Hola a todos, y bienvenidos de nuevo.
Ahora, en el video de hoy, hablaremos sobre una de las funciones de seguridad importantes que E. w
Sprouts, que son las listas de control de acceso a la red.
Entonces, en una descripción general de alto nivel de nuestra red, vea, es básicamente una capa opcional de seguridad
para su VPC que actúa como un firewall para controlar el tráfico de entrada y salida de una o más subredes.
Ahora, cuando discutimos sobre el firewall, conocemos los conceptos básicos del grupo de seguridad y cómo funciona el grupo de seguridad
o cómo agregamos las direcciones IP en las reglas del grupo de seguridad que deben permitirse en la conexión general
a la instancia EC2.
Entonces, cuando hablamos de firewalls, habilitadores, específicamente desde el punto de vista de la capa de red, hay
dos tipos de firewalls disponibles para nosotros.
Uno es el grupo de seguridad y el segundo es esa red.
Lo ves.
Ahora, la principal diferencia entre ambos es que el grupo de seguridad funciona a nivel de instancia fácil.
Entonces, cada vez que crea un grupo de seguridad, asocia ese grupo de seguridad con una instancia fácil.
Así que este es un tipo.
El segundo tipo es una ACL de red.
Ahora, la red ACL no se asocia directamente con las dos instancias fáciles, pero puede asociarse a
nivel de subred.
Por ejemplo, si tiene una VPC que tiene varias subredes públicas y privadas, asocia la ACL de red
en todo el nivel de subred.
Ahora, de nuevo, avancemos y entendamos esto de una manera mucho mejor con un caso de uso simple.
Entonces, tenemos un caso de uso en el que una empresa X, Y o Z recibe muchos ataques desde una IP específica.
Así que esta es una de las direcciones IP de las que se avecina una gran cantidad de ataques.
Ninguna empresa tiene más de 500 servidores y el equipo de seguridad ha decidido bloquear esta dirección IP específica en
el firewall para todos sus servidores.
Ahora, la pregunta es, ¿cómo podemos seguir adelante y lograr la meta?
Ahora, cuando discutamos sobre el grupo de seguridad, tenga en cuenta que en el grupo de seguridad solo especificamos
cuáles son las direcciones IP que están permitidas para la instancia fácil.
Realmente no podemos especificar cuáles son las direcciones IP que están bloqueadas.
Por ejemplo, supongamos que tiene una de las instancias EC2 que aloja un sitio web conocido por el alojamiento de sitios
web.
Debe permitir el puerto particular cuatro por tres para la base de datos.
Si no permite ese puerto para todo el mundo, las personas no podrán visitar el sitio web.
Entonces, considerando que el puerto es una carga para hacer la base de datos y hay un atacante que se
está aprovechando mucho de atacar su servidor, debe permitirlo en lugar de uno, pero debe bloquear esta
IP específica.
Entonces, para lograr este caso de uso, la red ACL es una de las mejores soluciones.
Entonces, como estamos discutiendo la red, la ve cuando crea, puede asociarla en el nivel de subred.
Entonces, digamos que tiene una subred pública y una subred privada, la subred tiene 250 conjuntos de dos instancias
fáciles, de 15 públicas a 50 privadas.
Entonces, ¿qué vas a hacer ahora para lograr este objetivo?
En la ACL de la red, puede especificar una regla de denegación con las direcciones IP del atacante.
Así que tienes el ADN seguido de la dirección IP.
Y dado que esta red ACL está conectada al tráfico público y privado que llega a cualquiera de estas instancias
fáciles de usar que forman parte de estas subredes, este tráfico también se permitirá o denegará en función
de la red ACL.
Por lo tanto, dado que se deniega la ACL de la red, cualquier tráfico que llegue a cualquier recurso fácil o cualquier recurso en
esta subred se bloqueará considerando que son las direcciones IP en la condición denegada.
Así que esto es lo básico de lo que equivale a red.
Y vamos a tener rápidamente una demostración rápida.
Bien.
Entonces, actualmente para la demostración de hoy, tengo dos instancias fáciles que se ejecutan en una de las razones.
Ahora, si observa esta facilidad de ejemplo en esta seguridad, hagamos un gran volcado.
Entonces, hay un grupo de seguridad aquí y en las reglas de entrada, básicamente permite que todo el tráfico se
conecte a la instancia.
Así que esto está perfectamente bien.
Así que hagamos una cosa.
Avancemos y verifiquemos si podemos traer este fácil específico a la instancia.
Hagamos un ping y especificaré la dirección IP.
Y como era de esperar, el ping funciona perfectamente bien.
Entonces, imaginemos que un uso simple es muy lo que queremos, queremos que todos se conecten a esto, fácil
de instanciar, excepto una dirección IP específica.
Entonces, como estamos discutiendo, excepto una dirección IP específica, todos deberían poder conectarse a la instancia
EC2.
Ahora, para lograr eso, no puede utilizar directamente una regla de grupo de seguridad.
Entonces lo que se estará haciendo será hacer uso de una red.
