Olá a todos e bem-vindos de volta.
Agora, no vídeo de hoje, analisamos o aspecto de implantação de firewalls de rede.
Então esta será a sessão prática associada ao firewall de rede.
Agora, antes de prosseguirmos e implantá-lo, há certas coisas importantes que precisamos entender
do ponto de vista da arquitetura.
Portanto, apenas o dispositivo, o firewall de rede protege essas sub-redes em sua VPC, filtrando
o tráfego entre as sub-redes e o local fora de sua VPC.
Por exemplo, se você vê que tem uma sub-rede de cliente aqui e tem o gateway da Internet e os recursos que
fazem parte da sub-rede do cliente precisam enviar algum tráfego para a Internet.
Portanto, entre a sub-rede do cliente e o gateway da Internet, você tem uma sub-rede dedicada de uma sub-rede
de firewall na qual reside o endpoint relacionado ao firewall da rede.
Então isso é muito importante.
Você precisa criar uma sub-rede específica onde reside o ponto de extremidade do firewall da rede para que ele
possa filtrar o tráfego entre o gateway da Internet e a sub-rede do cliente, e as regras serão aplicadas
de acordo.
Agora vamos discutir rapidamente sobre as entradas da tabela de rotas também.
Então, no nível de sub-rede do firewall, o que teremos que fazer, dez 000 é a rota local padrão.
Isto é bom.
Uma rota que teremos que adicionar, que é a 0000 em direção ao gateway da Internet, porque uma vez que o tráfego do
AC para a instância de uma sub-rede do cliente atinja o da sub-rede do firewall, a sub-rede do firewall deve ter
a conexão para o gateway da Internet para que ele pode enviar o tráfego para ele.
Portanto, esta é uma das entradas que você terá que adicionar na tabela de rotas de sub-rede do firewall.
A segunda entrada da tabela de rotas está relacionada à sub-rede do cliente e o que precisamos fazer para 0000 em vez de
enviá-la para o gateway da Internet, você terá que especificar o VPC endpoint associado ao firewall
da rede.
Tudo bem.
Então essa é a segunda entrada.
E a terceira entrada que você terá que adicionar está no nível do gateway da Internet.
Assim, você pode usar uma associação de borda onde qualquer tráfego que esteja indo para a sub-rede do cliente.
Então, se você vir a sub-rede do cliente é dez 020 barra 24.
Portanto, qualquer tráfego direcionado a isso deve ser direcionado ao VPC endpoint.
Portanto, mesmo o tráfego de entrada do gateway da Internet para a sub-rede do cliente deve passar pela área de sub-rede
do firewall.
Portanto, estas são as três entradas de rota importantes.
Excelente.
Então, vamos fazer uma coisa antes de prosseguirmos com as discussões relacionadas ao firewall
de rede, vamos ter a arquitetura pronta.
Agora, uma coisa antes de começarmos que você precisa verificar é o preço do firewall de rede.
Portanto, sempre que você vir alguns serviços de banco de dados que realizam muitas coisas interessantes, sempre verifique
os preços primeiro.
Então, relacionado ao preço do firewall de rede, você vê que tem um endpoint de firewall de rede, pois estávamos
discutindo que você terá um endpoint em uma das sub-redes.
Então o custo aqui é $0. 395 por hora, cerca de US $ 0. 4 por hora.
Nesta fase.
Pode acontecer que depois de alguns meses assistindo a este vídeo, o preço
mude, mas verifique o preço antes de criar os recursos aqui.
Excelente.
Agora, dentro do meu ambiente de endereço, vamos rapidamente para o serviço VPC.
Então, clicarei em Criar VPC.
E recentemente eles lançaram essa nova experiência Create VPC.
Dessa forma, fica muito simples iniciar uma VPC aqui.
Então tudo é gerado para você.
Portanto, o nome da VPC é Project.
Este vai ser o bloco de concreto.
Se você diminuir um pouco, poderá especificar as zonas de disponibilidade e o número de sub-redes públicas
e privadas.
Então vamos fazer uma coisa só para simplificar.
As sub-redes públicas serão selecionadas enquanto a sub-rede privada será selecionada como zero.
Então você vê que a configuração geral mudou.
Seu gateway de rede não é realmente necessário.
O VPC endpoint do S três Gateway também não é realmente necessário.
Então essas são as configurações básicas aqui.
Feito isso, você pode prosseguir e criar a VPC.
