Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Steuern Sie den Verkehr in VPC Lattice mithilfe von Sicherheitsgruppen

AWS Sicherheitsgruppen agieren als virtuelle Firewalls und kontrollieren den Netzwerkverkehr zu und von den Entitäten, denen sie zugeordnet sind. Mit VPC Lattice können Sie Sicherheitsgruppen erstellen und sie der VPC-Zuordnung zuweisen, die eine VPC mit einem Servicenetzwerk verbindet, um zusätzliche Sicherheitsvorkehrungen auf Netzwerkebene für Ihr Servicenetzwerk durchzusetzen. Wenn Sie eine VPC über einen VPC-Endpunkt mit einem Servicenetzwerk verbinden, können Sie dem VPC-Endpunkt auch Sicherheitsgruppen zuweisen. Auf ähnliche Weise können Sie Ressourcen-Gateways, die Sie erstellen, Sicherheitsgruppen zuweisen, um den Zugriff auf Ressourcen in Ihrer VPC zu ermöglichen.

Liste verwalteter Präfixe

VPC Lattice stellt verwaltete Präfixlisten bereit, die die IP-Adressen enthalten, die zum Weiterleiten des Datenverkehrs über das VPC-Lattice-Netzwerk verwendet werden, wenn Sie Ihre VPC mithilfe einer VPC-Zuordnung mit einem Servicenetzwerk verbinden. Bei diesen IPs handelt es sich entweder um private Link-lokale IPs oder um öffentliche IPs, die nicht routbar sind.

Sie können in Ihren Sicherheitsgruppenregeln auf die von VPC Lattice verwalteten Präfixlisten verweisen. Dadurch kann der Datenverkehr von den Clients über das VPC Lattice-Servicenetzwerk zu den VPC Lattice-Dienstzielen fließen.

Angenommen, Sie haben eine EC2-Instance als Ziel in der Region USA West (Oregon) registriert (). us-west-2 Sie können der Instance-Sicherheitsgruppe eine Regel hinzufügen, die eingehenden HTTPS-Zugriff über die von VPC Lattice verwaltete Präfixliste zulässt, sodass der VPC-Lattice-Verkehr in dieser Region die Instance erreichen kann. Wenn Sie alle anderen Regeln für eingehenden Datenverkehr aus der Sicherheitsgruppe entfernen, können Sie verhindern, dass der Datenverkehr außer dem VPC-Lattice-Verkehr die Instance erreicht.

Die Namen der verwalteten Präfixlisten für VPC Lattice lauten wie folgt:

Weitere Informationen finden Sie im Abschnitt zur AWS-verwalteten Präfixliste im Amazon-VPC-Benutzerhandbuch.

Windows- und MacOS-Clients

Bei den Adressen in den VPC-Lattice-Präfixlisten handelt es sich um link-lokale Adressen und nicht routbare öffentliche Adressen. Wenn Sie von diesen Clients aus eine Verbindung zu VPC Lattice herstellen, müssen Sie deren Konfigurationen aktualisieren, sodass die IP-Adressen in der Liste der verwalteten Präfixe an die primäre IP-Adresse des Clients weitergeleitet werden. Im Folgenden finden Sie einen Beispielbefehl, der die Konfiguration des Windows-Clients aktualisiert, wobei sich eine der Adressen in der Liste der verwalteten Präfixe 169.254.171.0 befindet.

C:\> route add 169.254.171.0 mask 255.255.255.0 primary-ip-address

Im Folgenden finden Sie einen Beispielbefehl, der die Konfiguration des macOS-Clients aktualisiert, wobei 169.254.171.0 sich eine der Adressen in der Liste der verwalteten Präfixe befindet.

sudo route -n add -net 169.254.171.0 primary-ip-address 255.255.255.0

Um zu vermeiden, dass eine statische Route erstellt wird, empfehlen wir, einen Servicenetzwerk-Endpunkt in einer VPC zu verwenden, um die Konnektivität herzustellen. Weitere Informationen finden Sie unter VPC-Endpunktzuordnungen für das Servicenetzwerk verwalten.

Sicherheitsgruppenregeln

Die Verwendung von VPC Lattice mit oder ohne Sicherheitsgruppen hat keine Auswirkungen auf Ihre bestehende VPC-Sicherheitsgruppenkonfiguration. Sie können jedoch jederzeit Ihre eigenen Sicherheitsgruppen hinzufügen.

