Firewall e il collegamento al servizio

Questa sezione illustra le configurazioni del firewall e la connessione del collegamento al servizio.

Nel diagramma seguente, la configurazione estende Amazon VPC dalla AWS regione all'Outpost. Un'interfaccia virtuale Direct Connect pubblica è la connessione Service Link. Il seguente traffico passa attraverso il collegamento al servizio e la connessione Direct Connect :

Se con la tua connessione Internet utilizzi un firewall stateful per limitare la connettività dalla rete Internet pubblica alla VLAN del collegamento al servizio, puoi bloccare tutte le connessioni in entrata che partono da Internet. Questo perché il VPN del collegamento al servizio viene avviato solo dall'Outpost alla regione, non dalla regione all'Outpost.

Se si utilizza un firewall con stato che è sia UDP che TCP-aware per limitare la connettività relativa alla VLAN Service Link, è possibile negare tutte le connessioni in entrata. Se il firewall agisce in modo statico, le connessioni in uscita consentite dal link del servizio Outposts dovrebbero consentire automaticamente il ritorno del traffico di risposta senza una configurazione esplicita delle regole. Solo le connessioni in uscita avviate dal link del servizio Outpost devono essere configurate come consentite.

Se si utilizza un firewall non stateful per limitare la connettività relativa alla VLAN del service link, è necessario consentire le connessioni in uscita avviate dal collegamento del servizio Outposts alle reti pubbliche della regione. AWS Outposts È inoltre necessario consentire esplicitamente il traffico di risposta in entrata dalle reti pubbliche della regione Outposts verso la VLAN del collegamento di servizio. La connettività viene sempre avviata in uscita dal collegamento di servizio Outposts, ma il traffico di risposta deve essere consentito di rientrare nella VLAN del collegamento di servizio.