Hola a todos, y bienvenidos de nuevo.
Ahora, en el video de hoy, analizamos el aspecto de implementación de los firewalls de red.
Así que esta va a ser la sesión práctica asociada con el firewall de red.
Ahora, antes de continuar e implementarlo, hay ciertas cosas importantes que debemos comprender desde
el punto de vista de la arquitectura.
Entonces, solo el dispositivo, el firewall de la red protege estas subredes dentro de su VPC al filtrar el
tráfico que va entre las subredes y la ubicación fuera de su VPC.
Por ejemplo, si ve que tiene una subred de clientes aquí y tiene la puerta de enlace de Internet y los recursos que
forman parte de la subred de clientes necesitan enviar algo de tráfico hacia Internet.
Entonces, entre la subred del cliente y la puerta de enlace de Internet, tiene una subred dedicada de una subred de
firewall donde reside el punto final relacionado con el firewall de su red.
Así que esto es muy importante.
Debe crear una subred específica donde resida el extremo del firewall de su red para que pueda filtrar el tráfico
que va entre la puerta de enlace de Internet y la subred de su cliente, y las reglas se aplicarán en consecuencia.
Ahora analicemos rápidamente también las entradas de la tabla de rutas.
Entonces, en el nivel de subred del firewall, lo que tendremos que hacer, diez 000 es la ruta local predeterminada.
Esto esta bien.
Tendremos que agregar una ruta, que es la 0000 hacia la puerta de enlace de Internet porque una vez que el tráfico del
AC a la instancia de una subred del cliente llega a la subred del firewall, la subred del firewall debe tener la conexión
hacia la puerta de enlace de Internet para que puede enviar el tráfico hacia él.
Esta es una de las entradas que deberá agregar en la tabla de rutas de la subred del firewall.
La segunda entrada de la tabla de rutas está relacionada con la subred del cliente y lo que debemos hacer para 0000 en lugar de enviarlo
a la puerta de enlace de Internet, deberá especificar el punto de enlace de la VPC que está asociado con el
firewall de la red.
Está bien.
Así que esta es la segunda entrada.
Y la tercera entrada que tendrá que agregar está en el nivel de puerta de enlace de Internet.
Por lo tanto, puede usar una asociación de borde donde cualquier tráfico que se dirija hacia la subred del cliente.
Entonces, si ve que la subred del cliente es diez 020 barra oblicua 24.
Entonces, cualquier tráfico que se dirija hacia eso debería ir hacia el punto de enlace de la VPC.
Por lo tanto, incluso el tráfico entrante desde la puerta de enlace de Internet a la subred del cliente debe pasar por el área de la subred del
cortafuegos.
Estas son las tres entradas de ruta importantes.
Excelente.
Entonces, hagamos una cosa antes de continuar con las discusiones relacionadas con el firewall
de la red, tengamos la arquitectura lista.
Ahora, una cosa antes de comenzar que debe verificar es el precio del firewall de la red.
Entonces, cada vez que vea algunos servicios de base de datos que realizan muchas cosas interesantes, siempre verifique
primero el precio.
Entonces, en relación con el precio del firewall de la red, verá que tiene un extremo del firewall de la red, ya
que discutimos que tendrá un extremo en una de las subredes.
Así que el costo aquí es $0. 395 por hora, alrededor de $0. 4 por hora.
En este punto.
Puede suceder que después de unos meses mientras ve este video, el precio puede cambiar,
pero solo verifique el precio antes de crear los recursos aquí.
Excelente.
Ahora, dentro de mi entorno de direcciones, vayamos rápidamente al servicio de VPC.
Así que haré clic en Crear VPC.
Y recientemente han lanzado esta nueva experiencia Create VPC.
Entonces, de esta manera, se vuelve muy simple lanzar una VPC aquí.
Entonces todo se genera para ti.
Entonces, el nombre de la VPC es Proyecto.
Esto va a ser el bloque de cemento.
Si baja un poco, puede especificar las zonas de disponibilidad y la cantidad de subredes públicas
y privadas.
Así que hagamos una cosa solo por simplicidad.
Las subredes públicas se seleccionarán como la subred privada se seleccionará como cero.
Como puede ver, la configuración general ha cambiado.
Su puerta de enlace de red no es realmente necesaria.
El punto de enlace de la VPC de S 3 Gateway tampoco es realmente necesario.
Así que estas son las configuraciones básicas aquí.
Una vez hecho esto, puede continuar y crear la VPC.
