Hallo zusammen und willkommen zurück.
Im heutigen Video werden wir nun über eine der wichtigen Sicherheitsfunktionen sprechen, die E. W.
Sprouts, das sind die Netzwerkzugriffskontrolllisten.
Sehen Sie also, um einen Überblick über unser Netzwerk auf hoher Ebene zu erhalten, es ist im Grunde eine
optionale Sicherheitsebene für Ihre VPC, die als Firewall fungiert, um den Datenverkehr in und aus einem oder mehreren Subnetzen zu kontrollieren.
Wenn wir jetzt über Firewalls sprechen, kennen wir die Grundlagen der Sicherheitsgruppe und wie Sicherheitsgruppen funktionieren
oder wie wir die IP-Adressen in den Sicherheitsgruppenregeln hinzufügen, die in der Gesamtverbindung zur EC2-Instanz
zugelassen werden müssen.
Wenn wir also über Firewalls und Enabler sprechen, insbesondere aus Sicht der Netzwerkschicht, stehen uns
zwei Arten von Firewalls zur Verfügung.
Einer ist die Sicherheitsgruppe und der zweite ist dieses Netzwerk.
Du siehst es.
Der Hauptunterschied zwischen beiden besteht nun darin, dass die Sicherheitsgruppe auf einfacher Instanzebene arbeitet.
Wenn Sie also eine Sicherheitsgruppe erstellen, ordnen Sie diese Sicherheitsgruppe einfach zu instanziieren zu.
Das ist also eine Art.
Der zweite Typ ist eine Netzwerk-ACL.
Jetzt wird die Netzwerk-ACL nicht direkt mit der Easy-Two-Instanz verknüpft, aber Sie können sie auf
Subnetzebene verknüpfen.
Wenn Sie beispielsweise eine VPC mit mehreren öffentlichen privaten Subnetzen haben, ordnen Sie die Netzwerk-ACL
auf der gesamten Subnetzebene zu.
Lassen Sie uns nun noch einmal fortfahren und dies anhand eines einfachen Anwendungsfalls viel besser verstehen.
Wir haben also einen Anwendungsfall, bei dem ein Unternehmen X, Y oder Z viele Angriffe von einer bestimmten IP erhält.
Dies ist also eine der IP-Adressen, die zu einer großen Anzahl von Angriffen führt.
Kein Unternehmen hat mehr als 500 Server und das Sicherheitsteam hat beschlossen, diese spezifische IP-Adresse in der Firewall
für alle seine Server zu blockieren.
Nun stellt sich die Frage, wie können wir weitermachen und das Ziel erreichen?
Wenn wir jetzt über die Sicherheitsgruppe sprechen, beachten Sie, dass wir in der Sicherheitsgruppe
nur angeben, welche IP-Adressen der easy do-Instanz erlaubt sind.
Wir können nicht wirklich angeben, welche IP-Adressen blockiert werden.
Angenommen, Sie haben eine der EC2-Instances, die eine Website hostet, die für das Website-Hosting bekannt ist.
Sie müssen bestimmten Port vier für drei für die in-Datenbank zulassen.
Wenn Sie diesen Port nicht für die ganze Welt zulassen, können die Benutzer die Website nicht besuchen.
Wenn man bedenkt, dass der Port eine Last für die Datenbank ist und es einen Angreifer gibt, der einen großen
Vorteil daraus zieht, Ihren Server anzugreifen, müssen Sie statt einem zulassen, aber Sie müssen diese spezifische
IP blockieren.
Um diesen Anwendungsfall zu erreichen, ist Netzwerk ACL eine der großartigen Lösungen.
Da wir also über das Netzwerk sprechen, sehen Sie es, wenn Sie es erstellen, können Sie es auf Subnetzebene zuordnen.
Nehmen wir also an, Sie haben ein öffentliches Subnetz und ein privates Subnetz. Das Subnetz hat 250 einfache zwei
Instanzen, also 15 öffentlich zu 50 privat.
Was werden Sie nun tun, um dieses Ziel zu erreichen?
In der Netzwerk-ACL können Sie eine Ablehnungsregel mit den IP-Adressen des Angreifers angeben.
Sie haben also DNA, gefolgt von der IP-Adresse.
