Y bienvenidos de nuevo a la Academia de retroceso en esta conferencia.
Vamos a ver cómo aumentar la seguridad de nuestra VPC usando entradas en nuestras listas de control de acceso a la
red, control de acceso a la red restringida, están asociadas a una subred, a diferencia de los grupos de seguridad que
están asociados a una instancia, por lo que cualquier instancia que esté dentro de esa subred recibirá la seguridad que proviene de
esa lista de control de acceso a la red y que es adicional a la que proporciona su grupo
de seguridad.
Por lo tanto, proporciona otra capa de defensa para sus instancias y cualquier otro recurso que pueda estar dentro de
ese control de acceso a la red VPC no tiene estado.
Lo que eso significa es que, a diferencia de un grupo de seguridad donde el tráfico que se recibe y se permite recibir,
el tráfico de retorno se permitirá con el control de acceso a la red.
No funciona así.
Entonces, el hecho de que reciba tráfico no significa que el tráfico de retorno también esté permitido.
Por lo tanto, debe tener reglas entrantes y salientes que permitan que se produzca ese tráfico.
Ahora, aunque una solicitud puede llegar a un puerto determinado, por ejemplo, Haití TTP en el puerto 80, las
respuestas probablemente volverán a un puerto efímero o a corto plazo o temporal y hay muchos de
esos puertos efímeros que tienen tráfico disponible será denegado a menos que esté específicamente permitido y también haya reglas de negar
y permitir, a diferencia de los grupos de seguridad que solo tienen reglas de permiso, las reglas se evalúan en
orden numérico desde el número más pequeño de esa regla hasta el número más grande.
Y lo que ocurre cuando entra el tráfico será evaluado de arriba a abajo hasta que una regla coincida
en el tráfico y luego ese tráfico será permitido o denegado según lo que establezca esa regla.
Si revisamos toda la lista de control de acceso a la red y ninguno de los tráficos coincide, entonces ese
tráfico no estará permitido por defecto, la lista de control de acceso a la red permitirá todo el tráfico.
Entonces, si desea aprovechar esta capa adicional de defensa y necesita modificar esa
lista predeterminada de control de acceso a la red.
Bien, echemos un vistazo a un ejemplo aquí.
Lo que tenemos allí es una lista de control de acceso a la red entrante para una subred pública que
está conectada a Internet en general.
Digamos, por ejemplo, que tenemos tráfico entrando por odio a G. pag. S. en el puerto 443.
Lo que sucederá es que la primera regla del número más bajo, que es la regla número 100, se
evaluará primero.
Entonces, obviamente, no coincide que pasemos al siguiente que es 1 10 y coincide con eso.
Entonces el proceso de evaluación se detiene allí y ese tráfico está permitido.
Ahora digamos que recibimos tráfico en el Puerto 500, las reglas se evaluarán desde arriba con 100
que no coincidirán.
Por lo tanto, no coincidirá con la regla 1 10.
También escribió mucho sobre la regla 140, pero debido a que tenemos un comodín denegado al final de
la lista, todo lo que no coincida será denegado automáticamente.
Y esa regla no puede modificarla ni eliminarla.
Por lo tanto, todo lo que no coincida se negará ahora porque todo se evalúa de arriba a abajo
o del menor al mayor número.
Si tiene una denegación posterior y permite, por ejemplo, si tuvimos una denegación en el puerto 80 y teníamos la regla número 1
0 5 de que se permitiría el tráfico aunque haya una denegación allí en nuestro control de acceso a la red.
Eso es algo de lo que debes estar atento.
Entonces, lo que viene primero es lo que gana.
Entonces, si tenemos un permiso antes de negar, el permiso prevalecerá si tenemos que negar antes y permitir, entonces
prevalecerá el rechazo.
Pero normalmente solo enumeraría lo que está permitido y luego dejaría que el comodín denegue
la recolección de lo que queda con nuestros controles de acceso a la red de subred pública.
Ahora eso va a tener nuestro bajo equilibrio elástico.
Por lo tanto, necesita recibir tráfico de Internet en el puerto 80 y el puerto 443.
Debe permitir el tráfico de retorno en esos puertos efímeros, también necesita permitir el tráfico de los puertos
de salida 80 y 443.
También debe permitir el tráfico de retorno entrante en los puertos efímeros a los mejores.
