VPC Amazon: Lista de controle de acesso à rede

A Amazon Virtual Private Cloud (VPC Amazon) providencia um ambiente de nuvem isolado dentro da estrutura de nuvem pública da AWS. Ele possibilita que as empresas protejam seus materiais e dados, mesmo que estejam hospedados em uma plataforma de nuvem pública. A VPC Amazon controla o acesso aos materiais hospedados com um conjunto de regras chamadas listas de controle de acesso à rede (ACLs).

Uma ACL de rede é uma camada de segurança para sua VPC que atua como um firewall para controlar o tráfego de entrada e saída de uma ou mais sub-redes. As ACLs são configuradas com regras e a VPC verifica os pacotes de entrada ou saída com base nessas regras.

Há algumas coisas que você deve saber sobre as regras de ACL de rede:

• A AWS permite que você configure ACLs personalizadas e as atribua a uma ou mais sub-redes.
• Antes de associar uma ACL a qualquer sub-rede em sua VPC, a AWS fornece uma ACL padrão que permite todo o tráfego de entrada e saída.
• Depois de criar uma ACL de rede, você deve associar explicitamente a ACL a uma sub-rede. Se isso não for feito, a sub-rede será associada à ACL padrão.
• Uma ACL personalizada nega todo o tráfego de entrada e saída (regra *), a menos que esteja configurada com regras.
• Depois de criar as regras para uma ACL personalizada e associá-la a sub-redes específicas, qualquer tráfego de entrada ou saída é avaliado com base nas regras mencionadas na ACL.
• Quando a ACL encontra um pacote, as etapas a seguir ocorrem.
  • As regras são avaliadas em ordem crescente, começando pela de menor número.
  • Uma vez que uma regra corresponda ao tráfego, ela é aplicada e as demais regras com numeração mais alta são ignoradas.
  • O número mais alto para uma regra é definido como 32.766. A AWS recomenda incrementar os números de regras com intervalos (como 10 ou 100) para que você possa adicionar novas regras posteriormente, conforme e quando necessário.
  • Se nenhuma regra corresponder ao tráfego, a última regra da lista (*) será aplicada, negando todo o tráfego.
• As ACLs de rede são sem estado (stateless). Isso significa que uma ACL não mantém informações de conexão. Ela não leva em consideração se o tráfego é uma nova solicitação ou uma resposta a uma solicitação anterior. A ACL examina apenas os números de IP de origem, de destino e da porta para permitir o tráfego com base nas regras definidas.

As tabelas abaixo mostram a ação final de Permitir/Negar executada pela ACL para regras de entrada e saída.

Regras de entrada

Regras de saída

• Número da regra: Define a ordem em que as regras são avaliadas. Na tabela acima, sempre que o tráfego é encontrado, seja de entrada ou de saída, a primeira regra número 100 é verificada. Se essa regra não for satisfeita, a regra 200 será verificada e assim por diante. Se a regra número 200 for satisfeita, as regras superiores a 200 (ou seja, 300 e *) serão ignoradas.
• Tipo: Define o tipo de tráfego, como HTTP, HTTPS e RDP.
• Protocolo: Especifica o protocolo. Você pode definir qualquer protocolo com um número de protocolo padrão.
• Intervalo de portas: Define o intervalo de portas ao qual a regra se aplica.
• Fonte: Define o endereço IP de origem do pacote. Presente apenas nas regras de entrada.
• Destino: Define o endereço IP de destino do pacote. Presente apenas nas regras de saída.
• Permitir/Negar: Especifica a ação final a ser executada pela ACL — para permitir ou negar o tráfego.

Essas são as coisas que você deve ter em mente ao configurar sua VPC com uma ACL de rede personalizada. Uma VPC configurada corretamente ajuda sua empresa a utilizar os recursos de computação em nuvem da AWS em todo o seu potencial e alcançar níveis ainda mais altos de produtividade e desempenho.

Essas são as coisas que você deve ter em mente ao configurar sua VPC com uma ACL de rede personalizada. Uma VPC configurada corretamente ajuda sua empresa a utilizar os recursos de computação em nuvem da AWS em todo o seu potencial e alcançar níveis ainda mais altos de produtividade e desempenho.

Relatórios de atividades com falha da AWS gerados pelo Log360

Você também pode aprender mais por conta própria por meio de um teste gratuito de 30 dias e totalmente funcional ou de uma demo personalizada gratuita que pode ser agendada conforme sua disponibilidade.