Come posso configurare Firewall di rete AWS con un gateway NAT?

Breve descrizione

Firewall di rete AWS offre un controllo granulare sul traffico da e verso le risorse all'interno di Amazon Virtual Private Cloud (Amazon VPC). Per proteggere le risorse di Amazon VPC, distribuisci gli endpoint di Firewall di rete in sottoreti dedicate e instrada il traffico delle istanze del carico di lavoro attraverso gli endpoint. Completa i seguenti passaggi:

• Crea un VPC
• Crea un firewall
• Configura l'instradamento del traffico

Risoluzione

Crea un VPC

1. Apri la console Amazon VPC.
2. Nella dashboard VPC, scegli Crea VPC.
3. In Impostazioni VPC, configura le seguenti opzioni:
   Per Risorse da creare, scegli VPC e altro.
   In Generazione automatica del tag del nome, inserisci un nome per il VPC. In questo esempio, il VPC è denominato Protected_VPC_10.0.0.0_16-vpc. Quando selezioni l'opzione Generazione automatica, il nome viene aggiunto come tag del nome a tutte le risorse del VPC.
   In Intervallo CIDR IPv4, inserisci [IP_ADDRESS].
   Per Intervallo CIDR IPv6, selezionare Nessun intervallo CIDR IPv6.
   Per Tenancy, scegli Predefinito.
   Per Numero di zone di disponibilità (AZ), scegli 2.
   Alla voce Personalizza le zone di disponibilità, scegli due zone di disponibilità. In questo esempio, sono selezionate le zone us-east-2a e us-east-2b.
   Per Numero di sottoreti pubbliche, scegli 2.
   Per Numero di sottoreti private, scegli 4. Due delle sottoreti private sono destinate agli endpoint del firewall, mentre le altre due sono destinate al carico di lavoro.
   Per Gateway NAT ($), scegli 1 per AZ. I gateway NAT vengono distribuiti automaticamente nelle sottoreti pubbliche.
   Per Endpoint VPC, scegli Nessuno.
4. Scegli Crea VPC.
5. Assegna un nome alle sottoreti in base allo scopo.

Nota: Firewall di rete non può ispezionare i carichi di lavoro nella stessa sottorete in cui sono distribuiti gli endpoint del firewall.

In questo esempio:

• Le due sottoreti pubbliche sono destinate ai gateway NAT e sono denominate Public_Subnet_AZa e Public_Subnet_AZb.
• Due delle sottoreti private sono destinate agli endpoint del firewall e sono denominate Firewall_Subnet_AZa e Firewall_Subnet_AZb.
• Le altre due sottoreti private sono per le istanze del carico di lavoro e sono denominate Private_Subnet_AZa e Private_Subnet_AZb.

Crea un firewall

1. Nel pannello di navigazione, per Firewall di rete, scegli Firewall.
2. Scegli Crea firewall.
3. In Crea firewall, configura le seguenti opzioni:
   In Nome, inserisci un nome per il firewall. In questo esempio, il firewall è denominato Network-Firewall-Test.
   Per VPC, scegli Protected_VPC_10.0.0.0_16-vpc.
   Per Sottoreti del firewall, scegli la prima zona di disponibilità (us-east-2a), Firewall_Subnet_AZa come sottorete e IPv4 come tipo di indirizzo IP. Quindi scegli Aggiungi nuova sottorete e ripeti per la seconda zona di disponibilità (us-east-2b), scegliendo Firewall_Subnet_AZb come sottorete e IPv4 come tipo di indirizzo IP. Scegli Avanti.
4. In Configura impostazioni avanzate - facoltativo, mantieni le impostazioni predefinite. Scegli Avanti.
5. Per Policy firewall associata, scegli Crea e associa una policy del firewall vuota. In Nuovo nome della policy del firewall, inserisci un nome per la nuova policy. Scegli Avanti.
6. Aggiungi tag (facoltativo).
7. Scegli Avanti, rivedi la configurazione e seleziona Crea firewall.

Nota: ogni sottorete deve avere una tabella di routing univoca. Le quattro sottoreti private hanno ciascuna una tabella di routing univoca associata, mentre le sottoreti pubbliche condividono una tabella di routing. Crea una nuova tabella di routing con una route statica verso un gateway Internet e associala a una delle sottoreti pubbliche.

Configura l'instradamento del traffico

Il traffico in uscita procede come segue:

1. Il traffico proveniente da un'istanza del carico di lavoro in AZa viene inoltrato all'endpoint del firewall in AZa .
2. L'endpoint del firewall in AZa instrada il traffico verso il gateway NAT in AZa.
3. Il gateway NAT in AZa inoltra il traffico al gateway Internet collegato al VPC.
4. Il gateway Internet inoltra il traffico a Internet.

