AWS Global Hızlandırıcı için Ağ ACL'lerini (Erişim Kontrol Listeleri) yapılandırmak için şu ayrıntılı adımları izleyin:
1. Küresel hızlandırıcı ile ağ ACL'lerinin rolünü anlayın
Ağ ACL'leri, VPC'nizdeki alt ağ seviyesinde gelen ve giden trafiği kontrol eden vatansız güvenlik duvarlarıdır. Trafiği bir veya daha fazla AWS bölgesinde yük dengeleyicileri veya EC2 örnekleri gibi uç noktalara yönlendiren Global Hızlandırıcı kullanırken, bu uç noktaları barındıran alt ağlarla ilişkili ağ ACL'lerinin gerekli trafiği izin vermesini sağlamalısınız. Bu, Global Hızlandırıcı'nın statik IP adreslerinden gelen trafiği ve uygulamanızın kullandığı bağlantı noktalarını içerir [3] [6].
2. Uç noktalarınızı barındıran alt ağları tanımlayın
Hangi VPC alt ağlarının Global Hızlandırıcı'nın trafiği yönlendireceği uç noktaları (örn. Uygulama yük dengeleyicileri, ağ yük dengeleyicileri veya EC2 örnekleri) içerdiğini belirleyin. Özel bir yönlendirme hızlandırıcısı için, uç noktalar olarak bir veya daha fazla VPC alt ağ eklersiniz [6] [8].
3. Global Hızlandırıcı IP Adresi Aralıklarını Gözden Geçirme
Global Accelerator, birden çok AWS Edge konumundan ANCCAST olan statik IP adreslerini kullanır. AWS, Global Hızlandırıcı tarafından kullanılan IP adres aralıklarını yayınlar. Global Hızlandırıcı'dan gelen trafiğe izin vermek için özel önek listeleri oluşturmalı veya bu IP aralıklarını ağ ACL kurallarınıza eklemelisiniz [4].
4. Ağ ACL'lerinde gelen kuralları yapılandırın
- Uygulamanızın dinlediği bağlantı noktalarında gelen trafiğe izin verin (ör. TCP bağlantı noktaları 80, 443 veya özel bağlantı noktaları).
- Global Hızlandırıcı IP adres aralıklarından veya önek listelerinden gelen trafiğe izin verin. Bu, Global Hızlandırıcı tarafından yönlendirilen trafiğin uç noktalarınıza ulaşmasını sağlar.
- Ağ ACL'leri Sayı Siparişinde Kurallar İşlem Kuralları ve İlk Eşleştirme Kuralı uygulandıkça kuralların doğru şekilde sipariş edildiğinden emin olun [3] [6].
5. Ağ ACL'lerinde giden kuralları yapılandırın
- Gerektiğinde kaynak IP'lere ve bağlantı noktalarına giden yanıtlara izin verin. Ağ ACL'leri vatansız olduğundan, gelen isteklere karşılık gelen giden trafiğe açıkça izin vermelisiniz.
- Tipik olarak, müşterilere veya küresel hızlandırıcı uç noktalarına dönüş trafiğini desteklemek için geçici bağlantı noktalarına (örn. TCP bağlantı noktaları 1024-65535) giden trafiğe izin verin [3].
6. Ağ ACL'lerini uygun alt ağlarla ilişkilendirin
- VPC konsolunda, yapılandırılmış ağ ACL'sini, küresel hızlandırıcı uç noktalarınızın bulunduğu alt ağlarla ilişkilendirin.
- Her alt ağ bir seferde yalnızca bir ağ ACL ile ilişkilendirilebilir, bu nedenle yapılandırdığınız ACL'nin ilgili tüm alt ağlara uygulandığından emin olun [3].
7. Trafik akışını test edin ve doğrulayın
- Ağ ACL'lerini yapılandırdıktan sonra, Global Hızlandırıcı'dan gelen trafiğin uç noktalarınıza doğru bir şekilde ulaştığını test edin.
- Birden fazla hesap ve alt ağ yönetirseniz, VPC akış günlükleri veya AWS Güvenlik Duvarı Yöneticisi Uyum Raporları gibi araçları kullanın. Güvenlik Duvarı Yöneticisi, AWS kuruluşunuzdaki ağ ACL yapılandırmalarını otomatikleştirmeye ve izlemeye yardımcı olabilir [3].
8. İsteğe bağlı: Merkezi yönetim için AWS Güvenlik Duvarı Yöneticisi'ni kullanın
- Birden fazla hesabı veya çok sayıda alt ağ yönetirseniz, ağ ACL politikalarını merkezi olarak tanımlamak ve uygulamak için AWS güvenlik duvarı yöneticisini kullanmayı düşünün.
- Güvenlik Duvarı Yöneticisi, yeni alt ağlara ağ ACL yapılandırmalarını otomatik olarak uygulayabilir ve uyumluluk durumunu rapor edebilir [3].
** Ek notlar:
- Güvenlik grupları ve ağ ACL'leri trafiği kontrol etmek için birlikte çalıştıkça, son noktalarınızla ilişkili güvenlik gruplarının global hızlandırıcı IP'lerinden ve gerekli bağlantı noktalarından gelen trafiğe izin verdiğinden emin olun [6].
- Özel yönlendirme hızlandırıcılarını kullanırken, ağ ACL'lerinin alt ağlardaki EC2 örneklerine deterministik yönlendirme için kullanılan belirli bağlantı noktalarına trafiğe izin verdiğinden emin olun [6] [8].
Bu adımları izleyerek, AWS Global Hızlandırıcı uç noktaları için trafik akışını güvence altına almak ve etkinleştirmek için ağ ACL'lerini düzgün bir şekilde yapılandırabilirsiniz.
Alıntılar:
[1] https://docs.aws.amazon.com/global-acelerator/latest/dg/introduction-how-t-works.html
[2] https://docs.aws.amazon.com/vpc/latest/userguide/create-network-acl.html
[3] https://docs.aws.amazon.com/pdfs/global-accelerator/latest/dg/global-accelerator-guide.pdf
[4] https://repost.aws/knowledge-center/globalaccelerator-mit-endpoint-aces-by-securitygroup
[5] https://softwareengineering.stackexchange.com/questions/414351/a-pipe-for-handling-an-aws-network-equest-from-start-to-finish-at-global-sal
[6] https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-aws-global-accelerator-custom-routing-celerators/
[7] https://boto3.amazonaws.com/v1/documentation/api/1.16.27/reference/services/globalaccelerator.html
[8] https://docs.aws.amazon.com/global-acelerator/latest/dg/introduction-get-started.html
[9] https://www.youtube.com/watch?v=cuyvztd9vke