Empfohlene Regeln für ausgehenden Datenverkehr, der vom Resource Gateway zu einer Datenbankressource fließt

Damit der Datenverkehr vom Resource Gateway zu den Ressourcen fließen kann, müssen Sie Regeln für ausgehenden Datenverkehr für die offenen Ports und akzeptierte Listener-Protokolle für die Ressourcen erstellen.

Empfohlene Regeln für eingehende Verbindungen für Servicenetzwerk- und VPC-Zuordnungen

Damit der Datenverkehr von den Client-VPCs zu den Diensten fließen kann, die dem Dienstnetzwerk zugeordnet sind, müssen Sie Regeln für eingehenden Verkehr für die Listener-Ports und Listener-Protokolle für die Dienste erstellen.

Empfohlene Regeln für ausgehenden Datenverkehr, der von Client-Instances zu VPC Lattice fließt

Standardmäßig gestatten Sicherheitsgruppen allen ausgehenden Datenverkehr. Wenn Sie jedoch benutzerdefinierte Regeln für ausgehenden Datenverkehr haben, müssen Sie den ausgehenden Datenverkehr zum VPC-Lattice-Präfix für Listener-Ports und -Protokolle zulassen, damit Client-Instances eine Verbindung zu allen Diensten herstellen können, die dem VPC-Lattice-Dienstnetzwerk zugeordnet sind. Sie können diesen Datenverkehr zulassen, indem Sie auf die ID der Präfixliste für VPC Lattice verweisen.

Empfohlene Regeln für eingehenden Datenverkehr, der von VPC Lattice zu Ziel-Instances fließt

Sie können die Client-Sicherheitsgruppe nicht als Quelle für die Sicherheitsgruppen Ihres Ziels verwenden, da der Datenverkehr von VPC Lattice aus fließt. Sie können auf die ID der Präfixliste für VPC Lattice verweisen.

Sicherheitsgruppen für eine VPC-Zuordnung verwalten

Sie können die verwenden, AWS CLI um Sicherheitsgruppen auf der VPC-Dienst-Netzwerkzuordnung anzuzeigen, hinzuzufügen oder zu aktualisieren. Denken Sie bei der Verwendung von daran AWS CLI, dass Ihre Befehle in der für Ihr Profil AWS-Region konfigurierten Datei ausgeführt werden. Wenn Sie die Befehle in einer anderen Region ausführen möchten, ändern Sie entweder die Standardregion für Ihr Profil, oder verwenden Sie den --region-Parameter mit dem Befehl.

Bevor Sie beginnen, vergewissern Sie sich, dass Sie die Sicherheitsgruppe in derselben VPC wie die VPC erstellt haben, die Sie dem Servicenetzwerk hinzufügen möchten. Weitere Informationen finden Sie im Amazon VPC-Benutzerhandbuch unter Steuern des Datenverkehrs zu Ihren Ressourcen mithilfe von Sicherheitsgruppen

Um eine Sicherheitsgruppe hinzuzufügen, wenn Sie eine VPC-Zuordnung erstellen, verwenden Sie das AWS CLI

Verwenden Sie den Befehl create-service-network-vpc-association und geben Sie die ID der VPC für die VPC-Zuordnung und die ID der hinzuzufügenden Sicherheitsgruppen an.

aws vpc-lattice create-service-network-vpc-association \
    --service-network-identifier sn-0123456789abcdef0 \
    --vpc-identifier vpc-1a2b3c4d \
    --security-group-ids sg-7c2270198example

Bei erfolgreicher Ausführung gibt der Befehl eine Ausgabe zurück, die in etwa wie folgt aussieht:

{
  "arn": "arn",
  "createdBy": "464296918874",
  "id": "snva-0123456789abcdef0",
  "status": "CREATE_IN_PROGRESS",
  "securityGroupIds": ["sg-7c2270198example"]
}

Um Sicherheitsgruppen für eine bestehende VPC-Zuordnung hinzuzufügen oder zu aktualisieren, verwenden Sie die AWS CLI

Verwenden Sie den Befehl update-service-network-vpc-association und geben Sie dabei die ID des Dienstnetzwerks und die IDs der Sicherheitsgruppen an. Diese Sicherheitsgruppen haben Vorrang vor allen zuvor verknüpften Sicherheitsgruppen. Definieren Sie mindestens eine Sicherheitsgruppe, wenn Sie die Liste aktualisieren.

aws vpc-lattice update-service-network-vpc-association 
    --service-network-vpc-association-identifier sn-903004f88example \
    --security-group-ids sg-7c2270198example sg-903004f88example