Блокируют ли сетевые списки управления доступом также и трафик между подсетями?

У меня есть виртуальные машины, размещенные в разных зонах доступности на AWS.Для того, чтобы иметь возможность это сделать, вам нужна подсеть в каждой зоне доступности.

Если я создаю сетевой список управления доступом для всей установки (т.е. для связи со всеми подсетями), нужно ли указывать разрешающие правила из всех диапазонов CIDR подсети? Если я этого не сделаю, блокирует ли сетевой список управления доступом трафик между подсетями на основе моих правил порта?

Я предполагаю, что они будут... но нужно подтверждение.

Я считаю, что ответ Рона правильный, но не отвечает на ваш вопрос.

Если у вас есть экземпляры в нескольких подсетях, и ваши экземпляры должны обмениваться данными, ваши NACL должны учитывать это с помощью разрешающих правил. Я не проверял это, но я работал с AWS долгое время, и я вполне уверен, что это так и работает.

Интересно, что группы безопасности — это брандмауэры, которые можно рассматривать как окружающие каждый сетевой интерфейс. Поэтому, если вы хотите, чтобы экземпляры в группе безопасности взаимодействовали, вам нужно правило, разрешающее вход из группы безопасности в себя.

Ответы на комментарии в вопросах:

Порты Вам нужно только открыть порты 80/443 в группе безопасности вашего веб-сервера. Часть 1024–65535 — это эфемерные порты, о которых вам следует прочитать, если вы хотите их понять. Начните с Википедия но затем переходите к чему-то более простому для понимания, если вам нужно.

Инспектор АВС Эта страница говорит следующее

Агент Amazon Inspector инициирует всю связь с Amazon. Инспекторская служба. Это означает, что агент должен иметь исходящий сетевой путь к общедоступным конечным точкам, чтобы он мог отправлять данные телеметрии. Например, агент может подключиться к arsenal..amazonaws.com, или конечной точкой может быть Amazon S3. ведро на s3.dualstack..amazonaws.com. Обязательно замените с фактическим регионом AWS, в котором вы используете Amazon Инспектор. Дополнительные сведения см. в разделе Диапазоны IP-адресов AWS. Так как все соединения от агента устанавливаются исходящие, это не необходимо открыть порты в ваших группах безопасности, чтобы разрешить входящие связь с агентом из Amazon Inspector.

Как правило, рекомендуется оставить сетевые ACL с настройками по умолчанию «Разрешить все» и вместо этого использовать Группы безопасности для сетевой безопасности.

А НАКЛ представляет собой традиционный маршрутизатор, который размещается между подсетями, контролируя, какой трафик входит и выходит из подсети. Правила NACL лица без гражданства, что означает, что они должны быть определены в оба направления. NACL применяются только к трафику, идущему между подсети.

Группы безопасности являются новой инновацией в облачных вычислениях. Они представляют собой брандмауэр на каждом отдельном ресурсе в VPC (точнее, на каждом эластичном сетевом интерфейсе). Это позволяет гораздо более детально контролировать безопасность. Правила состояние, что означает, что отправленные запросы вне автоматически позволит прийти ответу в.

Группы безопасности также могут ссылаться друг на друга. Например, рассмотрим инстанс Amazon EC2 и базу данных Amazon RDS. В экземпляре EC2 можно разместить группу безопасности, разрешающую входящий веб-трафик. В экземпляр RDS можно поместить группу безопасности, разрешающую входящие SQL-запросы. только из группы безопасности, связанной с инстансом EC2. Это намного точнее, чем правила NACL.

Суть в следующем:

• Всегда использовать входящие группы безопасности для обеспечения ресурсов
• По выбору ограничить исходящие группы безопасности (поскольку вы обычно можете доверять приложениям, работающим на экземпляре)
• Никогда изменять правила NACL, если у вас нет особой потребности в безопасности, например, создание DMZ