Y también debe permitir el puerto 22 entrante SS h desde la dirección IP del servicio de la nube nueve
y lo veremos más y también necesita permitir el tráfico del puerto 22 saliente desde el AC al host Bastian
o el host Cloud Nine Bastian al servicio web y también saliente mi secuela hacia o desde el mejor host a nuestro
clúster Aurora y también entrante desde nuestro clúster mi secuela o un clúster rural a nuestros hosts Bastian,
así como a nuestra lista de control de acceso a la red privada que va a contener nuestra web servidores en nuestro grupo de
escalado automático.
De modo que va a recibir tráfico entrante del puerto 80 del equilibrador de carga elástico.
También podemos permitir el Puerto 443 si nos gustaría tener seguridad hasta el
final si lo deseamos y también el tráfico saliente y entrante del puerto local 22 desde nuestro host Cloud Nine Bastian y el tráfico
de retorno en los puertos efímeros y también salientes mi secuela en el Puerto 3 3 0 6 de las instancias del servidor web a nuestra audiencia
es un clúster sin procesar y también entrante y de la audiencia o armario a esas instancias también
y también solicitudes entrantes del balanceador de carga elástico en un informe de FEMA y un retorno saliente el tráfico
del EIB en esos puertos efímeros también y nuestra tercera capa, la capa más privada, controla el acceso a nuestra red
privada que tendrá que permitir el tráfico entrante desde nuestras dos instancias de CA a la base de datos de artistas y
el tráfico saliente desde la base de datos de ideas a las dos instancias fáciles nuevamente
en Pt. 3 3 0 6.
Permitirá el tráfico local entrante o el tráfico de retorno de nuestra instancia de Bastian a la
base de datos de artistas y también saldrá de la base de datos más resistente a la mejor, por ejemplo.
Y nuevamente tendremos que tener tráfico de retorno entrante en nuestros puertos efímeros.
Ahora, una cosa que obtengo mucho cuando hago laboratorios como este es que la gente dice oh, ¿por qué no pusiste esta
regla adicional allí?
Y hay muchas formas de desollar a un gato aquí.
Y cuando veas esto aquí, sería igual de fácil decir que solo hacemos una regla
de entrada y salida para el acceso solo dentro de la VPC y eso sería lo suficientemente bueno.
Quiero decir, eso solo permitiría el acceso desde la VPC y podríamos deshacernos de todos ellos
o podríamos ir aún más lejos y tal vez investigar el ajuste de estos informes de FEMA y cuáles
necesitamos tener abiertos y cuáles no. No es necesario tener abierto.
Pero, de nuevo, esta es otra capa de seguridad, es como un pequeño paracaídas en caso de que algo
salga mal.
Por lo tanto, puede ir tan lejos o tan poco como desee con estos y, de forma predeterminada, están completamente abiertos.
Ahora, antes de entrar en esta parte del laboratorio, lo que quiero hacer ahora es echar un vistazo
rápido a los registros de flujo con los registros de flujo VPC que creamos y ver si eso realmente funciona
y enviar datos de acceso IP a nuestra nube mire el registro porque hemos estado jugando un poco con el VPC, por lo que debería haber
un poco de actividad grabada allí.
Entonces, lo que haremos es ir a los servicios y la nube
que irán a los registros y allí está nuestro registro de flujo VPC del laboratorio de retroceso y luego podemos ver que tenemos muchas cosas
sucediendo allí.
Así que he estado jugando con esto bastante antes y tratando de hacer un poco de actividad aquí para
que podamos echarle un vistazo.
Así que dije Mira aquí abajo y mira cómo se ven.
Así que tengo un montón de entradas allí de actividad que ocurrió en nuestra red, lo cual es bastante
bueno.
Entonces, si solo expandimos uno de esos, podemos ver que tenemos una interfaz de red elástica I. RE.
que tiene acceso
Tenemos algunas direcciones IP allí.
Y si es aceptado o no aceptado o aceptado.
De acuerdo, esa es una información bastante buena si estás tratando de descubrir por qué tus recursos
no funcionan como deberían.
Así que sal de eso ahora y volveremos al laboratorio.
Entonces, comenzando en la consola de administración de VPC, lo que haremos es desplazarnos hacia nuestras subredes para ver
primero nuestra subred pública.
Así que solo echamos un vistazo a eso y haremos clic en el control de acceso a la
red para ver qué está realmente asociado a él.
Así que aquí podemos ver que tenemos algo que dice negar todo y algo que dice
permitir todo.
Mirando eso porque niega las anulaciones y te permite pensar que nada está permitido.
Eso no es realmente correcto.
Entonces, lo que tenemos aquí es que debemos permitir una regla que permita todo.
