Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controlla il traffico in VPC Lattice utilizzando i gruppi di sicurezza

AWS i gruppi di sicurezza agiscono come firewall virtuali, controllando il traffico di rete da e verso le entità a cui sono associati. Con VPC Lattice, puoi creare gruppi di sicurezza e assegnarli all'associazione VPC che collega un VPC a una rete di servizi per applicare protezioni di sicurezza aggiuntive a livello di rete per la tua rete di servizi. Se connetti un VPC a una rete di servizi utilizzando un endpoint VPC, puoi assegnare anche gruppi di sicurezza all'endpoint VPC. Allo stesso modo, puoi assegnare gruppi di sicurezza ai gateway di risorse che crei per consentire l'accesso alle risorse nel tuo VPC.

Elenco di prefissi gestito

VPC Lattice fornisce elenchi di prefissi gestiti che includono gli indirizzi IP utilizzati per indirizzare il traffico sulla rete VPC Lattice quando si utilizza un'associazione di rete di servizi per connettere il VPC a una rete di servizi utilizzando un'associazione VPC. Questi IP sono IP locali di collegamento privati o IP pubblici non instradabili.

Puoi fare riferimento agli elenchi di prefissi gestiti da VPC Lattice nelle regole del tuo gruppo di sicurezza. Ciò consente al traffico di fluire dai client, attraverso la rete di servizi VPC Lattice e verso le destinazioni del servizio VPC Lattice.

Ad esempio, supponiamo di avere un'istanza EC2 registrata come destinazione nella regione Stati Uniti occidentali (Oregon) (). us-west-2 È possibile aggiungere una regola al gruppo di sicurezza dell'istanza che consenta l'accesso HTTPS in entrata dall'elenco dei prefissi gestiti da VPC Lattice, in modo che il traffico VPC Lattice in questa regione possa raggiungere l'istanza. Se rimuovi tutte le altre regole in entrata dal gruppo di sicurezza, puoi impedire a qualsiasi traffico diverso da quello di VPC Lattice di raggiungere l'istanza.

I nomi degli elenchi di prefissi gestiti per VPC Lattice sono i seguenti:

Per maggiori informazioni, consulta Elenchi di prefissi gestiti da AWS nella Guida dell'utente di Amazon VPC.

Client Windows e macOS

Gli indirizzi negli elenchi di prefissi di VPC Lattice sono indirizzi locali del collegamento e indirizzi pubblici non instradabili. Se ti connetti a VPC Lattice da questi client, devi aggiornare le loro configurazioni in modo che gli indirizzi IP presenti nell'elenco dei prefissi gestiti vengano inoltrati all'indirizzo IP primario del client. Di seguito è riportato un comando di esempio che aggiorna la configurazione del client Windows, dove 169.254.171.0 è presente uno degli indirizzi nell'elenco dei prefissi gestiti.

C:\> route add 169.254.171.0 mask 255.255.255.0 primary-ip-address

Di seguito è riportato un comando di esempio che aggiorna la configurazione del client macOS, dove 169.254.171.0 è presente uno degli indirizzi nell'elenco dei prefissi gestiti.

sudo route -n add -net 169.254.171.0 primary-ip-address 255.255.255.0

Per evitare di creare una route statica, ti consigliamo di utilizzare un endpoint di rete di servizio in un VPC per stabilire la connettività. Per ulteriori informazioni, consulta Gestisci le associazioni di endpoint VPC della rete di assistenza.

Regole del gruppo di sicurezza

L'utilizzo di VPC Lattice con o senza gruppi di sicurezza non influirà sulla configurazione esistente del gruppo di sicurezza VPC. Tuttavia, puoi aggiungere i tuoi gruppi di sicurezza in qualsiasi momento.

Regole in uscita consigliate per il traffico che fluisce dal gateway di risorse a una risorsa del database

Affinché il traffico fluisca dal gateway delle risorse alle risorse, è necessario creare regole in uscita per le porte aperte e protocolli di ascolto accettati per le risorse.

Regole in entrata consigliate per la rete di servizi e le associazioni VPC

Affinché il traffico fluisca dai VPC client ai servizi associati alla rete di servizi, è necessario creare regole in entrata per le porte del listener e i protocolli listener per i servizi.

Regole in uscita consigliate per il flusso di traffico dalle istanze client a VPC Lattice

Per impostazione predefinita, i gruppi di sicurezza autorizzano tutto il traffico in uscita. Tuttavia, se disponi di regole in uscita personalizzate, devi consentire il traffico in uscita verso il prefisso VPC Lattice per le porte e i protocolli del listener in modo che le istanze client possano connettersi a tutti i servizi associati alla rete di servizi VPC Lattice. Puoi consentire questo traffico facendo riferimento all'ID dell'elenco di prefissi per VPC Lattice.

Regole in entrata consigliate per il traffico che fluisce da VPC Lattice alle istanze di destinazione

Non puoi utilizzare il gruppo di sicurezza del client come origine per i gruppi di sicurezza di destinazione, perché il traffico fluisce da VPC Lattice. Puoi fare riferimento all'ID dell'elenco dei prefissi per VPC Lattice.

Gestisci i gruppi di sicurezza per un'associazione VPC

È possibile AWS CLI utilizzare l'associazione di rete VPC-service per visualizzare, aggiungere o aggiornare i gruppi di sicurezza. Quando usi il AWS CLI, ricorda che i comandi vengono eseguiti nella Regione AWS configurazione del tuo profilo. Per eseguire i comandi in un'altra regione, modificare la regione predefinita per il profilo oppure utilizzare il parametro --region con il comando.

Prima di iniziare, conferma di aver creato il gruppo di sicurezza nello stesso VPC del VPC che desideri aggiungere alla rete di servizi. Per ulteriori informazioni, consulta Controlla il traffico verso le tue risorse utilizzando i gruppi di sicurezza nella Amazon VPC User Guide

Per aggiungere un gruppo di sicurezza quando si crea un'associazione VPC utilizzando AWS CLI

Utilizza il comando create-service-network-vpc-association, specificando l'ID del VPC per l'associazione VPC e l'ID dei gruppi di sicurezza da aggiungere.

aws vpc-lattice create-service-network-vpc-association \
    --service-network-identifier sn-0123456789abcdef0 \
    --vpc-identifier vpc-1a2b3c4d \
    --security-group-ids sg-7c2270198example

Se il comando viene eseguito correttamente, verrà visualizzato un output simile al seguente:

{
  "arn": "arn",
  "createdBy": "464296918874",
  "id": "snva-0123456789abcdef0",
  "status": "CREATE_IN_PROGRESS",
  "securityGroupIds": ["sg-7c2270198example"]
}

Per aggiungere o aggiornare i gruppi di sicurezza per un'associazione VPC esistente utilizzando AWS CLI

Utilizza il comando update-service-network-vpc-association, specificando l'ID della rete di servizi e gli ID dei gruppi di sicurezza. Questi gruppi di sicurezza hanno la precedenza su qualsiasi gruppo di sicurezza associato in precedenza. Definisci almeno un gruppo di sicurezza quando aggiorni l'elenco.

aws vpc-lattice update-service-network-vpc-association 
    --service-network-vpc-association-identifier sn-903004f88example \
    --security-group-ids sg-7c2270198example sg-903004f88example