Il traffico di ritorno segue lo stesso percorso in senso inverso:

1. Il traffico di ritorno da Internet raggiunge il gateway Internet collegato al VPC. È possibile collegare un solo gateway Internet a un VPC.
2. Il gateway Internet inoltra il traffico al gateway NAT in AZa. Il gateway Internet prende questa decisione in base alla zona di disponibilità del carico di lavoro. Poiché la destinazione del traffico è in AZa, il gateway Internet seleziona il gateway NAT in AZa. Non serve una tabella di routing separata per il gateway Internet.
3. La sottorete del gateway NAT in AZa inoltra il traffico all'endpoint del firewall in AZa per mantenere il routing simmetrico.
4. L'endpoint del firewall in AZa inoltra il traffico al carico di lavoro in AZa.

Nota: il traffico rimane all'interno della stessa zona di disponibilità in modo che sia il traffico in uscita sia il traffico in entrata sia instradato attraverso l'endpoint del firewall. Ciò consente agli endpoint del firewall in ciascuna zona di disponibilità di eseguire ispezioni statiche dei pacchetti.

Dopo aver creato il VPC e il firewall, configura le tabelle di routing. Tieni presente quanto segue:

• Private_Subnet_AZa inoltra tutto il traffico collegato a Internet all'endpoint del firewall in AZa (Firewall_Subnet_AZa). Ripeti l'operazione per Private_Subnet_AZb e l'endpoint del firewall in AZb.
• Firewall_Subnet_AZa inoltra tutto il traffico collegato a Internet al gateway NAT in AZa (Public_Subnet_AZa). Ripeti l'operazione per Firewall_Subnet_AZb e il gateway NAT in AZb.
• Public_Subnet_AZa inoltra tutto il traffico collegato a Internet al gateway Internet collegato al VPC.
• Il traffico di ritorno segue lo stesso percorso in senso inverso.

Di seguito sono riportati alcuni esempi di configurazioni della tabella di routing:

Public_Subnet_RouteTable_AZa (associazione di sottoreti: Public_Subnet_AZa)

Destinazione	Destinazione
0.0.0.0/0	Gateway Internet
[IP_ADDRESS]	Locale
10.0.128.0/20	Endpoint del firewall in AZa

Nota: In questo esempio, 10.0.128.0/20 è il CIDR di Private_Subnet_AZa.

Public_Subnet_RouteTable_AZb (associazione di sottoreti: Public_Subnet_AZb)

Destinazione	Destinazione
0.0.0.0/0	Gateway Internet
[IP_ADDRESS]	Locale
10.0.16.0/20	Endpoint del firewall in AZb

Nota: In questo esempio, 10.0.16.0/20 è il CIDR di Private_Subnet_AZb.

Firewall_Subnet_RouteTable_AZa (associazione di sottoreti: Firewall_Subnet_AZa)

Destinazione	Destinazione
0.0.0.0/0	Gateway NAT in Public_Subnet_AZa
[IP_ADDRESS]	Locale

Firewall_Subnet_RouteTable_AZb (associazione di sottoreti: Firewall_Subnet_AZb)

Destinazione	Destinazione
0.0.0.0/0	Gateway NAT in Public_Subnet_AZb
[IP_ADDRESS]	Locale

Private_Subnet_RouteTable_AZa (associazione di sottoreti: Private_Subnet_AZa)

Destinazione	Destinazione
0.0.0.0/0	Endpoint del firewall in AZa
[IP_ADDRESS]	Locale

Private_Subnet_RouteTable_AZb (associazione di sottoreti: Private_Subnet_AZb)

Destinazione	Destinazione
0.0.0.0/0	Endpoint del firewall in AZb
[IP_ADDRESS]	Locale

Per verificare che l'instradamento sia configurato in modo corretto, distribuisci un'istanza Amazon Elastic Compute Cloud (Amazon EC2) in una delle sottoreti private e verifica la connettività Internet. Senza alcuna regola configurata nella policy del firewall, il traffico non viene ispezionato e può raggiungere Internet. Dopo aver verificato che l'instradamento, il gruppo di sicurezza e le liste di controllo degli accessi alla rete (ACL) siano configurati correttamente, aggiungi regole alla policy del firewall.

Nota: puoi anche configurare Firewall di rete per instradare il traffico da Internet attraverso il firewall verso il gateway NAT. Per ulteriori informazioni, consulta Architecture with an internet gateway and a NAT gateway using AWS Network Firewall (Architettura con un gateway Internet e un gateway NAT utilizzando Firewall di rete AWS).

Informazioni correlate

Concetti relativi alla tabella di routing

Deployment models for AWS Network Firewall (Modelli di distribuzione per Firewall di rete AWS)

VPC route table configuration for AWS Network Firewall (Configurazione della tabella di routing del VPC per Firewall di rete AWS)

Avoiding asymmetric routing with AWS Network Firewall (Come evitare l'instradamento asimmetrico con Firewall di rete AWS)