En esta sección, se describen detalles importantes sobre el BPA de la VPC, incluidos los servicios que lo admiten y cómo puede trabajar con él.
Contenido
Disponibilidad regional
El BPA de la VPC está disponible en todas las regiones de AWS
En esta guía, también encontrará información sobre el uso del Analizador de acceso a la red y el Analizador de accesibilidad con el BPA de la VPC. Tenga en cuenta que el Analizador de acceso a la red y el Analizador de accesibilidad no están disponibles en todas las regiones comerciales. Para obtener información sobre la disponibilidad regional del Analizador de acceso a la red y el Analizador de accesibilidad, consulte Limitaciones en la Guía del Analizador de acceso a la red y Consideraciones de la Guía del Analizador de accesibilidad.
Impacto en los servicios de AWS y cuáles lo admiten
Los siguientes recursos y servicios admiten el BPA de la VPC y el tráfico a estos servicios y recursos se ve afectado por el BPA de la VPC:
Puerta de enlace de Internet: se bloquea todo el tráfico entrante y saliente.
Puerta de enlace de Internet solo de salida: se bloquea todo el tráfico saliente. Las puertas de enlace de Internet de solo salida no permiten el tráfico entrante.
Puerta de enlace NAT: se bloquea todo el tráfico entrante y saliente. Las puertas de enlace NAT requieren una puerta de enlace de Internet para la conectividad a Internet.
Equilibrador de carga de red orientado a Internet: se bloquea todo el tráfico entrante y saliente. Los equilibradores de carga de red orientados a Internet requieren una puerta de enlace de Internet para conectarse a la Internet.
Equilibrador de carga de aplicación orientado a Internet: se bloquea todo el tráfico entrante y saliente. Los equilibradores de carga de aplicaciones orientados a Internet requieren una puerta de enlace de Internet para conectarse a la Internet.
-
Orígenes de la VPC de Amazon CloudFront: se bloquea todo el tráfico entrante y saliente.
-
AWS Global Accelerator: se bloquea el tráfico entrante a las VPC, independientemente de que se pueda acceder al objetivo desde Internet o no.
Puerta de enlace de operador de AWS Wavelength: se bloquea todo el tráfico entrante y saliente.
El BPA de la VPC no bloquea ni afecta al tráfico relacionado con la conectividad privada, como el tráfico de los siguientes servicios y recursos:
AWS Client VPN
AWS CloudWAN
-
Puerta de enlace local de AWS Outposts
-
AWS Site-to-Site VPN
-
Puerta de enlace de tránsito
-
Acceso verificado de AWS
importante
El tráfico que se envía de forma privada desde los recursos de la VPC a otros servicios que se ejecutan en la VPC, como el Resolver DNS de EC2 o Amazon OpenSearch Service, está permitido incluso cuando el BPA está activado, ya que no pasa a través de una puerta de enlace de Internet de la VPC. Es posible que estos servicios realicen solicitudes a recursos externos a la VPC en su nombre, por ejemplo, para resolver una consulta de DNS, y que expongan información sobre la actividad de los recursos de la VPC si no se mitigan mediante otros controles de seguridad.
Limitaciones del BPA
El modo de solo entrada del BPA de VPC no se admite en las zonas locales (LZ) donde no se permiten las puertas de enlace NAT ni las puertas de enlace de Internet de solo salida.
Control del acceso al BPA de la VPC con una política de IAM
Para ver ejemplos de políticas de IAM que permiten o deniegan el acceso a la característica de BPA de la VPC, consulte Bloqueo de acceso público de las VPC y subredes.
Habilitación del modo bidireccional del BPA para su cuenta
El modo bidireccional del BPA de la VPC bloquea todo el tráfico hacia y desde las puertas de enlace de Internet y las puertas de enlace de Internet de solo salida en esta región (excepto las VPC y las subredes excluidas). Para obtener más información acerca de las exclusiones, consulte Crear y eliminar exclusiones.
importante
Se recomienda que revise detenidamente las cargas de trabajo que requieren acceso a Internet antes de habilitar el BPA de la VPC en sus cuentas de producción.
nota
Para habilitar el BPA de la VPC en las VPC y las subredes de su cuenta, debe ser propietario de las VPC y las subredes.