Excelente.
Assim, nossa VPC é criada.
Vamos fazer uma view VPC rapidamente e essas são todas as configurações aqui.
Agora vamos filtrar as coisas pelo nosso projeto.
VPC Então você deve conseguir ver a VPC do projeto aqui.
Vamos para as sub-redes agora aqui.
Como esperado, há duas sub-redes agora semelhantes ao diagrama que estávamos discutindo.
São duas sub-redes aqui.
Um é dedicado à sub-rede do firewall.
O segundo é dedicado à sub-rede do cliente.
Agora, vamos fazer uma coisa.
Vamos descer um pouco.
Vamos para os firewalls aqui.
Então este é o firewall de rede.
Vamos clicar em Criar Firewall.
Vamos dar-lhe um nome.
Eu direi Firewall de Rede Demo.
Você pode selecionar a VPC.
No nosso caso, o VPC está associado a um pedido dez 00c.
Vou selecionar este.
Você pode selecionar a zona de disponibilidade.
Estarei usando a zona de disponibilidade de três aqui e há apenas uma sub-rede aqui que será selecionada.
Vamos descer um pouco.
A próxima seção está associada à política de firewall e discutiremos sobre isso em breve.
Mas neste estágio, vamos selecionar criar uma política de firewall vazia associada que esteja completamente correta.
Então você tem uma proteção de exclusão caso precise, eu vou desmarcá-la e também desmarque a proteção contra alteração
de sub-rede, principalmente porque este é um ambiente de teste para um ambiente de proteção que você pode ter proteção
contra exclusão e assim por diante.
Feito isso, você pode seguir em frente e criar um firewall.
Tudo bem.
Portanto, não está sendo criado.
Então, podemos ter perdido uma coisa.
Vamos subir um pouco rapidamente para entender.
Ele diz que um nome de recurso deve ser definido.
Então vamos descer um pouco.
E aqui está o nome da política de firewall que não dissemos novamente.
Discutiremos sobre quais políticas de firewall daqui a pouco.
Vamos chamá-la de política de firewall.
Vamos descer um pouco.
Vamos criar um firewall.
Tudo bem.
Portanto, neste estágio, ele está no estado de provisionamento.
E mesmo daqui, se abrirmos rapidamente o firewall, você verá que ele está no estado de provisionamento.
Agora, se você perceber que existem várias opções no firewall da rede.
Você tem firewall, políticas de firewall e grupos de regras de firewall de rede.
Então vamos em frente e entender cada um deles até o momento em que nosso firewall de rede for provisionado.
Agora, semelhante ao que estávamos analisando no console, existem três tipos de recursos principais que
o firewall de rede gerencia.
Você tem um firewall, tem uma política de firewall e tem o grupo de regras.
Então vamos começar com o Rule Group Warrior.
Portanto, o Rule Group basicamente define o conjunto de regras para corresponder ao tráfego da VPC e as ações a serem executadas quando
o firewall da rede encontrar uma correspondência.
Agora, no vídeo de demonstração, discutimos sobre as regras relacionadas a como os domínios são bloqueados, como os endereços IP são bloqueados.
Então, todas essas regras onde você especifica o Facebook. com, Twitter. com, endereços IP, todas essas coisas são
adicionadas como parte do grupo de regras.
Esta é uma parte.
A segunda parte está relacionada à política de firewall.
Na política de firewall, você pode ter um ou mais grupos de regras, para poder adicionar um conjunto de grupos de regras
a uma política de firewall.
E existem algumas outras configurações e configurações que você também pode adicionar ao guerreiro.
E o terceiro é o firewall, que fornece a lógica de filtragem de tráfego para as sub-redes na VPC.
Observe também que a política de firewall é associada ao firewall.
Agora, em nosso console, nosso firewall de rede ainda está no estado de provisionamento.
Isso é bom porque ainda temos que fazer várias coisas como entradas de tabela raiz e assim por diante agora até o momento
em que estiver no estado de provisionamento, vamos em frente e criar rapidamente um novo grupo de regras.
Então, vou criar um grupo de regras aqui.
Agora você tem a opção de Stateful Rule Group, bem como o Stateless Rule Group.
Vou apenas criar um grupo de regras.
Vamos chamá-lo de filtro de domínio.
Você pode dar uma capacidade aqui.
Direi apenas cinco.
E aqui existem várias maneiras pelas quais você pode especificar como o valor da tupla.
