本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# Amazon VPC 的基礎設施安全性
<a name="infrastructure-security"></a>

Amazon Virtual Private Cloud 是受管服務，受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及 如何 AWS 保護基礎設施的相關資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。

您可以使用 AWS 發佈的 API 呼叫，透過網路存取 Amazon VPC。使用者端必須支援下列專案：
+ Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。
+ 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。

## 網路隔離
<a name="network-isolation"></a>

虛擬私有雲端 (VPC) 是 AWS 雲端中您自己的邏輯隔離區域中的虛擬網路。使用不同的 VPC，依工作負載或組織實體來隔離基礎設施。

子網是您的 VPC 中的 IP 地址範圍。啟動執行個體時，您會在 VPC 的子網中啟動它。使用子網來隔離單一 VPC 內的應用程式層 (例如，Web、應用程式及資料庫)。如果不應該從網際網路直接存取，則針對您的執行個體使用私有子網。

您可以使用 [AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/)讓 VPC 中的資源 AWS 服務 使用私有 IP 地址連線至 ，就像這些服務直接託管在 VPC 中一樣。因此，您不需要使用網際網路閘道或 NAT 裝置來存取 AWS 服務。

## 控制網路流量
<a name="control-network-traffic"></a>

請考慮下列選項來控制您 VPC 中的資源 (例如 EC2 執行個體) 的網路流量：
+ 使用[安全群組](vpc-security-groups.md)做為控制網路存取 VPC 的主要機制。必要時，請使用 [ 網路 ACL](vpc-network-acls.md) 來提供無狀態、粗糙的網路控制。安全群組比網路 ACL 更多用途，因為它們能夠執行有狀態封包篩選，並建立參考其他安全群組的規則。網路 ACL 可以有效地作為次要控制項 (例如拒絕特定流量子集) 或作為高階子網路防護護欄。此外，因為網路 ACL 會套用至整個子網路，所以執行個體若在沒有正確安全群組的情況下啟動，它們可以用作深度防禦。
+ 如果不應該從網際網路直接存取，則針對您的執行個體使用私有子網。使用堡壘主機或 NAT 閘道，以取得來自私有子網路中執行個體的網際網路存取權限。
+ 設定具有最少網路路由的子網路[路由表](VPC_Route_Tables.md)，以支援連線需求。
+ 請考慮使用其他安全群組或網路界面，來控制和稽核 Amazon EC2 執行個體管理流量，並與一般應用程式流量分開。因此，您可以實作變更控制的特殊 IAM 政策，讓稽核安全群組規則或自動規則驗證指令碼的變更變得更輕鬆。多個網路界面也提供其他控制網路流量的選項，包括能夠建立以主機為基礎的路由政策，或能夠根據網路界面指派的子網路運用不同的 VPC 子網路路由規則。
+ 使用 AWS Virtual Private Network 或 Direct Connect 建立從遠端網路到 VPCs私有連線。如需詳細資訊，請參閱 [Network-to-Amazon VPC 連線選項](https://docs.aws.amazon.com/whitepapers/latest/aws-vpc-connectivity-options/network-to-amazon-vpc-connectivity-options.html)。
+ 使用 [VPC 流程日誌](https://docs.aws.amazon.com/vpc/latest/userguide/flow-logs.html)監控到達您執行個體的流量。
+ 使用 [AWS Security Hub CSPM](https://aws.amazon.com/security-hub/) 檢查來自您執行個體的意外網路存取性。
+ 使用 [AWS Network Firewall](network-firewall.md) 保護 VPC 中的子網路，以免遭受常見網路威脅的侵害。

## 比較安全群組和網路 ACL
<a name="VPC_Security_Comparison"></a>

下表總結了安全群組與網路 ACL 之間的基本差異。


| 特性 | 安全群組 | 網路 ACL | 
| --- | --- | --- | 
| 操作層級 | 執行個體層級 | 子網路層級 | 
| Scope (範圍) | 適用於與安全群組相關聯的所有執行個體 | 適用於關聯子網路中的所有執行個體 | 
| 規則類型 | 僅支援允許規則 | 支援允許與拒絕規則 | 
| 規則評估 | 在決定是否允許流量前，先評估所有規則 | 以遞增順序評估規則，直至找到流量的相符項為止 | 
| 傳回流量 | 自動允許 (具狀態) | 必須明確允許 (無狀態) | 

下表說明安全群組和網路 ACL 提供的安全 layer。例如，網際網路閘道傳出的流量會透過路由表中的路由來路由至適合的子網路。與子網路相關聯的網路 ACL 規則會控制允許哪些流量傳入子網路。與執行個體相關聯的安全群組規則會控制允許哪些流量傳入執行個體。

![\[使用安全群組和網路 ACL 控制流量\]](http://docs.aws.amazon.com/zh_tw/vpc/latest/userguide/images/security-comparison.png)


您只能使用安全群組來保護執行個體。不過，您可以新增網路 ACL 做為額外的防禦層。如需詳細資訊，請參閱[範例：控制對子網路中執行個體的存取](nacl-examples.md)。