Pare-feu et liaison de service

Cette section traite des configurations de pare-feu et de la connexion de la liaison de service.

Dans le schéma suivant, la configuration étend l'Amazon VPC de la AWS région à l'avant-poste. Une interface virtuelle Direct Connect publique est la connexion de liaison de service. Le trafic suivant transite par la liaison de service et la connexion Direct Connect  :

Si vous utilisez un pare-feu avec état avec votre connexion Internet afin de limiter la connectivité de l’Internet public vers le VLAN de la liaison de service, vous pouvez bloquer toutes les connexions entrantes initiées depuis Internet. En effet, le VPN de la liaison de service s’initie uniquement de l’Outpost vers la région, et non de la région vers l’Outpost.

Si vous utilisez un pare-feu dynamique qui est à la fois UDP et TCP-aware pour limiter la connectivité concernant le VLAN de liaison de service, vous pouvez refuser toutes les connexions entrantes. Si le pare-feu agit de manière dynamique, les connexions sortantes autorisées depuis le lien de service Outposts devraient automatiquement autoriser le retour du trafic de réponse sans configuration de règles explicites. Seules les connexions sortantes initiées à partir de la liaison du service Outpost doivent être configurées comme autorisé.

Si vous utilisez un pare-feu sans état pour limiter la connectivité concernant le VLAN de liaison de service, vous devez autoriser les connexions sortantes initiées depuis la liaison de service Outposts vers les réseaux publics de la AWS Outposts région. Vous devez également autoriser explicitement le trafic de réponse en provenance des réseaux publics de la région Outposts entrant vers le VLAN de liaison de service. La connectivité est toujours initiée en sortant depuis la liaison de service Outposts, mais le trafic de réponse doit être autorisé à revenir dans le VLAN de la liaison de service.