Você precisa especificar o IP de origem, o IP de destino da porta de origem, o protocolo da porta de destino e assim por diante.
A lista de domínios e o servidor são compatíveis.
As regras do IPS usarão a lista de domínios aqui e o nome de domínio que você pode dizer facebook. com e vamos especificar também o Twitter.
com.
Tudo bem.
Você pode especificar os protocolos, HTTP, https, e pode especificar as ações se o tráfego para isso deve
ser permitido ou negado.
Então, direi apenas negar e criaremos um grupo de regras com estado aqui.
Agora, esse grupo de regras que criamos precisa ser associado no nível da política de firewall.
Então, antes de fazermos isso, vamos também criar mais um grupo de regras aqui.
Dentro daqui, selecionarei o Stateless Rule Group dentro do nome, direi filtro IP dentro da capacidade.
Você pode apenas fornecer um arquivo como um início inicial.
E dentro das regras aqui você pode selecionar os protocolos caso haja muitos protocolos disponíveis.
Você vê que há tantos protocolos que estão disponíveis aqui.
Então este é um.
A segunda é a fonte.
Deixe-me apenas dizer 8888 destino 0000/0.
Vamos lá.
Um pouco para baixo.
Dentro das ações você pode fazer o drop passado.
Vou apenas dizer cair.
Vou adicionar uma regra e temos uma regra que está disponível.
Clicarei em Criar grupo de regras sem estado.
Tudo bem.
Portanto, neste estágio, há dois grupos de regras disponíveis.
Agora, esses grupos de regras podem ser adicionados a uma política de firewall.
Então, vamos adicionar esses dois grupos de regras à nossa política de firewall.
E atualmente, temos esta política de firewall disponível.
Eu vou selecionar isso.
Existem esses dois grupos de regras aqui.
Temos filtro de domínio e filtro de IP.
E junto com isso, você também tem uma certa lista de grupos de regras que estão disponíveis caso você queira, você pode
selecionar isso.
Eu não vou usar isso para a demonstração de hoje.
Vamos descer um pouco.
Vou clicar em próximo.
Portanto, apenas verifique o número de grupos de regras que são adicionados.
Neste caso é para.
E, em seguida, clique em Adicionar grupo de regras à política de firewall.
Excelente.
Agora, enquanto estamos discutindo, você tem seus grupos de regras, você também tem os grupos de regras de gerenciamento.
Então isso é bastante útil nas empresas.
Mas para nosso ambiente de teste, vamos mantê-lo simples.
Vamos descer um pouco.
Vamos para firewalls e nosso endpoint de firewall está pronto.
Agora, se você abrir isso rapidamente, vamos descer um pouco.
Vamos examinar os detalhes do firewall.
Vamos descer um pouco aqui.
Você verá que nosso firewall está associado a esta VPC e há uma sub-rede terminando com BD oito, que é basicamente
a sub-rede do firewall.
E este é o ID do ponto de extremidade.
Agora, nas entradas da mesa redonda, estávamos discutindo sobre como o tráfego da sub-rede do cliente precisa
ir para o terminal, o tráfego especificamente aquele que está indo para a Internet.
E o mesmo vale para o gateway da Internet.
O tráfego que está indo para a sub-rede do cliente deve passar pelo VPC endpoint.
Então isso é algo que nós vamos ter que adicionar.
Agora, vamos fazer uma coisa.
Vamos melhor.
Vamos pesquisar pelo nosso projeto VPC.
Vamos para as sub-redes.
Existem duas sub-redes disponíveis.
Se eu abrir rapidamente uma das sub-redes.
Vamos olhar para a mesa redonda aqui.
Existem duas mesas redondas 14000, que são voltadas para o gateway da Internet e a segunda sub-rede.
Novamente, ele tem a mesma mesa redonda, então teremos que modificá-lo agora antes de modificá-lo.
Vamos verificar rapidamente em qual sub-rede o firewall de rede foi criado.
Vamos abrir os detalhes da fibra novamente e está em oito.
Então oito é o segundo.
Então, o primeiro está associado ao 3v1, esta será a nossa sub-rede do cliente, onde lançaremos
uma instância AC dois.
Então, o que precisamos fazer para essa sub-rede específica, que será a sub-rede do cliente, na verdade,
você também pode renomeá-la.
Vamos chamá-lo de sub-rede do cliente.
