Ciao a tutti e bentornati.
Ora nel video di oggi parleremo di una delle importanti funzionalità di sicurezza che E. w.
Sprouts, che sono le liste di controllo dell'accesso alla rete.
Quindi, a una panoramica di alto livello della nostra rete, vedi, è fondamentalmente un livello di sicurezza opzionale per
il tuo VPC che funge da firewall per controllare il traffico in entrata e in uscita da una o più sottoreti.
Ora, quando discutiamo del firewall, conosciamo le basi del gruppo di sicurezza e come funziona il gruppo di sicurezza
o come aggiungiamo gli indirizzi IP nelle regole del gruppo di sicurezza che devono essere consentiti nella connessione
generale all'istanza EC2.
Quindi, quando discutiamo di firewall, abilitatori, in particolare dal punto di vista del livello di rete,
sono disponibili due tipi di firewall.
Uno è il gruppo di sicurezza e il secondo è quella rete.
Lo vedi.
Ora la differenza principale tra entrambi è che il gruppo di sicurezza funziona a livello di istanza facile.
Quindi, ogni volta che crei un gruppo di sicurezza, associ quel gruppo di sicurezza a un'istanza facile.
Quindi questo è un tipo.
Il secondo tipo è un ACL di rete.
Ora, l'ACL di rete non viene associato direttamente all'istanza easy two, ma puoi associarlo a livello
di sottorete.
Ad esempio, se disponi di un VPC che dispone di più sottoreti pubbliche private, associ l'ACL di
rete a livello di sottorete intera.
Ora di nuovo, andiamo avanti e comprendiamo questo in un modo molto migliore con un semplice caso d'uso.
Quindi abbiamo un caso d'uso in cui un'azienda X, Y o Z riceve molti attacchi da un IP specifico.
Quindi questo è uno degli indirizzi IP da portare a un'enorme quantità di attacchi in arrivo.
Nessuna azienda ha più di 500 server e il team di sicurezza ha deciso di bloccare questo specifico indirizzo IP nel
firewall per tutti i propri server.
Ora, la domanda è: come possiamo andare avanti e raggiungere l'obiettivo?
Ora, quando discutiamo del gruppo di sicurezza, tieni presente che nel gruppo di sicurezza specifichiamo solo
quali sono gli indirizzi IP consentiti all'istanza easy do.
Non possiamo davvero specificare quali sono gli indirizzi IP che sono bloccati.
Ad esempio, supponiamo che tu abbia una delle istanze EC2 che ospita un sito Web noto per l'hosting di siti
Web.
È necessario consentire una particolare porta quattro per tre per il database in.
Se non consenti quella porta per il mondo intero, le persone non saranno in grado di visitare il sito web.
Quindi, considerando che la porta, è un carico per fare database e c'è un utente malintenzionato che sta sfruttando un
grande vantaggio per attaccare il tuo server, devi consentire invece di uno, ma devi bloccare questo
IP specifico.
Quindi, per ottenere questo caso d'uso, la rete ACL è una delle ottime soluzioni.
Quindi, mentre stiamo discutendo di rete, lo vedi quando crei che puoi associare a livello di sottorete.
Quindi supponiamo che tu abbia una sottorete pubblica e una sottorete privata che mangia la sottorete ha 250 set di due istanze
facili, quindi da 15 pubbliche a 50 in privato.
Quindi ora cosa hai intenzione di fare per raggiungere questo obiettivo?
Nell'ACL di rete è possibile specificare una regola di rifiuto con gli indirizzi IP dell'attaccante.
Quindi hai il DNA seguito dall'indirizzo IP.
E poiché questa ACL di rete è connessa sia al pubblico che a quello privato al traffico che arriva a una
di queste istanze easy to che fanno parte di queste sottoreti, anche questo traffico sarà consentito o negato in
base all'ACL di rete.
Quindi, poiché l'ACL di rete è negato, tutto il traffico in arrivo a qualsiasi risorsa o qualsiasi risorsa in questa
sottorete verrà bloccato considerando che sono gli indirizzi IP nella condizione negata.
Quindi questa è la base di ciò che la rete è uguale.
E facciamo subito una rapida demo.
Va bene.
Quindi attualmente per la demo di oggi, ho due semplici istanze in esecuzione in uno dei motivi.
Ora, se esamini questa facile istanza in questa sicurezza, facciamo un grande dump.
Quindi c'è un gruppo di sicurezza qui e nelle regole in entrata, sostanzialmente consente a tutto il
traffico di connettersi all'istanza.
Quindi questo va benissimo.
Quindi facciamo una cosa.
Andiamo avanti e verifichiamo se siamo in grado di portare questo specifico facile all'istanza.
Quindi facciamo un ping e specificherò l'indirizzo IP.
E come previsto, il ping funziona perfettamente.
Quindi immaginiamo che un uso semplice sia proprio quello che vogliamo è che vogliamo che tutti si connettano a questo, facile
da istanziare tranne uno specifico indirizzo IP.
Quindi, mentre stiamo discutendo tranne un indirizzo IP specifico, tutti dovrebbero essere in grado di connettersi all'istanza
EC2.
Ora, per ottenere ciò, non puoi utilizzare direttamente una regola del gruppo di sicurezza.
Quindi quello che farà sarà utilizzare una rete.
