Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Una lista de control de acceso a la red (NACL) es una capa opcional de seguridad.
Las reglas de la lista de control de acceso a la red (NACL) se aplican de manera diferente, en función del escenario:
La misma subred para las EC2 instancias y la asociación de pasarelas de tránsito
Considere una configuración en la que tenga EC2 instancias y una asociación de pasarela de tránsito en la misma subred. Se usa la misma ACL de red tanto para el tráfico de las EC2 instancias a la puerta de enlace de tránsito como para el tráfico de la puerta de enlace de tránsito a las instancias.
Las reglas de NACL se aplican de la siguiente manera para el tráfico de instancias para la puerta de enlace de tránsito:
-
Las reglas de salida utilizan la dirección IP de destino para la evaluación.
-
Las reglas de entrada utilizan la dirección IP de origen para la evaluación.
Las reglas de NACL se aplican de la siguiente manera para el tráfico proveniente de la puerta de enlace de tránsito hacia las instancias:
-
Las reglas de salida no se evalúan.
-
Las reglas de entrada no se evalúan.
Diferentes subredes para las EC2 instancias y la asociación de pasarelas de tránsito
Considere una configuración en la que tenga EC2 instancias en una subred y una asociación de puerta de enlace de tránsito en una subred diferente, y cada subred esté asociada a una ACL de red diferente.
Las reglas de ACL de red se aplican de la siguiente manera a la subred de la instancia EC2 :
-
Las reglas de salida utilizan la dirección IP de destino para evaluar el tráfico de las instancias a la puerta de enlace de tránsito.
-
Las reglas de salida utilizan la dirección IP de destino para evaluar el tráfico de la puerta de enlace de tránsito a las instancias.
Las reglas NACL se aplican de la siguiente manera para la subred de la puerta de enlace de tránsito:
-
Las reglas de salida utilizan la dirección IP de destino para evaluar el tráfico de la puerta de enlace de tránsito a las instancias.
-
Las reglas de salida no se utilizan para evaluar el tráfico de las instancias a la puerta de enlace de tránsito.
-
Las reglas de entrada utilizan la dirección IP de origen para evaluar el tráfico de las instancias a la puerta de enlace de tránsito.
-
Las reglas de entrada no se utilizan para evaluar el tráfico de la puerta de enlace de tránsito a las instancias.
Prácticas recomendadas
Utilice una subred independiente para cada archivo asociado a la VPC de la puerta de enlace de tránsito. Para cada subred, usa un CIDR pequeño, por ejemplo /28, de modo que tengas más direcciones para los recursos. EC2 Cuando utilice una subred independiente, puede configurar los siguientes recursos:
-
Mantenga abierta la NACL entrante y saliente asociada con las subredes de la puerta de enlace de tránsito.
-
En función del flujo de tráfico, puede aplicarlo NACLs a las subredes de carga de trabajo.
Para obtener más información sobre cómo funcionan las conexiones de VPC, consulte Vinculaciones de recursos.