Assim fica mais fácil de identificar.
Para isso, teremos que adicionar a entrada da mesa redonda.
Então vamos fazer isso.
Assim na mesa redonda irá criar rapidamente uma nova mesa redonda.
Eu direi sub-rede do cliente.
Ele será associado ao nosso projeto VPC.
Vou criar uma mesa redonda e nessa mesa redonda tem uma rota padrão de dez zero zero 16, que vemos nesse diagrama
também.
Isto é bom.
A próxima rota que precisamos para o destino da Internet e deve ir para o VPC endpoint.
Então vamos editar as rotas.
Vamos adicionar um novo caminho para a Internet e ele deve ir para o endpoint, que é o nosso VPC endpoint aqui
e eu clico em Salvar.
Tudo bem?
E temos que associar isso à nossa sub-rede.
Vamos adicioná-lo e associá-lo à nossa sub-rede do cliente.
Excelente.
Agora, dessas sub-redes, vamos verificar rapidamente.
Então, a partir de uma pesquisa com o cliente, olhe para a mesa redonda.
Há duas rotas, uma para o local e a segunda para o VPC endpoint.
Portanto, nossa parte de sub-rede do cliente está concluída.
A próxima parte também é a sub-rede do firewall.
Portanto, dentro da tabela de rotas, você pode usar a tabela de rotas padrão ou simplesmente criar uma nova tabela de
rotas e criar uma nova mesa redonda para que seja mais fácil de entender.
Então eu digo tabela de rotas de firewall.
Isso seria associado à VPC do projeto.
Clicarei em Criar Tabela de Rotas.
Vamos em frente e editar as rotas.
Vou adicionar mais uma rota.
Vamos nos referir a um diagrama.
Portanto, a rota de 0000 deve ir em direção ao gateway da Internet.
Então vamos usar isso.
Portanto, a rota zero zero deve ir em direção ao gateway da Internet e clicarei em Salvar alterações.
Excelente.
E a terceira rota está associada ao gateway da Internet.
Assim, você pode usar a Edge Association em que qualquer tráfego que vá para a sub-rede do cliente precisa
ir para o VPC endpoint.
Então, o que você pode fazer, você pode abrir rapidamente a sub-rede, obter o intervalo C.
Então este é o intervalo C, vamos copiar isso.
Vamos criar uma mesa redonda.
Vou chamá-lo apenas como ICW.
A tabela raiz irá associá-la à nossa VPC do projeto e criaremos essa tabela.
Assim, uma mesa redonda é criada.
Desta vez vamos usar a Age Association.
Vamos associá-lo ao gateway da Internet.
E nas notas adicionaremos o CAGR da nossa sub-rede de clientes.
O destino desta vez seria o VPC endpoint.
Como você vê, o destino seria o VPC endpoint.
Isto é o que vamos fazer.
Clicaremos em Salvar alterações.
Perfeito.
Assim, todas as nossas entradas de mesa redonda estão agora criadas.
Agora, para testar as coisas que estão funcionando conforme o esperado,
vamos abrir rapidamente o console fácil e iniciar uma nova instância.
Nós apenas o nomeamos como sub-rede do cliente.
AC dois vamos descer um pouco.
Dentro do keeper, você pode selecionar a chave ou prosseguir sem o teclado.
Vou apenas selecionar a chave por enquanto.
Vamos descer um pouco nas configurações de rede.
Teremos que editá-lo para que ele use uma VPC de projeto e use nossa sub-rede, que é a sub-rede do cliente, para garantir
que ele seja iniciado na sub-rede do cliente no IP automático e público.
Direi apenas habilitar e clicaremos na instância de lançamento.
Tudo bem.
Portanto, estamos recebendo um erro informando que o tipo de instância solicitado não é compatível com esta zona de disponibilidade.
Tudo bem.
Então, vamos editar a configuração da instância.
Vamos descer um pouco desta vez em vez de PT para micro porque não parece estar disponível em Osaka nesta zona
de disponibilidade específica.
Vamos para um tipo de instância completamente diferente.
Vou tentar descobrir.
Grande.
Vamos ver se está disponível.
E sim, está disponível.
Portanto, novamente, esse é um aprendizado importante de que nem todos os tipos de instância estão disponíveis em todas
as regiões.
Portanto, você terá que verificar geralmente se usará a Virgínia do Norte, Ohio e outras regiões, não verá
realmente um problema.