E ora, se andrà rapidamente al servizio VPC, apriamolo rapidamente.
Ora nella console VPC, attualmente, se esamini il VPC disponibile, quindi è disponibile solo un valore
predefinito su Ipxe.
E se guardi in questa sottorete, ci sono più sottoreti disponibili.
Ognuno è associato al.
Una zona di disponibilità specifica.
Quindi, se andiamo un po' sul lato destro, vedrai che ogni sottorete è comunque associata a una zona di disponibilità
specifica.
Questa non è la cosa che stiamo cercando.
Quindi, se vai molto giù in sicurezza, c'è l'opzione della rete C poiché apriamola rapidamente.
Ora vedi che è stata creata una lista di controllo accessi di rete e i suoi stati sono associati a quattro sottoreti.
Ora, come stavamo discutendo, un ACL di rete può essere associato a livello di sottorete.
Quindi questa ACL di rete è associata a quattro sottoreti.
E se esamini questo VPC, questo specifico VPC o area, ha un totale di quattro sottoreti.
Quindi puoi essenzialmente vedere che l'ACL di rete è associato al detto VPC dati.
Ora, se esamini l'ACL di rete, di nuovo, in modo simile al gruppo di sicurezza, hai regole in entrata e
in uscita.
Se fai clic su nei moduli, vedrai che sono disponibili due regole.
Uno è la regola del permesso e il secondo è il loro rifiuto.
Quindi facciamo una cosa.
Andiamo avanti e modifichiamo l'area inbound di Lulu.
Quindi il nostro punto è andare avanti e bloccare un indirizzo IP specifico.
Quindi, se lo faccio rapidamente, questo è l'indirizzo IP che ho.
Copio questo su.
Quindi facciamo una cosa.
Andiamo avanti e creiamo una nuova regola qui.
Diamo un numero di regola di 99 e la fonte, diciamo l'indirizzo IP del mio attuale ISP.
E all'interno vedo solo tutto il traffico e all'interno consentito il nome.
Imposterò la notte e cliccherò per salvare questo.
Grande.
E quindi se guardiamo alle regole in entrata qui, hai una nuova regola qui, che è quella evidenziata, che
è la regola di rifiuto.
E l'indirizzo IP di origine è il mio attuale AP.
Quindi ora ciò che accadrà è ogni volta che questo specifico indirizzo IP fa una richiesta a qualsiasi risorsa
che fa parte del PCB in un'istanza EC2, sia essa 2000, facile da istanziare, il traffico verrà bloccato.
Quindi verifichiamo rapidamente.
Quindi, se alleno di nuovo bing, non siamo in grado di stabilire l'ordine di connettività.
Guardo e vedo e appena togliamo la regola, proviamo.
Quindi questa regola numero 99, togliamola.
Farà come cambia.
E proviamo a rifare l'essere.
Vedete che funziona perfettamente alla grande.
Quindi spero che ad una panoramica di alto livello tu abbia compreso le funzionalità di base della progettazione
di rete e in effetti questo caso d'uso specifico di cui stavamo discutendo, questo
è uno dei casi d'uso comuni che vedrai nell'organizzazione in cui è presente un indirizzo IP forzando continuamente più istanze
facili e si desidera bloccare quell'indirizzo IP dall'intero VPC in modo che non raggiunga effettivamente nessuna
delle istanze facili.
Quindi, per farlo rapidamente, il design della rete è un ottimo modo per ottenerlo.
Quindi, prima di concludere, diamo un'occhiata ad alcuni dei suggerimenti importanti per.
Uno è che ogni sottorete nel VPC deve essere associata alla rete.
Vedere?
Ora, se non associ esplicitamente la sottorete alla rete, vedrai che la sottorete è automaticamente
associata alla rete predefinita.
Lo vedi.
Quindi generalmente esiste una rete predefinita facile e che viene creata automaticamente.
Quindi questa ACL di rete predefinita sarà associata a tutte le sottoreti per impostazione predefinita.
Va bene.
Quindi questa è l'ACL di rete predefinita che consente tutto il traffico IPV quattro in entrata e in uscita e, se applicabile,
anche il traffico IPV sei.
E l'ultimo punto importante è che puoi associare un ACL di rete a più sottoreti.
Tuttavia, una sottorete può essere associata a una sola ACL di rete alla volta.
Ora, una cosa che volevo chiarire è che questa ACL di rete che vedi, in effetti questa è chiamata regione,
questa è la regione che sto usando per la prima volta per questo account specifico.
Quindi questo è fondamentalmente un VPC predefinito che è già stato creato all'interno della regione.
Quindi questo valore predefinito per essere occupato si presenta anche con l'ACL di rete predefinita.
Quindi questa è la negoziazione predefinita di cui stavamo discutendo.
E questo è ciò che fondamentalmente significa che se non associ esplicitamente una sottorete a una
rete, le sottoreti sono automaticamente associate a una rete predefinita è ti farò aggiungere questo se vuoi creare
un ACA di rete personalizzato, questo è anche qualcosa che puoi fare facilmente.
Quindi da qui puoi creare l'ACL di rete personalizzata e puoi associare quella negoziazione personalizzata a una
sottorete specifica all'interno del VPC.
Quindi questa è la panoramica di alto livello sulla rete.
Lo vedete e con questo si concluderà il video di oggi.