Excelente.
Entonces se crea nuestra VPC.
Hagamos rápidamente una vista de VPC y estas son todas las configuraciones aquí.
Ahora vamos a filtrar las cosas por nuestro proyecto.
VPC Así que debería poder ver el VPC del proyecto aquí.
Vayamos a las subredes ahora aquí.
Como era de esperar, ahora hay dos subredes similares al diagrama que estábamos discutiendo.
Son dos subredes aquí.
Uno está dedicado a la subred del cortafuegos.
El segundo está dedicado a la subred del cliente.
Ahora, hagamos una cosa.
Bajemos un poco.
Vayamos a los cortafuegos de aquí.
Así que este es el cortafuegos de la red.
Hagamos clic en Crear Firewall.
Démosle un nombre.
Diré Demo Network Firewall.
Puede seleccionar la VPC.
En nuestro caso, la VPC está asociada a una orden de diez 00c.
Seleccionaré este.
Puede seleccionar la zona de disponibilidad.
Usaré la zona de disponibilidad de tres aquí y solo hay una subred aquí que se seleccionará.
Bajemos un poco.
La siguiente sección está asociada con la política de firewall y se discutirá sobre esto en un momento.
Pero en esta etapa, seleccionemos crear una política de firewall vacía asociada que esté completamente bien.
Luego, tiene una protección de eliminación en caso de que la necesite, simplemente anularé la selección y también anularé la selección de la
protección de cambio de subred, principalmente porque este es un entorno de prueba para el entorno de protección en el que puede tener
protección de eliminación y así sucesivamente.
Una vez que esto sea así, puede continuar y crear un firewall.
Está bien.
Entonces no se está creando.
Así que podríamos habernos perdido una cosa.
Subamos un poco rápidamente para entender.
Dice que se debe establecer un nombre de recurso.
Así que bajemos un poco.
Y aquí está el nombre de la política de firewall que no hemos vuelto a decir.
Hablaremos sobre las políticas de firewall en un momento.
Llamémoslo simplemente la política de firewall.
Bajemos un poco.
Crearemos un cortafuegos.
Está bien.
Entonces, en esta etapa, está en el estado de aprovisionamiento.
E incluso desde aquí, si abrimos rápidamente el firewall, verá que está en estado de aprovisionamiento.
Ahora, si verá que hay múltiples opciones dentro del firewall de la red.
Tiene firewall, políticas de firewall y grupos de reglas de firewall de red.
Así que avancemos y entendamos cada uno de ellos hasta el momento en que se aprovisione nuestro firewall de red.
Ahora, de manera similar a lo que estábamos buscando en la consola, hay tres tipos de recursos principales que
administra el firewall de la red.
Tiene un firewall, tiene una política de firewall y tiene el grupo de reglas.
Entonces, comencemos con el Rule Group Warrior.
Por lo tanto, Rule Group básicamente define el conjunto de reglas para hacer coincidir el tráfico de VPC y las acciones que se deben realizar cuando
el firewall de la red encuentra una coincidencia.
Ahora, en el video de demostración, discutíamos sobre las reglas relacionadas con cómo se bloquean los dominios, cómo se bloquean las direcciones
IP.
Así que todas esas reglas donde especificas Facebook. com, Twitter. com, direcciones IP, todas esas cosas se
agregan como parte del grupo de reglas.
Esta es una parte.
La segunda parte está relacionada con la política de firewall.
En la política de firewall, puede tener uno o más grupos de reglas, por lo que puede agregar un conjunto de grupos de reglas
a una política de firewall.
Y hay algunas otras configuraciones y configuraciones que también puede agregar sobre guerrero.
Y el tercero es el firewall, que proporciona la lógica de filtrado de tráfico para las subredes en la VPC.
También tenga en cuenta que la política de firewall se asocia con el firewall.
Ahora dentro de nuestra consola, nuestro firewall de red todavía está en estado de aprovisionamiento.
Eso está bien porque todavía tenemos que hacer varias cosas, como entradas de la tabla raíz, etc. hasta el momento
en que esté en el estado de aprovisionamiento, avancemos y creemos rápidamente un nuevo grupo de reglas.
Así que crearé un grupo de reglas aquí.
Ahora tiene la opción de Grupo de reglas con estado, así como el Grupo de reglas sin estado.
Simplemente crearé un grupo de reglas.
Llamémoslo simplemente un filtro de dominio.
Puede dar una capacidad aquí.
