防火牆和服務連結

本節討論防火牆組態和服務連結連線。

在下圖中，組態會將 Amazon VPC 從 AWS 區域延伸到 Outpost。 AWS Direct Connect 公有虛擬介面是服務連結連線。下列流量會通過服務連結和 AWS Direct Connect 連線：

如果您搭配網際網路連線使用具狀態的防火牆來限制從公有網際網路到服務連結 VLAN 的連線，則可以封鎖所有從網際網路起始的傳入連線。這是因為服務連結 VPN 只會從 Outpost 起始到區域，不會從區域起始到 Outpost。

如果您使用同時具備 UDP 和 TCP 感知的狀態防火牆來限制與服務連結 VLAN 相關的連線，則可以拒絕所有傳入連線。如果防火牆以有狀態的方式運作，允許來自 Outposts 服務連結的傳出連線應會自動允許回傳的回覆流量，而無需明確規則組態。只有從 Outpost 服務連結啟動的傳出連線需要設定為允許。

如果您使用非狀態防火牆來限制與服務連結 VLAN 相關的連線，則必須允許從 Outposts 服務連結起始到區域的公有 AWS Outposts 網路的傳出連線。您還必須明確允許來自 Outposts 區域的公有網路傳入服務連結 VLAN 的 中的回覆流量。連線一律會從 Outposts 服務連結開始傳出，但必須允許回覆流量回到服務連結 VLAN。