Y ahora, si irá rápidamente al servicio VPC, abramos esto rápidamente.
Ahora en la consola de VPC, actualmente, si observa la VPC que está disponible, solo está disponible un valor
predeterminado para Ipxe.
Y si observa esta subred, hay varias subredes disponibles.
Cada uno está asociado con el.
Una zona de disponibilidad específica.
Entonces, si vamos un poco hacia el lado derecho, verá que cada subred está asociada con una zona de disponibilidad específica de
todos modos.
Esto no es lo que estamos buscando.
Por lo tanto, si se reduce mucho la seguridad, existe la opción de la red C, ya que vamos a abrirla rápidamente.
Ahora ve que se crea una ACL de red y sus estados están asociados con cuatro subredes.
Ahora, como comentamos, se puede asociar una ACL de red a nivel de subred.
Entonces, esta ACL de red está asociada con cuatro subredes.
Y si observa esta VPC, esta VPC o área específica, tiene un total de cuatro subredes.
Básicamente, puede ver que la ACL de la red está asociada con la VPC de datos.
Ahora, si observa la ACL de la red, nuevamente, de manera similar al grupo de seguridad, tiene reglas de entrada
y salida.
Si hace clic en módulos, verá que hay dos reglas disponibles.
Una es la regla de permitir, y la segunda es su negación.
Así que hagamos una cosa.
Avancemos y editemos el área entrante de Lulu.
Así que nuestro punto es seguir adelante y bloquear una dirección IP específica.
Entonces, si hago una rápida, puede ser que esta sea la dirección IP que tengo.
Copiemos esto.
Así que hagamos una cosa.
Avancemos y creemos una nueva regla aquí.
Démosle un número de regla de 99 y la fuente, digamos la dirección IP de mi ISP actual.
Y dentro de eso solo veo todo el tráfico y dentro de lo permitido el nombre.
Configuraré la noche y haré clic en guardar esto.
Estupendo.
Entonces, si miramos las reglas de entrada aquí, tiene una nueva regla aquí, que es la resaltada, que
es la regla de denegación.
Y la dirección IP de origen es mi AP actual.
Entonces, lo que sucederá ahora es que cada vez que esta dirección IP específica realice una solicitud a cualquier recurso que
sea parte de la PCB en una instancia EC2, ya sea 2000, fácil de instanciar, el tráfico se bloqueará.
Así que vamos a verificar rápidamente.
Así que si vuelvo a entrenar a Bing, verás, no podremos establecer el orden de conectividad.
Miro y veo y tan pronto como eliminemos la regla, probemos.
Así que esta regla número 99, eliminémosla.
Hará como él cambia.
Y tratemos de rehacer el ser de nuevo.
Ya ves que funciona perfectamente genial.
Así que espero que en una descripción general de alto nivel haya entendido la funcionalidad básica del diseño de red y,
de hecho, este caso de uso específico que estábamos discutiendo, este es uno de los casos de
uso comunes que verá en la organización donde hay una dirección IP que es fuerza bruta continua en múltiples instancias fáciles de usar y
desea bloquear esa dirección IP de toda su VPC para que realmente no llegue a ninguna de las instancias
fáciles de usar.
Entonces, para hacer eso rápidamente, el diseño de la red es una excelente manera de lograrlo.
Entonces, antes de concluir, veamos algunos de los consejos importantes para.
Una es que cada subred en su VPC debe estar asociada con la red.
¿Ver?
Ahora, si no asocia explícitamente la subred con la red, verá que la subred se asocia
automáticamente con la red predeterminada.
Lo ves.
Por lo general, hay una red predeterminada fácil y se crea automáticamente.
Por lo tanto, esta ACL de red predeterminada se asociará con todas las subredes de manera predeterminada.
Bien.
Esta es la ACL de red predeterminada que permite todo el tráfico IPV cuatro entrante y saliente y, si corresponde, también
el tráfico IPV seis.
Y el último punto importante es que puede asociar una ACL de red con varias subredes.
Sin embargo, una subred se puede asociar solo con una ACL de red a la vez.
Ahora, una cosa que quería dejar en claro es que esta red ACL que ven, de hecho, esta llamada
región, esta es la región que estoy usando por primera vez para esta cuenta específica.
Entonces, esta es básicamente una VPC predeterminada que ya se creó dentro de la región.
Por lo tanto, este valor predeterminado de estar ocupado también incluye la ACL de red predeterminada.
Así que esta es la negociación predeterminada sobre la que estábamos discutiendo.
Y esto es lo que básicamente significa que si no asocia explícitamente una subred con una
red, si las subredes se asocian automáticamente con una red predeterminada, le pediré que agregue esto si desea crear
una ACA de red personalizada, esto es También es algo que puedes hacer fácilmente.
Entonces, desde aquí puede crear la ACL de red personalizada y puede asociar esa negociación personalizada con una
subred específica dentro de la VPC.
Así que esta es la descripción general de alto nivel sobre la red.
Lo ves y con esto concluirá el vídeo de hoy.