta fatto, puoi andare avanti e creare il VPC.
Grande.
Così viene creato il nostro VPC.
Facciamo rapidamente una vista VPC e queste sono tutte le configurazioni qui.
Ora filtriamo le cose in base al nostro progetto.
VPC Quindi dovresti essere in grado di vedere il VPC del progetto qui.
Andiamo ora alle sottoreti qui.
Come previsto, ora ci sono due sottoreti simili al diagramma di cui stavamo discutendo.
Sono due sottoreti qui.
Uno è dedicato alla sottorete del firewall.
Il secondo è dedicato alla sottorete del cliente.
Ora, facciamo una cosa.
Scendiamo un po'.
Andiamo ai firewall qui.
Quindi questo è il firewall di rete.
Facciamo clic su Crea firewall.
Diamogli un nome.
Dirò Demo Network Firewall.
Puoi selezionare il VPC.
Nel nostro caso, il VPC è associato a un ordine di dieci 00c.
Selezionerò questo.
È possibile selezionare la zona di disponibilità.
Userò la zona di disponibilità di tre qui e c'è solo una sottorete qui che sarà selezionata.
Scendiamo un po'.
La prossima sezione è associata alla politica del firewall di cui parleremo tra poco.
Ma a questo punto, selezioniamo creare un criterio firewall vuoto associato che va completamente bene.
Quindi hai una protezione dall'eliminazione nel caso in cui, se necessario, la deselezionassi e deselezionai anche la protezione
dalla modifica della subnet, principalmente perché questo è un ambiente di test per l'ambiente di protezione in cui puoi avere
la protezione dall'eliminazione e così via.
Una volta che questo è, puoi andare avanti e creare un firewall.
Tutto bene.
Quindi non viene creato.
Quindi potremmo aver perso una cosa.
Andiamo velocemente un po' su per capire.
Dice che deve essere impostato un nome di risorsa.
Quindi scendiamo un po'.
Ed ecco il nome della politica del firewall che non abbiamo ripetuto.
Tra poco discuteremo di quali politiche del firewall.
Chiamiamola semplicemente la politica del firewall.
Scendiamo un po'.
Creeremo un firewall.
Tutto bene.
Quindi, in questa fase, è nello stato di fornitura.
E anche da qui, se apriremo rapidamente il firewall, vedrai che è nello stato di provisioning.
Ora, se vedrai che ci sono più opzioni all'interno del firewall di rete.
Hai il firewall, hai le politiche del firewall e hai i gruppi di regole del firewall di rete.
Quindi andiamo avanti e comprendiamo ciascuno di essi fino al momento del provisioning del nostro firewall di rete.
Ora, in modo simile a quello che stavamo esaminando nella console, ci sono tre tipi di risorse principali che
il firewall di rete gestisce.
Hai un firewall, hai una politica del firewall e hai il gruppo di regole.
Quindi iniziamo con il Rule Group Warrior.
Quindi Rule Group definisce sostanzialmente l'insieme di regole da confrontare con il traffico VPC e le azioni da intraprendere quando
il firewall di rete trova una corrispondenza.
Ora, nel video dimostrativo stavamo discutendo delle regole relative a come vengono bloccati i domini, come vengono bloccati gli indirizzi
IP.
Quindi tutte quelle regole in cui specifichi Facebook. com, Twitter. com, indirizzi IP, tutte queste cose vengono
aggiunte come parte del gruppo di regole.
Questa è una parte.
La seconda parte è relativa alla politica del firewall.
Nella politica del firewall, puoi avere uno o più gruppi di regole, in modo da poter aggiungere una serie di gruppi di regole in
una politica del firewall.
E ci sono alcune altre configurazioni e impostazioni che puoi aggiungere anche su Warrior.
E il terzo è il firewall, che fornisce la logica di filtraggio del traffico per le sottoreti nel VPC.
Si noti inoltre che la politica del firewall viene associata al firewall.
Ora all'interno della nostra console, il nostro firewall di rete è ancora nello stato di provisioning.
Va bene perché dobbiamo ancora fare più cose come le voci della tabella radice e così via fino al momento
in cui è nello stato di provisioning, andiamo avanti e creiamo rapidamente un nuovo gruppo di regole.
Quindi creerò un gruppo di regole qui.
Ora hai la possibilità di scegliere tra Stateful Rule Group e Stateless Rule Group.
Creerò semplicemente un gruppo di regole.
Chiamiamolo semplicemente un filtro di dominio.
Puoi dare una capacità qui.
Dico solo cinque.
E qui ci sono diversi modi in cui puoi specificare come il valore della tupla.
È necessario specificare l'IP di origine, l'IP di destinazione della porta di origine, il protocollo della porta di destinazione e così via.
L'elenco dei domini e il server sono compatibili.
Le regole IPS utilizzeranno l'elenco dei domini qui e il nome di dominio che puoi dire facebook. com e specifichiamo anche Twitter.
com.
Tutto bene.
Puoi specificare i protocolli, HTTP, https e puoi specificare le azioni se il traffico verso questo deve essere
consentito o negato.
Quindi dirò semplicemente nega e creeremo un gruppo di regole stateful qui.
Ora, questo gruppo di regole che abbiamo creato, deve essere associato a livello di policy del firewall.
Quindi, prima di farlo, creiamo anche un altro gruppo di regole qui.
All'interno di qui, selezionerò il gruppo di regole senza stato all'interno del nome, dirò filtro IP all'interno della capacità.
Puoi semplicemente dargli un file come inizio iniziale.
E all'interno delle regole qui puoi selezionare i protocolli nel caso ci siano molti protocolli disponibili.
Vedete, ci sono così tanti protocolli che sono disponibili qui.
Quindi questo è uno.
La seconda è la fonte.
Lasciami dire solo 8888 destinazione 0000/0.
Andiamo.
Un po' giù.
All'interno delle azioni che puoi eseguire in passato.
Dirò solo lascia perdere.
Aggiungerò una regola e abbiamo una regola disponibile.
Farò clic su Crea gruppo di regole apolidi.
Tutto bene.
Quindi, in questa fase, sono disponibili due gruppi di regole.
Ora, questi gruppi di regole possono essere aggiunti a una politica del firewall.
Quindi andiamo avanti e aggiungiamo entrambi questi gruppi di regole alla nostra politica del firewall.
E attualmente, abbiamo questa politica del firewall disponibile.
Lo selezionerò.
Ci sono questi due gruppi di regole qui.
Abbiamo filtro di dominio e filtro IP.
E insieme a ciò, hai anche un certo elenco di gruppi di regole disponibili nel caso in cui lo desideri, puoi
selezionarlo.
Non lo userò per la demo di oggi.
Scendiamo un po'.
Farò clic su Avanti.
Quindi verifica semplicemente il numero di gruppi di regole aggiunti.
In questo caso lo è.
Quindi fare clic su Aggiungi gruppo di regole alla politica del firewall.
Grande.
Ora, mentre stiamo discutendo, hai i tuoi gruppi di regole, hai anche i gruppi di regole di gestione.
Quindi questo è abbastanza utile nelle imprese.
Ma per il nostro ambiente di test, manterremo le cose semplici.
Scendiamo un po'.
Passiamo ai firewall e il nostro endpoint firewall è pronto.
Ora, se lo aprirai rapidamente, scendiamo un po'.
Esaminiamo i dettagli del firewall.
Scendiamo un po' quaggiù.
Vedrai che il nostro firewall è associato a questo VPC e c'è una sottorete che termina con BD otto, che è fondamentalmente
la sottorete del firewall.
E questo è l'ID dell'endpoint.
Ora nelle voci della tavola rotonda stavamo discutendo su come il traffico dalla sottorete del cliente
deve andare verso l'endpoint, il traffico in particolare quello che va verso Internet.
E lo stesso vale per il gateway Internet.
Il traffico che sta andando verso la sottorete del cliente deve passare attraverso l'endpoint VPC.
Quindi questo è qualcosa che dovremo aggiungere.
Ora, facciamo una cosa.
Andiamo meglio.
Cerchiamo per il nostro progetto VPC.
Passiamo alle sottoreti.
Sono disponibili due sottoreti.
Se apro rapidamente una delle sottoreti.
Diamo un'occhiata alla tavola rotonda qui.
Ci sono due tavole rotonde 14000, che sono verso il gateway Internet e la seconda sottorete.
Ancora una volta, ha la stessa tavola rotonda, quindi dovremo modificarlo ora prima di modificarlo.
Verifichiamo rapidamente di nuovo in quale sottorete è stato creato il firewall di rete.
Apriamo di nuovo i dettagli della fibra ed è in otto.
Quindi otto è il secondo.
Quindi il primo associato a 3v1, questa sarà la nostra sottorete del cliente in cui lanceremo
un'istanza AC due.
Quindi, cosa dobbiamo fare per questa sottorete specifica, che sarà la sottorete del cliente, infatti,
puoi anche rinominarla.
Chiamiamola semplicemente come sottorete del cliente.
Quindi è più facile da identificare.
Per questo, dovremo aggiungere la voce della tavola rotonda.
Quindi facciamolo.
Quindi nella tavola rotonda creerà rapidamente una nuova tavola rotonda.
Dirò sottorete del cliente.
Sarà associato al nostro progetto VPC.
Creerò una tavola rotonda e in questa tavola rotonda c'è un percorso predefinito di dieci zero zero 16, che vediamo anche
in quel diagramma.
Questo va bene.
Il prossimo percorso di cui abbiamo bisogno verso la destinazione di Internet e dovrebbe andare verso l'endpoint VPC.
Quindi modificheremo i percorsi.
Aggiungiamo una nuova strada verso Internet e dovrebbe andare verso l'endpoint, che è il nostro endpoint VPC qui
e farò clic su Salva.
Tutto ok?
E dobbiamo associarlo alla nostra sottorete.
Aggiungiamolo e lo associamo alla nostra sottorete del cliente.
Grande.
Ora, da queste sottoreti, verifichiamo rapidamente.
Quindi, da un sondaggio tra i clienti, guarda la tavola rotonda.
Esistono due percorsi, uno verso l'endpoint locale e il secondo verso l'endpoint VPC.
Quindi la nostra parte di sottorete del cliente è completata.
La parte successiva è anche la sottorete del firewall.
Quindi all'interno della tabella di percorso, puoi utilizzare la tabella di percorso predefinita o puoi semplicemente creare una nuova
tabella di percorso e creare una nuova tavola rotonda in modo che sia più facile da capire.
Quindi dico tabella di routing del firewall.
Questo sarebbe associato al progetto VPC.
Farò clic su Crea tabella di percorso.
Andiamo avanti e modifichiamo i percorsi.
Aggiungo un altro percorso.
Facciamo riferimento a un diagramma.
Quindi il percorso di 0000 dovrebbe andare verso il gateway Internet.
Quindi lo useremo.
Quindi il percorso zero zero dovrebbe andare verso il gateway Internet e farò clic su Salva modifiche.
Grande.
E il terzo percorso è associato al gateway Internet.
Quindi puoi utilizzare l'Edge Association in cui tutto il traffico diretto alla sottorete del cliente deve andare
verso l'endpoint VPC.
Quindi, quello che puoi fare, puoi aprire rapidamente la sottorete, ottenere l'intervallo C.
Quindi questo è l'intervallo C, copialo.
Creiamo una tavola rotonda.
Lo chiamerò semplicemente ICW.
La tabella radice lo assocerà al nostro progetto VPC e creeremo quella tabella.
Nasce così una tavola rotonda.
Questa volta useremo l'Età Association.
Associalo al gateway Internet.
E nelle note aggiungeremo il CAGR della nostra sottorete dei clienti.
La destinazione questa volta sarebbe l'endpoint VPC.
Come vedi, la destinazione sarebbe l'endpoint VPC.
Questo è ciò che faremo.
Faremo clic su Salva modifiche.
Perfetto.
Quindi tutte le nostre voci della tavola rotonda sono ora create.
Quindi ora, per testare le cose che funzionano come previsto, apriamo
rapidamente la console facile e lanciamo una nuova istanza.
Lo chiamiamo semplicemente sottorete del cliente.
AC due scendiamo un po'.
All'interno del custode, puoi selezionare la chiave o puoi procedere senza la tastiera.
Selezionerò solo la chiave per il momento.
Andiamo un po' più in basso nelle impostazioni di rete.
Dovremo modificarlo in modo che utilizzi un VPC di progetto e utilizzi la nostra sottorete, che è la sottorete del cliente, per assicurarci che venga avviata
all'interno della sottorete del cliente all'interno dell'IP automatico e pubblico.
Dirò solo abilita e faremo clic sull'istanza di avvio.
Tutto bene.
Pertanto, viene visualizzato un errore che indica che il tipo di istanza richiesto non è supportato in questa zona di disponibilità.
Tutto bene.
Quindi modifichiamo la configurazione dell'istanza.
Scendiamo un po' questa volta invece di PT su micro perché non sembra essere disponibile a Osaka in questa
specifica zona di disponibilità.
Andiamo per un tipo di istanza completamente diverso.
Proverò solo a scoprirlo.
Di grandi dimensioni.
Vediamo se è disponibile.
E sì, è disponibile.
Quindi, ancora una volta, questo è un apprendimento importante che non tutti i tipi di istanza sono disponibili in tutte
le regioni.
