Controllo del traffico della sottorete con le liste di controllo degli accessi alla rete

Ogni sottorete nel VPC deve Essere associata a una lista di controllo accessi di rete. Se non associ in maniera esplicita una sottorete a una lista di controllo degli accessi di rete (ACL), la sottorete viene associata automaticamente alla ACL predefinita.

Puoi creare una ACL di rete personalizzata e associarla a una sottorete per consentire o rifiutare traffico specifico in entrata o in uscita al livello della sottorete.

Puoi associare una lista di controllo accessi di rete a più sottoreti. Tuttavia, una sottorete può essere associata a una sola lista di controllo accessi di rete alla volta. Quando associ una lista di controllo accessi di rete a una sottorete, l'associazione precedente viene rimossa.

Un'ACL di rete ha regole in entrata e regole in uscita. Esistono quote (o limiti) al numero di regole disponibili per ogni lista di controllo degli accessi di rete. Ogni regola può consentire o negare il traffico. Ogni regola ha un numero compreso tra 1 e 32766. Quando decidiamo se consentire o rifiutare il traffico, valutiamo le regole in ordine, a partire dalla regola numerata più bassa. Se il traffico corrisponde a una regola, la regola viene applicata e non ne viene valutata nessun'altra. Ti consigliamo di iniziare creando regole in incrementi (ad esempio, incrementi di 10 o 100) in modo da poter inserire nuove regole se richiesto in seguito.

Valutiamo le regole ACL di rete quando il traffico entra ed esce dalla sottorete, non quando viene instradato all'interno di una sottorete.

I NAC sono stateless, quindi le informazioni sul traffico inviato o ricevuto in precedenza non vengono salvate. Se, ad esempio, si crea una regola NACL per consentire un traffico in entrata specifico verso una sottorete, le risposte a tale traffico non vengono consentite automaticamente. Ciò è in contrasto con il funzionamento dei gruppi di sicurezza. I NAC sono stateful, quindi le informazioni sul traffico inviato o ricevuto in precedenza vengono salvate. Se, ad esempio, un gruppo di sicurezza consente il traffico in entrata verso un'istanza EC2, le risposte vengono automaticamente consentite, indipendentemente dalle regole del gruppo di sicurezza in uscita.

Esistono quote (note anche come limiti) per le liste di controllo degli accessi di rete. Per ulteriori informazioni, consulta Liste di controllo accessi (ACL) di rete.

Le ACL di rete non possono bloccare le richieste DNS da o verso il risolutore Route 53 (noto anche come indirizzo IP VPC+2 o AmazonProvidedDNS). Per filtrare le richieste DNS attraverso il Route 53 Resolver, abilita il Firewall DNS per il Route 53 Resolver.

Le ACL di rete non possono bloccare il traffico verso il servizio Instance Metadata Service (IMDS). Per gestire l'accesso a IMDS, consulta la pagina Configurazione delle opzioni dei metadati dell'istanza nella Guida per l'utente di Amazon EC2.

Le ACL di rete non filtrano il traffico destinato a e da i seguenti: