Firewall e il collegamento al servizio

Questa sezione illustra le configurazioni del firewall e la connessione del collegamento al servizio.

Nel diagramma seguente, la configurazione estende Amazon VPC dalla regione AWS all'avamposto. Un'interfaccia virtuale AWS Direct Connect pubblica è la connessione di collegamento al servizio. Il seguente traffico passa attraverso il collegamento al servizio e la connessione AWS Direct Connect :

Se con la tua connessione Internet utilizzi un firewall stateful per limitare la connettività dalla rete Internet pubblica alla VLAN del collegamento al servizio, puoi bloccare tutte le connessioni in entrata che partono da Internet. Questo perché il VPN del collegamento al servizio viene avviato solo dall'Outpost alla regione, non dalla regione all'Outpost.

Se si utilizza un firewall stateful compatibile sia con UDP che con TCP per limitare la connettività relativa alla Service Link VLAN, è possibile negare tutte le connessioni in entrata. Se il firewall agisce in modo statico, le connessioni in uscita consentite dal collegamento al servizio Outposts dovrebbero consentire automaticamente il ritorno del traffico di risposta senza una configurazione esplicita delle regole. Solo le connessioni in uscita avviate dal collegamento al servizio Outpost devono essere configurate come consentite.

Se si utilizza un firewall non stateful per limitare la connettività relativa alla VLAN service link, è necessario consentire le connessioni in uscita avviate dal collegamento del servizio Outposts alle reti pubbliche della regione. AWS Outposts È inoltre necessario consentire esplicitamente l'ingresso del traffico di risposta dalle reti pubbliche della regione Outposts in ingresso alla VLAN service link. La connettività viene sempre avviata in uscita dal collegamento del servizio Outposts, ma il traffico di risposta deve essere consentito nuovamente nella VLAN del collegamento al servizio.