Entonces, esta regla no tiene el símbolo comodín aquí, no es posible eliminar eso, pero
lo que significa es que si algo no está específicamente permitido por una regla, entonces será denegado, pero debido
a que nuestra regla de permiso aquí permite todo, entonces esto no No interfiera con eso porque porque
tiene este símbolo de comodín aquí, solo se aplica al tráfico que no está bajo ninguna regla de permiso, ninguna regla de permiso
existente que esté allí.
Entonces eso es lo que eso significa.
Por lo tanto, actualmente todo está permitido dentro y fuera de nuestra lista de control de acceso a la red o nuestra subred.
Entonces puede ver lo mismo para las reglas de salida también.
Entonces, lo que vamos a hacer es saltar al control de acceso a la red que está bajo
seguridad aquí y vamos a crear una lista de control de acceso a la red, así que le daremos un nombre
y seleccionaremos nuestras espaldas por especial ed VPC y crearemos eso para que acabe de crear una lista de control de acceso a la red que realmente no tiene nada
allí, por lo que solo negamos todo de forma predeterminada para que podamos ver allí.
Entonces, el otro tenía que permitir todo, esto es solo negar todo porque no hay entradas permitidas
allí.
Entonces, lo que debemos hacer es editar estas reglas entrantes.
Pero antes de hacer eso, una de estas reglas de entrada que debe permitirse es para el servicio en la nube nueve.
Por lo tanto, debemos averiguar cuál es el rango de IP del servicio en la nube nueve.
Y luego tenemos que poner eso como una regla de entrada también.
Entonces, ¿qué hacemos simplemente copiando aquí de las notas de laboratorio
y pegándolo allí?
Por lo tanto, es un archivo Jason que define todos los rangos de IP para todos los servicios de AWB.
Así que podemos ver aquí si nos desplazamos un poco hacia abajo, podemos ver quizás qué OKC tenemos en la nube
nueve y tenemos IP central de la UE Asia-Pacífico noreste.
Entonces, lo que necesitamos encontrar son las nueve direcciones IP en la nube y habrá dos para nosotros al este.
Así que un poco más abajo.
Bueno.
Entonces ahí está.
Así que tenemos estos dos aquí.
Por lo tanto, es para el servicio en la nube nueve y la región US East 1.
Por lo tanto, tenemos dos rangos de direcciones IP y son los rangos de direcciones IP que utiliza el servicio de la nube
nueve cuando usamos EE. UU. Y una región.
Por lo tanto, solo tenemos que copiarlos y usarlos para más adelante, así que volveremos al control de acceso a la red, esto irá a
los rollos entrantes y agregará estas dos reglas entrantes, ya que son el servicio en
la nube nueve que va a agregue un rollo o llame a este cien y será para el Puerto 22.
Por lo tanto, esto es para que el servicio en la nube nueve se comunique con nuestro bastión en nuestro host AC a Bastion
en nuestra VPC y la fuente será uno de esos rangos de direcciones IP.
Así que tenemos el primero allí.
Entonces nosotros us e one one luego en la nube nueve.
Así que solo asegúrate de tenernos e 1 y
la nube nueve para el servicio y lo pondremos allí para agregar otra regla para la próxima llamada 110.
Entonces, estos números, estos números sin procesar realmente no significan nada, pero el servicio los lee en orden y luego,
al final de la lectura de todos estos, decidirá si permite o no una regla.
Entonces, nuevamente dice H y pondremos ese segundo allí.
Ese fue el que acabamos de recibir antes.
Así que esta vez aquí, US E1 y la nube nueve.
Ahora, si no los pusiéramos en la nube, el servicio nueve simplemente no funcionaría.
Aparecerá la pantalla No sé una pantalla en blanco o algo así.
Simplemente no hará nada en absoluto, por lo que debe tener eso.
Entonces es muy importante.
Entonces agrega otra regla.
Entonces, ¿qué más necesitamos allí?
Por lo tanto, debemos permitir todo el tráfico en el puerto 80, así que haré que 120 sea un
puerto 80 y solo permitiré todo el tráfico y
luego llamaré al siguiente para 443 y
eso está bien.
Entonces, ¿qué más tenemos?
Bien, también debemos permitir el tráfico de retorno en informes más firmes.
Entonces en otro hay 140.
Entonces, esa será una regla de TTP personalizada y será de mil veinticuatro a seis,
dos, cinco, tres, cinco.
Bien, entonces
podemos decir que ahora hagamos lo mismo para nuestras reglas de salida, edite nuestras reglas de panorámica, agregue la regla, primero permitiremos
el acceso al puerto
80 o el TTP de altura y el siguiente haremos una cosa y nuevamente será para cada TTP so el puerto 443 y el siguiente,
entonces 120, será para mi secuela soporte doble
3 0 6.
Y eso va a ser saliente a la subred privada.
Entonces eso
será
10 0 punto 2. 0 y luego barra
diagonal 24 y la siguiente será para la subred privada o para mi secuela saliente a la subred privada en la zona de
disponibilidad B.
Entonces ese será mi círculo.
Aquí vamos.
Solo copia
eso y eso será 10.
Son 10 0 5 0 barra diagonal 24 La siguiente regla será para la salida en los puertos efímeros.
Así que será costumbre ver la nómina y el rango del puerto de mil veinticuatro a seis dobles
cinco tres cinco.
La siguiente regla será para el acceso saliente desde nuestro mejor host a las instancias de nuestro servidor web.
Entonces eso será
para el Puerto 22 o SS H y luego será
para la subred de red privada ay el siguiente 160.
Donde comenzar
es S H y serán dos subredes de red privadas B que serán 10 0 4 0 hacia adelante como 24.
Y finalmente, simplemente hacemos clic en caja fuerte y eso debería estar bien, echemos un vistazo
a eso.
Así que tenemos nuestro propio puerto 80 y 443 de salida, mi secuela a la subred de red privada y la subred de red privada B lo
siento, no vayamos a la subred privada y la subred privada B, entonces nos hemos librado del tráfico saliente en los puertos efímeros y luego
' tengo acceso del puerto 22 a la subred de red privada y a la subred de red privada B.
Y finalmente, tenemos nuestro comodín para negar cualquier otra cosa que no esté específicamente permitida.
Bueno.
Lo siguiente que debemos hacer es asociar esto a nuestras subredes públicas.
Por lo tanto, se trata de asociaciones de subred y debemos seleccionar la subred pública B y la subred pública a.
Ahí vamos y editamos bien, así que ahora porque hemos cambiado la forma o hemos restringido mucho acceso, es una buena idea ahora comprobar que
todavía está allí, todo sigue funcionando.
Entonces, lo que haremos es que irá a nuestra nube nueve y simplemente actualizaremos nuestra pantalla para ver que todavía funciona.
Aquí vamos.
Entonces la nube 9 todavía funciona.
Lo que haremos también es que iremos a la consola
de administración de ACTU e iremos al equilibrador de carga y solo verificaremos que el saldo bajo siga funcionando,
así que simplemente copiaremos el registro DNS allí y atravesarlo y ahí vamos.
Entonces, nuestro equilibrador de carga de prueba que se encuentra en la subred pública todavía funciona.
Nuestra nube 9, que también se encuentra en esa subred pública, sigue funcionando también, así que hagamos la
lista de control de acceso a la red para las subredes privadas y creemos nuevamente la lista de control de acceso a la red.
Le daremos un nombre.
Red privada en la OACI X por satélite.
Eso estaría bien.
Seleccione nuestra VPC ahora VPC principal del guión de retroceso y cree y nuevamente iremos a nuestras reglas de entrada.
En realidad, en primer lugar seleccionaremos, asegúrese de seleccionar primero el correcto.
Entonces retrocede Dash Labs.
Red privada en la UCI y vamos a los rollos entrantes e ingresamos a nuestros rollos entrantes en una zona rural.
Entonces, el primero será para el puerto
80 o TTP y luego será del público o de la VPC real que será 10 0 0 0 barra diagonal 16.
Por lo tanto, va a permitir el tráfico local pobre de Hage TTP 80 y 120 hará lo mismo para la
altura TTP y la siguiente.
Ahora habrá cuatro tráfico entrante de nuestros hosts Bastian en una subred pública, así que haga 130
y será SS
H y será de 10 0 0 0 0 barra diagonal 24 así que será una subred pública.
Y haremos lo mismo para la subred pública,
por lo que será 10 0.
3 0.
Barra diagonal 24.
Y finalmente vamos a tener tráfico en nuestro puerto efímero.
Entonces 150 a la regla TGP personalizada.
Y eso es de Tencent veinticuatro a seis doble cinco tres cinco y lo guardaremos bien.
Así que ahora hacemos nuestras reglas de salida, así que nuevamente editemos las reglas de salida y
agreguemos una habitación y la primera será para el puerto 80 u
odiará a TTP y será desde cualquier lugar y la próxima será la misma para el Puerto 443
y el siguiente .
