Firewalls und der Service Link

In diesem Abschnitt werden Firewallkonfigurationen und die Service-Link-Verbindung beschrieben.

In der folgenden Abbildung erweitert die Konfiguration die Amazon VPC von der AWS Region bis zum Outpost. Eine Direct Connect öffentliche virtuelle Schnittstelle ist die Service Link-Verbindung. Der folgende Datenverkehr wird über den Service Link und die Direct Connect -Verbindung abgewickelt:

Wenn Sie mit Ihrer Internetverbindung eine Stateful-Firewall verwenden, um die Konnektivität vom öffentlichen Internet zum Service Link-VLAN einzuschränken, können Sie alle eingehenden Verbindungen blockieren, die über das Internet initiiert werden. Das liegt daran, dass das Service Link VPN nur vom Outpost zur Region initiiert wird, nicht von der Region zum Outpost.

Wenn Sie eine Stateful-Firewall verwenden, die sowohl UDP als auch TCP-aware zur Einschränkung der Konnektivität in Bezug auf das Service Link-VLAN ist, können Sie alle eingehenden Verbindungen ablehnen. Wenn die Firewall statusbehaftet agiert, sollten zugelassene ausgehende Verbindungen über den Outposts Service Link den Antwortverkehr automatisch wieder zulassen, ohne dass eine explizite Regelkonfiguration erforderlich ist. Nur ausgehende Verbindungen, die über den Outpost-Servicelink initiiert wurden, müssen als zulässig konfiguriert werden.

Wenn Sie eine nicht statusbehaftete Firewall verwenden, um die Konnektivität in Bezug auf das Service-Link-VLAN einzuschränken, müssen Sie ausgehende Verbindungen zulassen, die über den Outposts-Dienstlink zu den öffentlichen Netzwerken der Region initiiert werden. AWS Outposts Sie müssen außerdem ausdrücklich den eingehenden Antwortverkehr aus den öffentlichen Netzwerken der Outposts-Region zulassen, der in das Service Link-VLAN eingeht. Die Konnektivität wird immer ausgehend vom Outposts Service Link initiiert, aber der Antwortverkehr muss wieder in das Service Link-VLAN geleitet werden können.