Comment configurer les groupes de sécurité et les ACL réseau lorsque je crée un point de terminaison d'interface Amazon VPC pour les services de point de terminaison ?

Résolution

Lorsque vous créez un point de terminaison d'interface Amazon VPC avec un service de point de terminaison, Amazon VPC crée une interface réseau Elastic dans le sous-réseau que vous spécifiez. Le point de terminaison d’interface reçoit l'ACL réseau du sous-réseau associé. Vous devez également associer un groupe de sécurité au point de terminaison d'interface pour contrôler le trafic entrant.

Lorsque vous associez un Network Load Balancer à un service de point de terminaison, le Network Load Balancer transmet les requêtes à la cible enregistrée. Le Network Load Balancer transmet les requêtes comme si une adresse IP enregistrait la cible. Dans ce cas, les adresses IP source sont les adresses IP privées des nœuds de l'équilibreur de charge.

Si vous avez accès au service de point de terminaison Amazon VPC, vérifiez alors les configurations suivantes :

• Les règles du groupe de sécurité entrantes des cibles du Network Load Balancer autorisent le trafic provenant de l'adresse IP privée des nœuds du Network Load Balancer. Pour plus d'informations, consultez Considérations.
• Les règles ACL réseau pour les cibles du Network Load Balancer autorisent le trafic provenant de l'adresse IP privée des nœuds du Network Load Balancer.

Trouver l'ACL réseau associée au point de terminaison d'interface

Procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Choisissez Points de terminaison, puis sélectionnez l'ID du point de terminaison.
3. Choisissez la vue Sous-réseaux.
4. Sélectionnez les sous-réseaux associés.
5. Dans la section Sous-réseaux, notez l'ACL réseau qui est associée aux sous-réseaux.

Trouver le groupe de sécurité qui est associé au point de terminaison d'interface

Procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Choisissez Points de terminaison, puis sélectionnez l'ID du point de terminaison.
3. Choisissez la vue Groupes de sécurité.
4. Notez les ID des groupes de sécurité associés.

Mettre à jour le groupe de sécurité associé au Network Load Balancer

Vous pouvez contrôler si le trafic AWS PrivateLink est soumis à des règles entrantes. Si vous activez les règles entrantes sur le trafic PrivateLink, la source du trafic est alors l'adresse IP privée du client, et non l'interface du point de terminaison.

Si vous ne souhaitez pas utiliser de règles entrantes pour le trafic que PrivateLink envoie à l'équilibreur de charge, configurez alors l'équilibreur de charge. Pour plus d'informations, consultez Mettre à jour les groupes de sécurité du Network Load Balancer.

Configurer le groupe de sécurité associé au point de terminaison d'interface

Remarque : Les groupes de sécurité sont dynamiques. Lorsque vous définissez une règle dans un sens, vous autorisez automatiquement le trafic dans l'autre sens.

Lorsque vous configurez la règle entrante, entrez le même port que celui du service de point de terminaison pour Plage de ports. Dans Source, entrez l'adresse IP ou le réseau du client initiateur.

Remarque : Vous n'avez pas besoin de créer une règle sortante dans le groupe de sécurité qui est associé au point de terminaison d'interface.

Répétez ces étapes pour chaque groupe de sécurité associé au point de terminaison d’interface.

Configurer l'ACL réseau qui est associée au point de terminaison d'interface

Remarque : Les ACL réseau sont dynamiques. Vous devez définir des règles à la fois pour le trafic sortant et pour le trafic entrant.

Procédez comme suit :

1. Ajoutez des règles à l'ACL réseau.
2. Pour la règle entrante, utilisez les configurations suivantes pour autoriser le trafic en provenance du client :
   Pour Plage de ports, entrez le même port que celui du service de point de terminaison.
   Dans Source, entrez l'adresse IP ou le réseau du client.
3. Pour la règle sortante, utilisez les configurations suivantes pour autoriser le trafic de retour depuis le point de terminaison d'interface :
   Dans Plage de ports, entrez 1024-65535.
   Pour Destination, entrez l'adresse IP ou le réseau du client.

Si vous avez spécifié différentes ACL réseau pour chaque sous-réseau, répétez alors les étapes pour chaque ACL réseau qui est associée au point de terminaison d’interface.

Remarque : Lorsque vous configurez le groupe de sécurité du client source, vérifiez que les règles sortantes autorisent la connectivité aux adresses IP privées du point de terminaison d'interface. Vous n'avez pas besoin de vérifier les règles entrantes du groupe de sécurité du client. Pour l'ACL réseau du client source, utilisez les configurations suivantes :

• Pour la règle entrante, entrez la plage de ports éphémères 1024-65535 pour Plage de ports. Pour Source, entrez l'adresse IP privée du point de terminaison d’interface.
• Pour la règle sortante, entrez le même port que celui du service de point de terminaison pour Plage de ports. Pour Destination, entrez l'adresse IP privée du point de terminaison d'interface.

Informations connexes

Comment résoudre les problèmes de connectivité entre un point de terminaison Amazon VPC d'interface et un service de point de terminaison géré par le client ?

Pourquoi ne puis-je pas me connecter à un service lorsque le groupe de sécurité et l'ACL réseau autorisent le trafic entrant ?