Règles des listes ACL réseau - Amazon Virtual Private Cloud
Considérations

Règles des listes ACL réseau

Vous pouvez ajouter des règles à la liste ACL réseau par défaut ou en supprimer. Vous pouvez également créer des listes ACL réseau supplémentaires pour votre VPC. Lorsque vous ajoutez une règle à une liste ACL réseau ou en supprimez, les modifications s'appliquent automatiquement aux sous-réseaux auxquels elle est associée.

Une règle d'une liste ACL réseau est composée des éléments suivants :

  • Numéro de règle. les règles sont évaluées en commençant par la règle comportant le numéro le plus bas. Lorsqu'une règle correspond au trafic, elle s'applique même si une règle avec un numéro plus élevé la contredit.

  • Type. Type de trafic ; par exemple, SSH. Vous pouvez également spécifier tout le trafic ou une plage personnalisée.

  • Protocole. Vous pouvez spécifier n'importe quel protocole associé à un numéro de protocole standard. Pour plus d'informations, consultez la page Protocol Numbers. Si vous indiquez ICMP comme protocole, vous pouvez indiquer tout ou partie des types et codes ICMP.

  • Plage de ports. Port d'écoute ou plage de ports pour le trafic. Par exemple, 80 pour le trafic HTTP.

  • Source. [Règles entrantes uniquement] Source du trafic (plage CIDR).

  • Destination. [Règles sortantes uniquement] Destination du trafic (plage CIDR).

  • Autoriser/Refuser. Indique s'il faut autoriser ou refuser le trafic spécifié.

Pour obtenir des exemples de règles, consultez la section Exemple : contrôler l'accès aux instances dans un sous-réseau.

Considérations

  • Il existe des quotas (également appelés limites) concernant le nombre de règles par ACL réseau. Pour de plus amples informations, consultez Quotas Amazon VPC.

  • Lorsque vous ajoutez une règle ou en supprimez une d'une liste ACL, tous les sous-réseaux qui y sont associés sont concernés par la modification. Les modifications entrent en vigueur après une courte période.

  • Si vous ajoutez une règle à l'aide d'un outil de ligne de commande ou de l'API Amazon EC2, la plage CIDR est automatiquement remise à sa forme canonique. Par exemple, si vous spécifiez 100.68.0.18/18 pour la plage CIDR, nous créons une règle avec une plage CIDR 100.68.0.0/18.

  • Vous pouvez ajouter une règle de refus lorsque vous devez ouvrir une grande plage de ports, mais que vous souhaitez refuser certains ports de cette plage. Assurez-vous d’attribuer à la règle de refus un numéro inférieur à celui de la règle qui autorise le trafic de la grande plage de ports.

  • Soyez prudent si vous ajoutez des règles dans une ACL réseau et en supprimez de l’ACL réseau en même temps. Si vous supprimez des règles entrantes ou sortantes, puis ajoutez plus de nouvelles entrées que le nombre autorisé (voir Quotas Amazon VPC), les entrées sélectionnées pour suppression seront supprimées, et les nouvelles entrées ne seront pas ajoutées. Cela peut occasionner des problèmes de connectivité inattendus et empêcher tout accès à vos VPC ou depuis ceux-ci.