Und da diese Netzwerk-ACL sowohl mit dem öffentlichen als auch mit dem privaten Datenverkehr verbunden ist, der zu diesen
einfach zu erreichenden Instanzen gelangt, die Teil dieser Subnetze sind, wird dieser Datenverkehr ebenfalls basierend auf der
Netzwerk-ACL zugelassen oder verweigert.
Da die Netzwerk-ACL verweigert wird, wird jeglicher Datenverkehr, der zu beliebigen Ressourcen in diesem Subnetz gelangt, blockiert,
da es sich um die IP-Adressen im verweigerten Zustand handelt.
Das ist also die Grundlage dessen, was Netzwerk gleicht.
Und lassen Sie uns schnell eine kurze Demo haben.
Gut.
Für die heutige Demo habe ich also derzeit eine einfache Zwei-Instanz, die in einem der Gründe ausgeführt wird.
Nun, wenn Sie sich diese einfach zu inspizierende Sicherheit ansehen, lassen Sie uns einen großen Mülleimer machen.
Hier drüben gibt es also eine Sicherheitsgruppe, und in den eingehenden Regeln lässt sie im Grunde zu, dass sich der gesamte
Datenverkehr mit der Instanz verbindet.
Das ist also vollkommen in Ordnung.
Also lasst uns eine Sache tun.
Lassen Sie uns weitermachen und überprüfen, ob wir in der Lage sind, dies einfach zu exemplifizieren.
Machen wir also einen Ping und ich gebe die IP-Adresse an.
Und wie erwartet funktioniert der Ping einwandfrei.
Stellen wir uns also vor, dass eine einfache Verwendung genau das ist, was wir wollen, wir möchten, dass sich jeder damit
verbindet, einfach zu instanziieren, außer einer bestimmten IP-Adresse.
Da wir also hier diskutieren, sollte jeder außer einer bestimmten IP-Adresse in der Lage sein, sich mit der EC2-Instance zu
verbinden.
Um dies zu erreichen, können Sie jetzt nicht direkt eine Sicherheitsgruppenregel verwenden.
Was also getan wird, wird ein Netzwerk nutzen.
Und jetzt, wenn wir schnell zum VPC-Dienst gehen, lassen Sie uns das schnell öffnen.
Jetzt ist in der VPC-Konsole derzeit, wenn Sie in die VPC schauen, die verfügbar ist, also nur ein Standardwert
für Ipxe verfügbar.
Und wenn Sie sich dieses Subnetz ansehen, stehen mehrere Subnetze zur Verfügung.
Jeder ist mit dem verbunden.
Eine bestimmte Verfügbarkeitszone.
Wenn wir also etwas nach rechts gehen, sehen Sie, dass jedes Subnetz ohnehin einer bestimmten Verfügbarkeitszone zugeordnet
ist.
Das ist nicht das, wonach wir suchen.
Wenn Sie also unter Sicherheit gehen, gibt es die Option von Netzwerk C, da lassen Sie uns dies schnell öffnen.
Jetzt sehen Sie, dass eine Netzwerk-ACL erstellt wird und deren Zustände vier Subnetzen zugeordnet sind.
Nun, wie wir besprochen haben, kann eine Netzwerk-ACL auf Subnetzebene zugeordnet werden.
Diese Netzwerk-ACL ist also vier Subnetzen zugeordnet.
Und wenn Sie sich diese VPC, diese spezifische VPC oder diesen Bereich ansehen, hat sie insgesamt vier Subnetze.
Sie können also im Wesentlichen sehen, dass die Netzwerk-ACL mit der Daten-VPC verknüpft ist.
Wenn Sie sich jetzt wieder die Netzwerk-ACL ansehen, haben Sie ähnlich wie bei der Sicherheitsgruppe ein- und
ausgehende Regeln.
Wenn Sie in Modulen auf klicken, sehen Sie, dass zwei Regeln verfügbar sind.
Die eine ist die Zulassungsregel und die zweite ihre Verweigerung.
Also lasst uns eine Sache tun.
Lassen Sie uns fortfahren und den eingehenden Lulu-Bereich bearbeiten.
Unser Punkt ist also, eine bestimmte IP-Adresse zu blockieren.
Also wenn ich schnell eine mache kann das die IP Adresse sein die ich habe.
Lassen Sie uns das kopieren.
Also lasst uns eine Sache tun.
Lassen Sie uns fortfahren und hier eine neue Regel erstellen.
Geben wir eine Regelnummer von 99 und die Quelle an, sagen wir die IP-Adresse meines aktuellen ISP.
