Salut tout le monde et bienvenue.
Maintenant, dans la vidéo d'aujourd'hui, nous allons discuter de l'une des fonctionnalités de sécurité importantes qu'E. W
Sprouts, qui sont les listes de contrôle d'accès au réseau.
Ainsi, à un aperçu de haut niveau de notre réseau, vous voyez, il s'agit essentiellement d'une couche de sécurité
facultative pour votre VPC qui agit comme un pare-feu pour contrôler le trafic entrant et sortant d'un ou plusieurs sous-réseaux.
Maintenant, lorsque nous discutons du pare-feu, nous connaissons les bases du groupe de sécurité et comment le groupe de sécurité fonctionne ou
comment nous ajoutons les adresses IP dans les règles du groupe de sécurité qui doivent être autorisées dans la connexion
globale à l'instance EC2.
Ainsi, lorsque nous discutons des pare-feu, des activateurs, en particulier du point de vue de la couche réseau, deux
types de pare-feu sont disponibles pour nous.
Le premier est le groupe de sécurité et le second est ce réseau.
Tu le vois.
Maintenant, la principale différence entre les deux est que le groupe de sécurité fonctionne au niveau de l'instance facile.
Ainsi, chaque fois que vous créez un groupe de sécurité, vous associez ce groupe de sécurité à facile à instancier.
C'est donc un type.
Le deuxième type est une ACL réseau.
Désormais, l'ACL réseau n'est pas directement associée aux deux instances faciles, mais vous pouvez l'associer au niveau
du sous-réseau.
Par exemple, si vous avez un VPC qui a plusieurs sous-réseaux privés publics, vous associez l'ACL
réseau au niveau du sous-réseau entier.
Encore une fois, allons de l'avant et comprenons cela d'une bien meilleure manière avec un cas d'utilisation simple.
Nous avons donc un cas d'utilisation où une entreprise X, Y ou Z subit de nombreuses attaques à partir d'une adresse IP spécifique.
C'est donc l'une des adresses IP qui mène à une énorme quantité d'attaques.
Aucune entreprise ne possède plus de 500 serveurs et l'équipe de sécurité a décidé de bloquer cette adresse IP spécifique dans
le pare-feu pour tous leurs serveurs.
Maintenant, la question est, comment pouvons-nous aller de l'avant et atteindre l'objectif ?
Maintenant, lorsque nous discutons du groupe de sécurité, notez que dans le groupe de sécurité, nous spécifions
uniquement quelles sont les adresses IP autorisées pour l'instance easy do.
On ne peut pas vraiment préciser quelles sont les adresses IP qui sont bloquées.
Par exemple, supposons que vous ayez l'une des instances EC2 qui héberge un site Web connu pour l'hébergement de sites
Web.
Vous devez autoriser un port particulier quatre pour trois pour la base de données in.
Si vous n'autorisez pas ce port pour le monde entier, les gens ne pourront pas visiter le site Web.
Donc, étant donné que le port, c'est une charge pour faire de la base de données et qu'il y a un attaquant qui
profite beaucoup de l'attaque de votre serveur, vous devez autoriser au lieu d'un, mais vous devez bloquer cette
adresse IP spécifique.
Donc, pour réaliser ce cas d'utilisation, l'ACL réseau est l'une des excellentes solutions.
Donc, comme nous parlons de réseau, vous le voyez lorsque vous créez, vous pouvez vous associer au niveau du sous-réseau.
Supposons donc que vous ayez un sous-réseau public et un sous-réseau privé qui contient 250 ensembles de deux instances
faciles, soit 15 publiques pour 50 privées.
Alors maintenant, qu'allez-vous faire pour atteindre cet objectif ?
Dans l'ACL réseau, vous pouvez spécifier une règle de refus avec les adresses IP de l'attaquant.
Vous avez donc l'ADN suivi de l'adresse IP.
Et puisque cette ACL réseau est connectée à la fois au trafic public et privé qui arrive à l'une de
ces instances faciles à utiliser qui font partie de ces sous-réseaux, ce trafic sera également autorisé ou refusé en
fonction de l'ACL réseau.
Ainsi, étant donné que l'ACL réseau est refusée, tout trafic provenant de ressources faciles à accéder ou de ressources de ce
sous-réseau sera bloqué, car il s'agit des adresses IP dans la condition refusée.
C'est donc la base de ce que le réseau équivaut.
Et faisons rapidement une démo rapide.
Très bien.
Donc, actuellement, pour la démo d'aujourd'hui, j'ai deux instances faciles qui s'exécutent dans l'une des raisons.
Maintenant, si vous examinez cette instance facile dans cette sécurité, allons-y un gros vidage.
Il y a donc un groupe de sécurité ici et dans les règles entrantes, il autorise essentiellement tout le trafic
à se connecter à l'instance.
Donc c'est parfaitement bien.
Alors faisons une chose.
Allons-y et vérifions si nous sommes en mesure d'apporter ce détail facile à l'exemple.
Faisons donc un ping et je préciserai l'adresse IP.
Et comme prévu, le ping fonctionne parfaitement bien.
Alors imaginons qu'une utilisation simple est vraiment ce que nous voulons, c'est que tout le monde se connecte à cela, facile
à instancier sauf une adresse IP spécifique.
Donc, comme nous discutons à l'exception d'une adresse IP spécifique, tout le monde devrait pouvoir se connecter à l'instance
EC2.
Maintenant, pour y parvenir, vous ne pouvez pas utiliser directement une règle de groupe de sécurité.
Donc, ce qui se fera sera d'utiliser un réseau.
