Olá a todos e bem-vindos de volta.
Agora, no vídeo de hoje, discutiremos sobre uma das importantes funcionalidades de segurança que o E. C.
Sprouts, que são as listas de controle de acesso à rede.
Então, em uma visão geral de alto nível da nossa rede, veja, é basicamente uma camada opcional de segurança
para sua VPC que atua como um firewall para controlar o tráfego de entrada e saída de uma ou mais sub-redes.
Agora, quando discutimos sobre firewall, conhecemos os fundamentos do security group e como o security group funciona ou como
adicionamos os endereços IP nas regras do security group que precisam ser permitidos na conexão geral com a
instância do EC2.
Então, quando discutimos sobre firewalls, habilitadores, especificamente do ponto de vista da camada de rede, existem dois
tipos de firewalls disponíveis para nós.
Um é o grupo de segurança e o segundo é essa rede.
Você vê.
Agora, a principal diferença entre os dois é que o grupo de segurança funciona em nível de instância fácil.
Portanto, sempre que você cria um grupo de segurança, associa esse grupo de segurança a uma instância fácil.
Então esse é um tipo.
O segundo tipo é uma rede ACL.
Agora, o Network ACL não é associado diretamente à instância easy two, mas você pode associar em um
nível de sub-rede.
Por exemplo, se você tiver uma VPC com várias sub-redes públicas privadas, você associará a Network ACL
em todo o nível de sub-rede.
Agora, novamente, vamos em frente e entender isso de uma maneira muito melhor com um caso de uso simples.
Portanto, temos um caso de uso em que uma empresa X, Y ou Z está recebendo muitos ataques de um IP específico.
Portanto, este é um dos endereços IP que levam a uma enorme quantidade de ataques que estão chegando.
Nenhuma empresa tem mais de 500 servidores e a equipe de segurança decidiu bloquear esse endereço IP específico no
firewall para todos os seus servidores.
Agora, a questão é, como podemos ir em frente e atingir a meta?
Agora, quando discutimos sobre o grupo de segurança, observe que no grupo de segurança especificamos apenas quais
são os endereços IP permitidos para a instância do easy do.
Não podemos realmente especificar quais são os endereços IP bloqueados.
Por exemplo, digamos que você tenha uma das instâncias do EC2 que hospeda um site conhecido por hospedagem de
sites.
Você precisa permitir uma determinada porta quatro para três para o banco de dados.
Se você não permitir essa porta para o mundo inteiro, as pessoas não poderão visitar o site.
Então, considerando que a porta, é uma carga para fazer banco de dados e há um invasor que está se aproveitando
muito de atacar seu servidor, você tem que permitir em vez de um, mas tem que bloquear esse
IP específico.
Portanto, para alcançar esse caso de uso, a rede ACL é uma das grandes soluções.
Então, enquanto estamos discutindo a rede, você a vê quando cria, pode associar no nível da sub-rede.
Então, digamos que você tenha uma sub-rede pública e uma sub-rede privada, a sub-rede tem 250 conjuntos de duas instâncias
fáceis, para 15 públicas a 50 em particular.
Então agora o que você vai fazer para atingir esse objetivo?
Na network ACL, você pode especificar uma regra de negação com os endereços IP do invasor.
Então você tem DNA seguido pelo endereço IP.
E como essa rede ACL está conectada tanto ao público quanto ao privado ao tráfego que chega a qualquer
uma dessas instâncias fáceis que fazem parte dessas sub-redes, esse tráfego também será permitido ou negado com
base na rede ACL.
Portanto, como a ACL de rede é negada, qualquer tráfego que chegue a qualquer fácil ou qualquer recurso nesta
sub-rede será bloqueado considerando que são os endereços IP na condição negada.
Portanto, este é o básico do que é igual a rede.
E vamos fazer uma demonstração rápida.
Tudo bem.
Atualmente, para a demonstração de hoje, tenho duas instâncias fáceis que estão sendo executadas em um dos motivos.
Agora, se você olhar para esta instância fácil nesta segurança, vamos fazer um grande despejo.
Portanto, há um grupo de segurança aqui e nas regras de entrada, basicamente, permite que todo o tráfego
se conecte à instância.
Então isso está perfeitamente bem.
Então vamos fazer uma coisa.
Vamos em frente e verificar se somos capazes de trazer essa instância específica para fácil.
Então vamos fazer um ping e eu vou especificar o endereço IP.
E como esperado, o ping está funcionando perfeitamente bem.
Então, vamos imaginar que um uso simples é o que queremos é que todos se conectem a isso, fácil
de instância, exceto um endereço IP específico.
Portanto, como estamos discutindo, exceto um endereço IP específico, todos devem poder se conectar à instância do
EC2.
Agora, para conseguir isso, você não pode usar diretamente uma regra de grupo de segurança.
Então, o que vai fazer será fazer uso de uma rede.
E agora, se for rapidamente para o serviço VPC, vamos abri-lo rapidamente.