Und darin sehe ich nur den gesamten Verkehr und innerhalb des zulässigen Namens.
Ich stelle die Nacht ein und klicke auf Speichern.
Toll.
Wenn wir uns also die eingehenden Regeln hier drüben ansehen, haben Sie hier drüben eine neue Regel, die
hervorgehoben ist, nämlich die Verweigerungsregel.
Und die Quell-IP-Adresse ist mein aktueller AP.
Was nun also passieren wird, ist, dass jedes Mal, wenn diese spezifische IP-Adresse eine Anfrage an alle Ressourcen stellt, die
Teil des PCB sind, es eine EC2-Instanz ist, sei es 2000, einfach zu instanziieren, der Datenverkehr blockiert wird.
Lassen Sie uns also schnell überprüfen.
Wenn ich also Bing erneut trainiere, sehen Sie, dass wir die Konnektivitätsreihenfolge nicht herstellen können.
Ich schaue und sehe und sobald wir die Regel entfernen, probieren wir es aus.
Also diese Regel Nummer 99, entfernen wir sie.
Wird tun, wie er sich ändert.
Und lasst uns versuchen, das Sein wieder aufzurichten.
Sie sehen, es funktioniert perfekt großartig.
Ich hoffe also, dass Sie die grundlegenden Funktionen des Netzwerkdesigns auf hoher Ebene verstanden haben,
und tatsächlich ist dieser spezifische Anwendungsfall, den wir besprochen haben, einer der
häufigsten Anwendungsfälle, die Sie in Organisationen sehen werden, in denen es eine IP-Adresse gibt kontinuierliches Brute-Forcing mehrerer Easy-to-Instanzen
und Sie möchten diese IP-Adresse von Ihrer gesamten VPC blockieren, sodass sie keine der Easy-to-Instanzen
wirklich erreicht.
Um dies schnell zu erreichen, ist Netzwerkdesign eine großartige Möglichkeit, dies zu erreichen.
Bevor wir also zum Schluss kommen, schauen wir uns einige der wichtigen Hinweise für an.
Zum einen muss jedes Subnetz in Ihrer VPC dem Netzwerk zugeordnet sein.
Sehen?
Wenn Sie das Subnetz jetzt nicht explizit dem Netzwerk zuordnen, sehen Sie, dass das Subnetz
automatisch dem Standardnetzwerk zugeordnet wird.
Du siehst es.
Im Allgemeinen gibt es also ein einfaches Standardnetzwerk, das automatisch erstellt wird.
Daher wird diese Standard-Netzwerk-ACL standardmäßig allen Subnetzen zugeordnet.
Gut.
Dies ist also die Standardnetzwerk-ACL, die den gesamten eingehenden und ausgehenden IPV-4-Datenverkehr und gegebenenfalls
auch IPV-6-Datenverkehr zulässt.
Und der letzte wichtige Punkt ist, dass Sie eine Netzwerk-ACL mehreren Subnetzen zuordnen können.
Ein Subnetz kann jedoch nur jeweils einer Netzwerk-ACL zugeordnet werden.
Nun, eine Sache, die ich klarstellen wollte, ist, dass diese Netzwerk-ACL, die Sie sehen, tatsächlich diese sogenannte Region ist,
dies ist die Region, die ich zum ersten Mal für dieses spezielle Konto verwende.
Dies ist also im Grunde eine Standard-VPC, die bereits innerhalb der Region erstellt wurde.
Diese Standardeinstellung, beschäftigt zu sein, wird also auch mit der Standardnetzwerk-ACL angezeigt.
Das ist also die Standardverhandlung, über die wir gesprochen haben.
Und das bedeutet im Grunde, dass, wenn Sie ein Subnetz nicht explizit einem Netzwerk
zuordnen, die Subnetze automatisch einem Standardnetzwerk zugeordnet werden. Ich muss Sie dies hinzufügen, wenn Sie ein
benutzerdefiniertes Netzwerk-ACA erstellen möchten auch etwas, das Sie leicht tun können.
Von hier aus können Sie also die benutzerdefinierte Netzwerk-ACL erstellen und diese benutzerdefinierte Aushandlung einem bestimmten
Subnetz innerhalb der VPC zuordnen.
Dies ist also die grobe Übersicht über das Netzwerk.
Ihr seht es und schließt damit das heutige Video ab.