Quindi dovrai verificare in generale se utilizzerai North Virginia, Ohio e altre regioni, non vedrai
davvero un problema.
Ma in alcune delle regioni più recenti, questo è uno dei problemi che generalmente dovrai comunque affrontare.
Quindi apriamo il nostro ESI all'istanza.
Quindi è nella fase di inizializzazione ora fino al momento dell'inizializzazione delle istanze.
Facciamo una cosa per il gruppo di sicurezza associato a questa semplice istanza, c'è una porta
di 22 consentita.
Modifichiamo rapidamente il gruppo di sicurezza.
Modificherò le regole in entrata.
Aggiungiamo una nuova regola.
Dirò tutto il traffico consentito da tutti, quindi rimuoverò la precedente regola 22 e farò clic su Salva.
Grande.
Torniamo alle istanze e la statistica viene passata qui.
Quindi facciamo una cosa.
Copiamo l'IP pubblico dell'istanza.
E da un sigillo, andrò avanti e proverò a eseguire il ping.
E come previsto, siamo in grado di connetterci all'istanza.
Quindi andiamo avanti e proviamo a fare un SSH.
Grande.
Quindi ora siamo collegati all'istanza AC due.
Da qui, verifichiamo rapidamente se siamo in grado di connetterci ai server come Facebook utilizzando Ping e funziona
come previsto.
Ora facciamo una chiamata con il trattino A su https facebook. com.
E come previsto, non stai ricevendo alcuna risposta.
Facciamo un controllo c.
Proviamo anche Twitter e, come
previsto, non riceverai alcuna risposta.
Ora cosa puoi fare per verificare se funziona davvero come previsto.
Andiamo ai gruppi di regole qui e all'interno del filtro di dominio.
Rimuoviamo questi domini.
Rimuoviamo uno dei domini.
Diciamo che rimuoverò Twitter.
Tutto bene.
Perfetto.
Quindi dall'argilla, liberiamo lo schermo.
E dopo alcuni secondi, nota che ci vuole un po' di tempo in secondi prima che le regole si riflettano.
Quindi ora se faccio un obiettivo, vedi che funziona perfettamente e stiamo ricevendo una risposta.
Allo stesso modo, avevamo anche una regola stateless che avrebbe bloccato il traffico verso l'indirizzo IP 8888.
E vedi, non stiamo davvero ricevendo una risposta.
Grande.
Quindi questa è la panoramica di alto livello sul firewall di rete.
Anche in questo caso, il video è andato un po' più a lungo, ma dato che ci sono molte cose che erano coinvolte
e stavamo discutendo su ogni cosa, praticamente ci è voluto un po' di tempo.
Ora, un'altra cosa da notare è che inizialmente potrebbe sembrare un po' confusa perché ci sono così tante
cose coinvolte relative alle voci di percorso, relative ai concetti di firewall di rete e così via.
Ma una volta implementato praticamente le cose diventeranno molto più semplici.
Ora di nuovo, nota che prima di concludere il video, assicurati di eliminare tutte le risorse
che hai creato.
In caso contrario, riceverai una fattura più alta inaspettata.
Ora lascia che ti mostri rapidamente come eliminare il firewall di rete.
Quindi, nel caso in cui tenti di eliminarlo direttamente, questo potrebbe causare un errore.
Proviamo.
E come previsto, è in fase di modifica e indica di non essere in grado di soddisfare la richiesta perché gli endpoint
VPC esistono ancora nelle tabelle di instradamento.
Quindi quello che devi fare è rimuovere le voci dell'endpoint VPC dalla road table.
Facciamolo velocemente.
Quindi dal nostro VPC personalizzato, andiamo alle sottoreti e dalla sottorete del cliente, abbiamo avuto questa voce della tavola
rotonda e lo stesso a livello di gateway Internet.
Quindi rimuoviamolo rapidamente.
Quindi, al percorso a livello di gateway Internet, rimuoviamo il percorso.
Eliminerò la route dell'endpoint VPC.
Torniamo indietro.
Allo stesso modo.
A livello di sottorete del cliente.
Rimuoviamo la strada.
E una volta rimosse le voci stradali, se provi a eliminare il file, beh, proviamolo ancora una volta.
Vedi, questa volta funziona perfettamente.
Rimuoviamo il messaggio di errore precedente in modo che l'eliminazione sia in corso.
Tutto bene.
Allo stesso modo, assicurati di eliminare anche il VPC personalizzato e le due istanze AC create.
Quindi questa è la panoramica di alto livello.
E con questo si concluderà finalmente il video di oggi.