Et maintenant, si vous allez rapidement au service VPC, ouvrons-le rapidement.
Maintenant, dans la console VPC, actuellement, si vous examinez le VPC qui est disponible, seule une valeur par défaut
pour Ipxe est disponible.
Et si vous examinez ce sous-réseau, plusieurs sous-réseaux sont disponibles.
Chacun est associé au.
Une zone de disponibilité spécifique.
Donc, si nous allons un peu à droite, vous voyez que chaque sous-réseau est de toute façon associé à une zone de
disponibilité spécifique.
Ce n'est pas la chose que nous recherchons.
Donc, si vous êtes gros sous la sécurité, il y a l'option du réseau C car ouvrons rapidement cela.
Vous voyez maintenant qu'il y a une ACL réseau qui est créée et ses états associés à quatre sous-réseaux.
Maintenant, comme nous en parlions, une ACL réseau peut être associée au niveau du sous-réseau.
Cette ACL réseau est donc associée à quatre sous-réseaux.
Et si vous examinez ce VPC, ce VPC ou cette zone spécifique, il a au total quatre sous-réseaux.
Ainsi, vous pouvez essentiellement voir que l'ACL réseau est associée au VPC de données.
Maintenant, si vous examinez l'ACL réseau, encore une fois, comme pour le groupe de sécurité, vous avez des règles entrantes
et sortantes.
Si vous cliquez sur dans les modules, vous verrez qu'il y a deux règles qui sont disponibles.
L'une est la règle d'autorisation, et la seconde est leur refus.
Alors faisons une chose.
Continuons et modifions la zone entrante de Lulu.
Notre point est donc d'aller de l'avant et de bloquer une adresse IP spécifique.
Donc si je fais rapidement un peut être c'est l'adresse IP que j'ai.
Copions ceci.
Alors faisons une chose.
Continuons et créons une nouvelle règle ici.
Donnons un numéro de règle de 99 et la source, disons l'adresse IP de mon FAI actuel.
Et à l'intérieur de cela, je vois juste tout le trafic et dans le cadre du nom autorisé.
Je définirai la nuit et je cliquerai sur enregistrer ceci.
Génial.
Et donc si nous regardons les règles entrantes ici, vous avez une nouvelle règle ici, qui est celle en surbrillance,
qui est la règle de refus.
Et l'adresse IP source est mon point d'accès actuel.
Alors maintenant, ce qui se passera, c'est que chaque fois que cette adresse IP spécifique fera une demande à toutes les ressources
qui font partie du PCB, il s'agit d'une instance EC2, que ce soit 2000, facile à instancier, le trafic sera bloqué.
Alors vérifions rapidement.
Donc, si je forme à nouveau bing, vous voyez, nous ne sommes pas en mesure d'établir l'ordre de connectivité.
Je regarde et vois et dès que nous supprimons la règle, essayons.
Alors cette règle numéro 99, supprimons-la.
Fera comme il change.
Et essayons de refaire l'être.
Vous voyez que cela fonctionne parfaitement bien.
J'espère donc qu'à un niveau élevé, vous avez compris les fonctionnalités de base de la conception de réseau et en
fait ce cas d'utilisation spécifique dont nous parlions, c'est l'un des cas d'utilisation courants que vous
verrez dans une organisation où il y a une adresse IP qui est forcer brutalement en continu plusieurs instances faciles à utiliser et
vous souhaitez bloquer cette adresse IP de l'ensemble de votre VPC afin qu'elle n'atteigne pas vraiment l'une des instances
faciles à utiliser.
Donc, pour y parvenir rapidement, la conception de réseau est un excellent moyen d'y parvenir.
Donc, avant de conclure, examinons quelques-uns des pointeurs importants pour.
La première est que chaque sous-réseau de votre VPC doit être associé au réseau.
Voir?
Maintenant, si vous n'associez pas explicitement le sous-réseau au réseau, vous voyez que le sous-réseau est automatiquement
associé au réseau par défaut.
Tu le vois.
Donc, généralement, il existe un réseau par défaut facile et qui est créé automatiquement.
Ainsi, cette ACL réseau par défaut sera associée à tous les sous-réseaux par défaut.
Très bien.
Il s'agit donc de l'ACL réseau par défaut qui autorise tout le trafic IPV quatre entrant et sortant et, le cas échéant,
le trafic IPV six également.
Et le dernier point important est que vous pouvez associer une ACL réseau à plusieurs sous-réseaux.
Cependant, un sous-réseau ne peut être associé qu'à une seule ACL réseau à la fois.
Maintenant, une chose que je voulais préciser, c'est que cette ACL réseau que vous voyez, en fait cette région
appelée, c'est la région que j'utilise pour la première fois pour ce compte spécifique.
Il s'agit donc essentiellement d'un VPC par défaut qui a déjà été créé dans la région.
Donc, cette valeur par défaut d'être occupé est également associée à l'ACL réseau par défaut.
C'est donc la négociation par défaut dont nous parlions.
Et c'est ce que cela signifie essentiellement que si vous n'associez pas explicitement un sous-réseau à un
réseau, les sous-réseaux sont-ils automatiquement associés à un réseau par défaut, je vous ferai ajouter cela si vous souhaitez
créer un réseau ACA personnalisé, c'est aussi quelque chose que vous pouvez facilement faire.
Ainsi, à partir de là, vous pouvez créer l'ACL réseau personnalisé et vous pouvez associer cette négociation personnalisée à un
sous-réseau spécifique au sein du VPC.
Il s'agit donc d'une vue d'ensemble de haut niveau sur le réseau.
Vous le voyez et avec cela conclura la vidéo d'aujourd'hui.