防火墙和服务链路

本部分讨论防火墙配置和服务链路。

在下图中，该配置将 Amazon VPC 从该 AWS 区域扩展到前哨。 Direct Connect 公共虚拟接口是服务链路连接。以下流量通过服务链路和 Direct Connect 连接传送：

如果您在互联网连接中使用状态防火墙来限制从公共互联网到服务链路 VLAN 的连接，则可以阻止所有从互联网发起的入站连接。这是因为服务链路 VPN 仅从 Outpost 发起到该区域，而不是从该区域发起到 Outpost。

如果您使用既是 UDP 又限制与 TCP-aware 服务链路 VLAN 相关的连接的状态防火墙，则可以拒绝所有入站连接。如果防火墙以状态方式运行，则允许来自 Outposts 服务链接的出站连接应自动允许回复流量在没有明确规则配置的情况下返回。只有从 Outpost 服务链路发起的出站连接才需要配置为允许。

如果您使用非状态防火墙来限制与服务链路 VLAN 相关的连接，则必须允许从 Outposts 服务链路发起的出站连接至该 AWS Outposts 地区的公共网络。您还必须明确允许来自前哨区域公共网络的回复流量进入服务链路 VLAN。连接始终从 Outposts 服务链路出站启动，但必须允许回复流量返回服务链路 VLAN。