Solo diré cinco.
Y dentro de aquí hay múltiples formas en las que puede especificar como el valor de la tupla.
Debe especificar la IP de origen, la IP de destino del puerto de origen, el protocolo del puerto de destino, etc.
La lista de dominios y el servidor son compatibles.
Las reglas de IPS usarán la lista de dominios de aquí y el nombre de dominio puede decir facebook. com y especifiquemos también Twitter.
com.
Está bien.
Puede especificar los protocolos, HTTP, https, y puede especificar las acciones si el tráfico hacia esto debe
permitirse o denegarse.
Así que solo diré denegar y crearemos un grupo de reglas con estado aquí.
Ahora, este grupo de reglas que habíamos creado, debe asociarse a nivel de política de firewall.
Entonces, antes de hacer eso, creemos también un grupo de reglas más aquí.
Dentro de aquí, seleccionaré el grupo de reglas sin estado dentro del nombre, diré filtro IP dentro de la capacidad.
Simplemente puede darle un archivo como inicio inicial.
Y dentro de las reglas aquí, puede seleccionar los protocolos en caso de que haya muchos protocolos disponibles.
Verá que hay tantos protocolos disponibles aquí.
Así que este es uno.
La segunda es la fuente.
Permítanme decir 8888 destino 0000/0.
Vamos.
Morder abajo.
Dentro de las acciones que puedes hacer pasado drop.
Solo diré que sueltes.
Agregaré una regla y tenemos una regla que está disponible.
Haré clic en Crear grupo de reglas sin estado.
Está bien.
Entonces, en esta etapa, hay dos grupos de reglas disponibles.
Ahora, estos grupos de reglas se pueden agregar a una política de firewall.
Así que sigamos adelante y agreguemos estos dos grupos de reglas a nuestra política de firewall.
Y actualmente, tenemos esta política de firewall que está disponible.
Seleccionaré eso.
Hay estos dos grupos de reglas aquí.
Tenemos filtro de dominio y filtro de IP.
Y junto con eso, también tiene cierta lista de grupos de reglas que están disponibles en caso de que lo desee, puede
seleccionar eso.
No lo usaré para la demostración de hoy.
Bajemos un poco.
Daré clic en siguiente.
Así que simplemente verifique la cantidad de grupos de reglas que se agregan.
En este caso es para.
Y luego haga clic en Agregar grupo de reglas a la política de firewall.
Excelente.
Ahora, como estamos discutiendo, tiene sus grupos de reglas, también tiene los grupos de reglas de administración.
Así que esto es bastante útil en las empresas.
Pero para nuestro entorno de prueba, lo mantendremos simple.
Bajemos un poco.
Vayamos a los cortafuegos y nuestro extremo de cortafuegos está listo.
Ahora, si abres esto rápidamente, bajemos un poco.
Veamos los detalles del cortafuegos.
Vamos a bajar un poco aquí.
Verá que nuestro cortafuegos está asociado con esta VPC y hay una subred que termina en BD ocho, que es básicamente
la subred del cortafuegos.
Y esta es la identificación del punto final.
Ahora, en las entradas de la mesa redonda, discutíamos cómo el tráfico de la subred del cliente
debe ir hacia el punto final, específicamente el tráfico que va hacia Internet.
Y lo mismo ocurre con la puerta de enlace de Internet.
El tráfico que se dirige hacia la subred del cliente debe pasar por el punto de enlace de la VPC.
Así que esto es algo que tendremos que agregar.
Ahora, hagamos una cosa.
Vamos mejor.
Busquemos por nuestro proyecto VPC.
Vamos a las subredes.
Hay dos subredes disponibles.
Si abro rápidamente una de las subredes.
Veamos la mesa redonda aquí.
Hay dos mesas redondas 14000, que están hacia la puerta de enlace de Internet y la segunda subred.
De nuevo, tiene la misma mesa redonda, así que tendremos que modificar esto ahora antes de modificarlo.
Verifiquemos rápidamente en qué subred se crea el firewall de la red.
Abramos los detalles de fibra nuevamente y está en ocho.
Así que ocho es el segundo.
Entonces, el primero asociado con el 3v1, esta será nuestra subred de clientes donde lanzaremos una
instancia de AC dos.
Entonces, lo que debemos hacer para esta subred específica, que será la subred del cliente, de hecho, también
puede cambiarle el nombre.
Llamémoslo como subred de clientes.
Así es más fácil de identificar.