Y eso será para los informes de fémur salientes a la subred pública.
Y ahi vamos.
Por lo tanto, va a salir a esa cumbre pública sobre los
puertos efímeros que hará lo mismo para el número de subred público B o sub como la subred pública B y 130 y simplemente copiamos esto del otro al otro.
Y esta vez usamos la subred
pública B, que será 10 0 3 0 24 y lo diremos nuevamente, lo que debemos hacer ahora.
Entonces tenemos nuestra red privada en ACL.
Necesitamos asociar ese asociado con nuestras subredes, así que ahí
vamos.
Subred privada neta.
Y la subred de red privada B y está bien,
así que ahora que hemos cambiado esa subred de red privada que tiene nuestros servidores web dentro de ella,
debemos asegurarnos de que todavía esté entregando tráfico.
Así que solo vamos a la consola de administración 82 y nuestros saldos bajos y simplemente seleccionamos nuestro nombre DNS
de balanceador bajo y ahí vamos.
Por lo tanto, sigue funcionando, no lo hemos roto si no funcionaba, probablemente se te ocurra un error
de Gateway allí.
Si lo consigues, sabrás cuál es el problema.
Así que regrese y verifique sus entradas allí en sus reglas de salida o sus reglas de entrada
y sin duda encontrará lo que es.
Así que vamos a cerrarlo y el último que tenemos que hacer es para nuestra subred de red privada.
Entonces, nuevamente creamos una lista de control de acceso a la red.
Bueno.
Así que déle un nombre al guión de retroceso led privado en ACL.
Así que esta es la lista de control de acceso a la red para las subredes privadas finales en
el Nivel Tres que están bloqueadas y que contienen nuestro clúster de lista de servidores sin
procesar y nuestra VPC, de nuevo, retroceden el
guión lib y crean eso, entonces seleccionaremos esa y luego confiscar reglas y agregar una regla.
Bueno.
Entonces, el primero allí a 100 será mi secuela.
Aquí vamos.
Puerto doble 3 0 6.
Y eso va a ser de una subred pública.
Entonces habrá 10 0 0 0 barra diagonal 24 y la próxima será la misma, pero para la subred pública será esta
vez.
Así que de nuevo mi secuela Aurora doble
3 0 6.
Y esto será para la subred pública I, que
será 10 0 3 0 barra
diagonal 24 y la próxima será nuevamente mi secuela o
será para la subred de red privada, así
que será 10 0 1 0 barra diagonal 24 y la siguiente
volverá a estar en
mi secuela Aurora y será en la subred de red privada V que será 10 0 4 0 24.
Y finalmente, tendremos una regla que permitirá los puertos efímeros para el servicio sin procesar que solo debe ser de
32 7 6 8 a 61000 y lo diremos y ahora haremos los
rollos de salida.
Así que edite la aplicación y las reglas y agregue una regla.
Así que la primera carrera será para mi secuela.
Nuevamente doble 3 0
6 y eso va a ser de nuestra banda de todos modos.
Y el siguiente, que será los puertos efímeros una y otra vez, regresará así que para los retornos en esos informes
de FEMA o en mi puerto secreto doble 3 0 6 y diremos que está bien, lo que debemos hacer es que debemos
asociarnos eso de nuevo a nuestra subred privada.
Entonces, nuevamente asociaciones de subred y edite asociaciones de subred y seleccionaremos nuestra subred privada,
es decir, y subred privada, y eso está bien.
Entonces, debido a que hemos cambiado las subredes privadas que tienen el servicio Aurora, debemos asegurarnos de que todavía podamos acceder a eso,
así que la mejor manera de hacerlo es usar nuestro mejor host nuevamente.
Así que entraremos aquí y veremos que podemos mostrar las bases de datos nuevamente.
Aquí vamos.
Entonces eso está funcionando bien.
Bueno.
Entonces se hace que no sea un problema.
De acuerdo, así que si llegaste hasta aquí, has aprendido todo lo que necesitas del laboratorio, así que todo lo que
tiene que pasar ahora es que solo tenemos que pasar y limpiar todo de esa manera, no obtendremos
una gran factura en a fin de mes, porque hay algunos servicios caros aquí,
tenemos balances de carga elástica, tenemos un clúster de servicios sin procesar que necesitamos limpiar, no queremos dejar eso por
ahí y recibir una factura por el final del mes.
Así que espero verte en el próximo, donde limpiaremos todo esto.