¿Cómo configuro y gestiono los grupos de seguridad y las ACL de red de Amazon VPC?

Solución

Nota: Se recomienda usar grupos de seguridad para conseguir un control de acceso detallado y ACL de red para un acceso más amplio.

Configuración de un grupo de seguridad de Amazon VPC

Al configurar las reglas del grupo de seguridad, permite solo el tráfico necesario para que funcionen las aplicaciones y los servicios.

Si es necesario, puedes usar varios grupos de seguridad para gestionar por separado los diferentes tipos de reglas de acceso. Por ejemplo, conecta varios grupos de seguridad a una única interfaz de red elástica para acceder al tráfico web y a las bases de datos y para supervisar las herramientas.

Asegúrate de configurar las reglas en función de tus requisitos de servicio de AWS. Por ejemplo, para las instancias de Amazon Elastic Compute Cloud (Amazon EC2), permite SSH (puerto 22) en Linux o el TCP predeterminado (puerto 3389) para las instancias de Windows. En el caso de las instancias de Amazon Relational Database Service (Amazon RDS), permite los puertos específicos de la base de datos.

Ejemplos de reglas de entrada para conectarte a instancias desde tu ordenador:

Tipo de protocolo	Número de protocolo	Puerto	Dirección IP de origen
TCP	6	22 (SSH)	La dirección de tu ordenador
TCP	6	3389 (TCP)	La dirección de tu ordenador

Ejemplo de reglas de entrada para conectarte a instancias desde tu servidor de base de datos:

Tipo de protocolo	Número de protocolo	Puerto	Dirección IP de origen
TCP	6	1433 (MS SQL)	La dirección de tu ordenador
TCP	6	3306 (MYSQL/Amazon Aurora)	La dirección de tu ordenador

Al crear las reglas, también puedes hacer referencia a otros grupos de seguridad en lugar de a direcciones IP privadas individuales o rangos de CIDR.

Asociación de los grupos de seguridad a varias VPC

De forma predeterminada, puedes asociar grupos de seguridad únicamente a los recursos de la VPC en la que creaste el grupo de seguridad. Para usar el mismo grupo de seguridad en varias VPC dentro de la misma región de AWS en una cuenta, asocia los grupos de seguridad a otras VPC.

Consolidación y administración de los bloques de CIDR de red con listas de prefijos gestionadas

Al hacer referencia a una lista de prefijos, la cuota del número de entradas del recurso incluye el número máximo de entradas de la lista de prefijos. Por ejemplo, si haces referencia a una lista de prefijos con un máximo de 20 entradas en una regla de grupo de seguridad, las entradas cuentan como 20 reglas de grupo de seguridad.

Para consolidar varias reglas de grupos de seguridad que tienen el mismo puerto y protocolo pero diferentes bloques de CIDR en una sola regla, utiliza una lista de prefijos administrada por el cliente. Al actualizar una lista de prefijos administrada por el cliente, las reglas del grupo de seguridad que hacen referencia a la lista heredan automáticamente los cambios.

Crea una lista de prefijos administrada por el cliente y, a continuación, consulta las entradas de la lista.

Uso compartido de grupos de seguridad con organizaciones

Puedes compartir las VPC en varias cuentas de tu organización de AWS Organizations. Para compartir grupos de seguridad con otras cuentas de tu organización, utiliza la característica Grupo de seguridad compartido.

Por ejemplo, las cuentas de miembros pueden usar grupos de seguridad que la cuenta de propietario haya creado con reglas que cumplan las políticas de seguridad de toda la organización en las subredes de VPC compartidas.

Nota: Las cuentas de miembros pueden usar grupos de seguridad compartidos, pero no pueden modificar las reglas.

Configuración de las ACL de red

Al configurar las ACL de red, utiliza las siguientes prácticas recomendadas:

• Mantén intervalos entre las reglas de ACL de red para facilitar la incorporación de reglas futuras y no tener que reordenar las reglas existentes.
• Usa las ACL de red independientes en diferentes subredes a fin de controlar el tráfico entrante y saliente en función de los recursos de cada subred.
• Usa puertos efímeros para el tráfico saliente a fin de permitir las respuestas de los servicios de AWS.

Etiquetado de recursos

Para que puedas identificar el propósito y los recursos asociados de tus grupos de seguridad y ACL de red, agrégales una etiqueta. Las etiquetas te permiten administrar y organizar tus recursos de manera eficiente en diferentes equipos o proyectos. Puedes filtrar y administrar sistemáticamente tus recursos para realizar tareas de automatización y mantenimiento.

Información relacionada

Diferencias entre las ACL de red y los grupos de seguridad

Reglas de grupos de seguridad para diferentes casos de uso

Seguimiento de conexiones del grupo de seguridad de Amazon EC2

Simplify Amazon VPC security groups management with VPC associations and security groups sharing (Simplificación de la gestión de los grupos de seguridad de Amazon VPC con el uso compartido de asociaciones de VPC y grupos de seguridad)