Para ello, tendremos que añadir la entrada de la mesa redonda.
Así que hagamos eso.
Entonces en la mesa redonda se creará rápidamente una nueva mesa redonda.
Diré subred de cliente.
Estará asociado a nuestro proyecto VPC.
Crearé una mesa redonda y en esta mesa redonda hay una ruta predeterminada de diez cero cero 16, que también vemos
en ese diagrama.
Esto esta bien.
La siguiente ruta que necesitamos hacia el destino de Internet y debe ir hacia el punto final de la VPC.
Entonces editaremos las rutas.
Agreguemos un nuevo camino hacia Internet y debería ir hacia el punto final, que es nuestro punto final de VPC aquí
y haré clic en Guardar.
¿Está bien?
Y tenemos que asociar esto con nuestra subred.
Vamos a agregarlo y lo asociaremos con nuestra subred de clientes.
Excelente.
Ahora, a partir de estas subredes, verifiquemos rápidamente.
Entonces, a partir de una encuesta de clientes, busque en la mesa redonda.
Hay dos rutas, una hacia el local y la segunda hacia el punto de enlace de la VPC.
Así que nuestra parte de la subred del cliente está completa.
La siguiente parte es también la subred del cortafuegos.
Entonces, dentro de la tabla de rutas, puede usar la tabla de rutas predeterminada o simplemente puede crear una nueva tabla
de rutas y crear una nueva tabla redonda para que sea más fácil de entender.
Entonces digo tabla de rutas de firewall.
Esto estaría asociado con la VPC del proyecto.
Haré clic en Crear tabla de rutas.
Avancemos y editemos las rutas.
Añadiré una ruta más.
Vamos a referirnos a un diagrama.
Entonces, la ruta de 0000 debería ir hacia la puerta de enlace de Internet.
Así que usaremos eso.
Entonces, la ruta cero cero debe ir hacia la puerta de enlace de Internet y haré clic en Guardar cambios.
Excelente.
Y la tercera ruta está asociada con la puerta de enlace de Internet.
Por lo tanto, puede usar la Asociación de borde donde cualquier tráfico que se dirija hacia la subred del cliente debe dirigirse hacia
el punto de enlace de la VPC.
Entonces, lo que puede hacer, puede abrir rápidamente la subred, obtener el rango C.
Así que este es el rango C, copiemos esto.
Vamos a crear una mesa redonda.
Simplemente lo llamaré ICW.
La tabla raíz la asociará con nuestra VPC de proyecto y crearemos esa tabla.
Entonces se crea una mesa redonda.
Esta vez usaremos la Asociación de edad.
Asociémoslo con la puerta de enlace de Internet.
Y en las notas agregaremos la CAGR de nuestra subred de clientes.
El objetivo esta vez sería el punto de enlace de la VPC.
Como puede ver, el objetivo sería el punto de enlace de la VPC.
Esto es lo que vamos a hacer.
Haremos clic en Guardar cambios.
Perfecto.
Entonces todas nuestras entradas de mesa redonda ahora están creadas.
Entonces, ahora, para probar las cosas que funcionan como se esperaba,
abramos rápidamente la consola fácil y lancemos una nueva instancia.
Simplemente lo nombramos como subred del cliente.
AC dos vamos a bajar un poco.
Dentro del guardián, puede seleccionar la tecla o continuar sin el teclado.
Solo seleccionaré la clave por el momento.
Bajemos un poco dentro de la configuración de red.
Tendremos que editarlo para que use una VPC de proyecto y use nuestra subred, que es la subred del cliente, para asegurarnos de que
se inicie dentro de la subred del cliente dentro de la IP pública y automática.
Solo diré habilitar y haremos clic en iniciar instancia.
Está bien.
Por lo tanto, recibimos un error que indica que el tipo de instancia solicitado no es compatible con esta zona de disponibilidad.
Está bien.
Así que editemos la configuración de la instancia.
Bajemos un poco esta vez en lugar de PT a micro porque no parece estar disponible en Osaka en esta zona
de disponibilidad específica.
Busquemos un tipo de instancia completamente diferente.
Solo intentaré averiguarlo.
Largo.
Vamos a ver si está disponible.
Y sí, está disponible.
Nuevamente, este es un aprendizaje importante de que no todos los tipos de instancias están disponibles en todas las
regiones.
Por lo tanto, deberá verificar en general si usará Virginia del Norte, Ohio y otras regiones, realmente
no verá ningún problema.