Mas em algumas das regiões mais novas, esse é um dos problemas que você geralmente enfrentará de qualquer maneira.
Então vamos abrir nosso ESI para instância.
Portanto, está no estágio de inicialização agora até o momento em que as instâncias são inicializadas.
Vamos fazer uma coisa para o grupo de segurança associado a esta instância fácil, há uma porta de
22 que é permitida.
Vamos modificar rapidamente o grupo de segurança.
Vou editar as regras de entrada.
Vamos adicionar uma nova regra.
Direi todo o tráfego permitido de todos e, em seguida, removerei a regra anterior de 22 e clicarei em Salvar.
Excelente.
Vamos voltar às instâncias e a estatística é passada aqui.
Então vamos fazer uma coisa.
Vamos copiar o IP público da instância.
E a partir de um selo, vou em frente e tentarei pingá-lo.
E, como esperado, podemos nos conectar à instância.
Então vamos em frente e tentar fazer um SSH.
Excelente.
Então, agora estamos conectados à instância AC dois.
A partir daqui, vamos verificar rapidamente se conseguimos nos conectar aos servidores como o Facebook usando o Ping e se está funcionando
conforme o esperado.
Agora vamos fazer uma chamada com hífen A no facebook https. com.
E, como esperado, você não está realmente recebendo nenhuma resposta de volta.
Vamos fazer um controle c.
Vamos também tentar o Twitter e, como
esperado, você não está recebendo nenhuma resposta.
Agora o que você pode fazer para verificar se está realmente funcionando conforme o esperado.
Vamos para os grupos de regras aqui e dentro do filtro de domínio.
Vamos remover esses domínios.
Vamos remover um dos domínios.
Digamos que eu remova o Twitter.
Tudo bem.
Perfeito.
Então, do barro, vamos limpar a tela.
E depois de alguns segundos, observe que leva um pouco de tempo em segundos para que as regras sejam refletidas.
Então, agora, se eu fizer uma meta, você verá que funciona perfeitamente bem e estamos recebendo uma resposta.
Da mesma forma, também tínhamos uma regra sem estado que bloquearia o tráfego para o endereço IP 8888.
E você vê, nós realmente não estamos recebendo uma resposta de volta.
Excelente.
Essa é a visão geral de alto nível sobre o firewall de rede.
Novamente, o vídeo foi um pouco mais longo, mas como havia muitas coisas envolvidas e
estávamos discutindo sobre cada um e tudo, praticamente, demorou um pouco.
Agora, mais uma coisa a ser observada é que inicialmente pode parecer um pouco confuso porque há muitas coisas envolvidas
relacionadas às entradas de rota, relacionadas aos conceitos de firewall de rede e assim por diante.
Mas uma vez que você implementá-lo praticamente as coisas se tornarão muito mais simples.
Agora, novamente, observe que antes de concluirmos o vídeo, certifique-se de excluir todos os recursos
que você criou.
Caso contrário, você receberá uma conta mais alta inesperada.
Agora, deixe-me mostrar rapidamente como você pode excluir o firewall de rede.
Portanto, caso você tente excluí-lo diretamente, isso pode causar um erro.
Vamos tentar.
E, como esperado, ele está editando e informando que não é possível atender à solicitação porque os VPC
endpoints ainda existem nas tabelas de rotas.
Então, o que você precisa fazer é remover as entradas do VPC endpoint da tabela de estradas.
Vamos fazer isso rapidamente.
Então, da nossa VPC personalizada, vamos para as sub-redes e da sub-rede do cliente, tivemos essa entrada de mesa redonda
e o mesmo no nível do gateway da Internet.
Então vamos remover isso rapidamente.
Então, na rota no nível do gateway da Internet, vamos remover a rota.
Vou excluir a rota do VPC endpoint.
Vamos voltar.
De forma similar.
No nível de sub-rede do cliente.
Vamos remover a estrada.
E uma vez que as entradas da estrada são removidas, se você tentar excluir o arquivo, bem, vamos tentar mais uma vez.
Você vê, desta vez está funcionando perfeitamente bem.
Vamos remover a mensagem de erro anterior para que a exclusão esteja em processo.
Tudo bem.
E da mesma forma, certifique-se de excluir também a VPC personalizada e as duas instâncias do AC que foram criadas.
Essa é a visão geral de alto nível.
E com isso vai finalmente concluir o vídeo de hoje.