Agora no console da VPC, atualmente, se você olhar para a VPC que está disponível, apenas um padrão
para Ipxe disponível.
E se você examinar essa sub-rede, há várias sub-redes disponíveis.
Cada um está associado ao.
Uma zona de disponibilidade específica.
Então, se formos um pouco para o lado direito, você verá que cada sub-rede está associada a uma zona de disponibilidade específica de
qualquer maneira.
Esta não é a coisa que estamos procurando.
Então, se você for muito para baixo em segurança, existe a opção da rede C, pois vamos abrir isso rapidamente.
Agora você vê que há uma ACL de rede criada e seus estados associados a quatro sub-redes.
Agora, como estávamos discutindo, uma rede ACL pode ser associada no nível de sub-rede.
Portanto, essa network ACL está associada a quatro sub-redes.
E se você analisar essa VPC, essa VPC ou área específica, ela tem um total de quatro sub-redes.
Assim, você pode ver essencialmente que a Network ACL está associada ao dizer VPC de dados.
Agora, se você examinar a ACL de rede, novamente, semelhante ao grupo de segurança, você terá regras de entrada
e saída.
Se você clicar em módulos, verá que existem duas regras disponíveis.
Uma é a regra de permissão e a segunda é a negação.
Então vamos fazer uma coisa.
Vamos em frente e editar a área Lulu de entrada.
Portanto, nosso objetivo é seguir em frente e bloquear um endereço IP específico.
Então, se eu fizer rapidamente um pode ser este é o endereço IP que eu tenho.
Vamos copiar isso.
Então vamos fazer uma coisa.
Vamos em frente e criar uma nova regra aqui.
Vamos dar um número de regra de 99 e a fonte, digamos o endereço IP do meu ISP atual.
E dentro disso eu só vejo todo o tráfego e dentro do permitido o nome.
Vou definir a noite e clicar em salvar isso.
Excelente.
E se estamos olhando para as regras de entrada aqui, você tem uma nova regra aqui, que é a destacada,
que é a regra de negação.
E o endereço IP de origem é meu AP atual.
Então agora o que vai acontecer é sempre que esse endereço IP específico fizer uma solicitação para qualquer recurso que
faça parte do PCB em uma instância do EC2, seja 2000, fácil de instância, o tráfego será bloqueado.
Então vamos verificar rapidamente.
Então, se eu treinar o bing novamente, não podemos estabelecer a ordem de conectividade.
Eu olho e vejo e assim que removermos a regra, vamos experimentar.
Então essa regra número 99, vamos removê-la.
Fará como ele muda.
E vamos tentar voltar a ser.
Você vê que está funcionando perfeitamente bem.
Portanto, espero que, em uma visão geral de alto nível, você tenha entendido a funcionalidade básica do design de rede
e, de fato, esse caso de uso específico que estávamos discutindo, este é um dos casos
de uso comuns que você verá na organização onde há um endereço IP que é força bruta contínua de várias instâncias fáceis e
você deseja bloquear esse endereço IP de toda a sua VPC para que ele realmente não alcance nenhuma
das instâncias fáceis.
Portanto, para fazer isso rapidamente, o design de rede é uma ótima maneira de conseguir isso.
Então, antes de concluirmos, vamos dar uma olhada em alguns dos indicadores importantes para.
Uma é que cada sub-rede em sua VPC deve estar associada à rede.
Ver?
Agora, se você não associar explicitamente a sub-rede à rede, verá que a sub-rede está
automaticamente associada à rede padrão.
Você vê.
Então geralmente existe uma rede padrão fácil e que é criada automaticamente.
Portanto, esta ACL de rede padrão será associada a todas as sub-redes por padrão.
Tudo bem.
Portanto, esta é a ACL de rede padrão que permite todo o tráfego IPV quatro de entrada e saída e, se aplicável,
tráfego IPV seis também.
E o último ponto importante é que você pode associar uma rede ACL a várias sub-redes.
No entanto, uma sub-rede pode ser associada a apenas uma ACL de rede por vez.
Agora, uma coisa que eu queria deixar claro é que essa network ACL que você vê, na verdade essa região
chamada, essa é a região que estou usando pela primeira vez para essa conta específica.
Portanto, esta é basicamente uma VPC padrão que já foi criada na região.
Portanto, esse padrão de estar ocupado também vem com a rede ACL padrão.
Esta é a negociação padrão sobre a qual estávamos discutindo.
E é isso que basicamente significa que, se você não associar explicitamente uma sub-rede a uma
rede, as sub-redes são automaticamente associadas a uma rede padrão, vou adicionar isso se você quiser criar um
ACA de rede personalizado, isso é também algo que você pode fazer facilmente.
A partir daqui, você pode criar a ACL de rede personalizada e associar essa negociação personalizada a
uma sub-rede específica na VPC.
Portanto, esta é a visão geral de alto nível sobre a rede.
Você vê e com isso vai concluir o vídeo de hoje.