Pero en algunas de las regiones más nuevas, este es uno de los problemas que generalmente enfrentará de todos modos.
Así que abramos nuestro ESI a la instancia.
Por lo tanto, ahora se encuentra en la etapa de inicialización hasta el momento en que se inicializan las instancias.
Hagamos una cosa para el grupo de seguridad asociado con esta instancia fácil, hay un puerto de 22
que está permitido.
Modifiquemos rápidamente el grupo de seguridad.
Editaré las reglas de entrada.
Agreguemos una nueva regla.
Diré todo el tráfico permitido de todos y luego eliminaré la regla anterior de 22 y haré clic en Guardar.
Excelente.
Volvamos a las instancias y la estadística se pasa aquí.
Así que hagamos una cosa.
Copiemos la IP pública de la instancia.
Y desde un sello, seguiré adelante e intentaré hacer ping.
Y como era de esperar, podemos conectarnos a la instancia.
Así que sigamos adelante e intentemos hacer un SSH.
Excelente.
Así que ahora estamos conectados a la instancia AC dos.
Desde aquí, verifiquemos rápidamente si podemos conectarnos a los servidores como Facebook usando Ping y si funciona
como se esperaba.
Ahora hagamos una llamada con el guión A en el facebook https. com.
Y como era de esperar, en realidad no está recibiendo ninguna respuesta.
Hagamos un control c.
Probemos también con Twitter y, como
era de esperar, no recibe ninguna respuesta.
Ahora, qué puede hacer para verificar si realmente funciona como se esperaba.
Vayamos a los grupos de reglas aquí y dentro del filtro de dominio.
Eliminemos estos dominios.
Quitemos uno de los dominios.
Digamos que eliminaré Twitter.
Está bien.
Perfecto.
Entonces, desde la arcilla, despejemos la pantalla.
Y después de unos segundos, tenga en cuenta que toma un poco de tiempo en segundos para que las reglas se
reflejen.
Así que ahora, si hago un gol, ves que funciona perfectamente bien y estamos recibiendo una respuesta.
De manera similar, también teníamos una regla sin estado que bloquearía el tráfico hacia la dirección IP 8888.
Y verás, en realidad no estamos recibiendo una respuesta.
Excelente.
Esa es la descripción general de alto nivel sobre el firewall de la red.
Nuevamente, el video fue un poco más largo, pero dado que hay muchas cosas involucradas y estábamos
discutiendo sobre todas y cada una, prácticamente, tomó un poco de tiempo.
Ahora, una cosa más a tener en cuenta es que inicialmente puede parecer un poco confuso porque hay muchas
cosas involucradas relacionadas con las entradas de ruta, los conceptos de firewall de red, etc.
Pero una vez que lo implementes en la práctica, las cosas serán mucho más simples.
Ahora nuevamente, tenga en cuenta que antes de concluir el video, asegúrese de eliminar todos los recursos
que ha creado.
De lo contrario, recibirá una factura más alta inesperada.
Ahora déjame mostrarte rápidamente cómo puedes eliminar el firewall de la red.
Entonces, en caso de que intente eliminarlo directamente, esto podría fallar.
Intentemos.
Y como era de esperar, se está editando y se indica que no se puede cumplir con la solicitud porque los puntos
de enlace de la VPC aún existen en las tablas de rutas.
Entonces, lo que debe hacer es eliminar las entradas del punto de enlace de la VPC de la tabla de ruta.
Hagámoslo rápidamente.
Entonces, desde nuestra VPC personalizada, vayamos a las subredes y desde la subred del cliente, tuvimos esta entrada de mesa redonda y
lo mismo en el nivel de la puerta de enlace de Internet.
Así que eliminemos eso rápidamente.
Entonces, en la ruta de nivel de puerta de enlace de Internet, eliminemos la ruta.
Eliminaré la ruta del punto de enlace de la VPC.
Volvamos.
Similarmente.
A nivel de subred de cliente.
Quitemos la carretera.
Y una vez que se eliminan las entradas de la ruta, si intenta eliminar el archivo, bueno, intentémoslo una vez más.
Verás, esta vez está funcionando perfectamente bien.
Eliminemos el mensaje de error anterior para que la eliminación esté en proceso.
Está bien.
Y de manera similar, asegúrese de eliminar también la VPC personalizada y las dos instancias de AC que se crearon.
Esa es la descripción general de alto nivel.
Y con esto finalmente concluirá el video de hoy.