Si actualmente comparte subredes de VPC con otras cuentas, el modo del BPA de la VPC impuesto por el propietario de la subred también se aplica al tráfico de los participantes, pero los participantes no pueden controlar la configuración del BPA de la VPC que afecta a la subred compartida.
-
Abra la consola de Amazon VPC en https://console.aws.amazon.com/vpc/
. -
En el panel de navegación izquierdo, elija Configuración.
-
Elija Editar la configuración del acceso público.
-
Seleccione Activar el bloqueo del acceso público y Bidireccional y, a continuación, seleccione Guardar cambios.
-
Espere a que el Estado cambie a Activado. Las configuraciones del BPA pueden tardar unos minutos en aplicarse y en que se actualice el estado.
El modo bidireccional del BPA de la VPC ya está activado.
Cambiar el modo del BPA de la VPC a modo de solo entrada
El modo del BPA de la VPC de solo entrada bloquea todo el tráfico de Internet a las VPC de esta región (excepto las VPC o subredes que están excluidas). Solo se permite el tráfico hacia y desde las puertas de enlace NAT y las puertas de enlace de Internet solo de salida, ya que estas puertas de enlace solo permiten establecer conexiones salientes.
Abra la consola de Amazon VPC en https://console.aws.amazon.com/vpc/
. -
En el panel de navegación izquierdo, elija Configuración.
-
Elija Editar la configuración del acceso público.
-
Cambie la dirección a Ingress-only.
-
Guarde los cambios y espere a que se actualice el estado. Las configuraciones del BPA pueden tardar unos minutos en aplicarse y en que se actualice el estado.
Crear y eliminar exclusiones
Una exclusión de BPA de la VPC es un modo que se puede aplicar a una sola VPC o subred, lo que la exime del modo BPA de la cuenta y permitirá el acceso bidireccional o solo de salida. Puede crear exclusiones de BPA para las VPC y las subredes incluso cuando el BPA no esté habilitado en la cuenta para garantizar que las exclusiones no interrumpan el tráfico cuando el BPA de la VPC está activado. Se aplica automáticamente una exclusión para una VPC a todas las subredes de la VPC.
Puede crear un máximo de 50 exclusiones. Para obtener información acerca de cómo solicitar un aumento del límite, consulte Exclusiones de BPA de la VPC por cuenta en Cuotas de Amazon VPC.
-
Abra la consola de Amazon VPC en https://console.aws.amazon.com/vpc/
. -
En el panel de navegación izquierdo, elija Configuración.
-
En la pestaña Bloqueo de acceso público, en Exclusiones, realice una de las siguientes acciones:
Para eliminar una exclusión, selecciónela y, a continuación, elija Acciones > Eliminar exclusiones.
Para crear una exclusión, seleccione Crear exclusiones y siga con los siguientes pasos.
-
Seleccione una dirección del bloque:
-
Bidireccional: permite que todo el tráfico de Internet entre y salga de las VPC y subredes excluidas.
-
Solo de salida: permite el tráfico de Internet saliente desde las VPC y subredes excluidas. Bloquea el tráfico de Internet entrante a las VPC y subredes excluidas. Esta configuración se aplica cuando el BPA está establecido en Bidireccional.
-
Elija una VPC o una subred.
Seleccione Crear exclusiones.
-
Espere a que el Estado de exclusión cambie a Activo. Puede que tenga que actualizar la tabla de exclusión para ver el cambio.
Se ha creado la exclusión.
Habilite el BPA de la VPC a nivel de Organization
Si utiliza AWS Organizations para administrar las cuentas de su organización, puede utilizar una política declarativa de AWS Organizations para aplicar el BPA de la VPC en las cuentas de la organización. Para obtener más información sobre la política declarativa del BPA de la VPC, consulte Políticas declarativas compatibles en la Guía del usuario de AWS Organizations.
nota
Puede usar la política declarativa del BPA de la VPC para configurar si se permiten las exclusiones, pero no puede crear exclusiones con la política. Para crear exclusiones, aún debe crearlas en la cuenta propietaria de la VPC. Para obtener más información sobre la creación de exclusiones del BPA de la VPC, consulte Crear y eliminar exclusiones.
Si la política declarativa del BPA de la VPC está habilitada, en las configuraciones de Bloqueo de acceso público verá la leyenda Administrado por la política declarativa y no podrá modificar las configuraciones del BPA de la VPC a nivel de cuenta.
