InfoQ
·
AWS推出网络防火墙代理预览版，以简化托管出站安全
内容提要
AWS最近推出了AWS网络防火墙代理的预览版，这是一个托管服务，旨在帮助客户管理和部署VPC的出站访问安全策略。该代理与NAT网关集成，支持HTTP/HTTPS流量，用户可以配置流量规则。目前该服务在东俄亥俄AWS区域提供预览，用户可免费试用。
关键要点
-
AWS推出了AWS网络防火墙代理的预览版，旨在帮助客户管理和部署VPC的出站访问安全策略。
-
该代理与NAT网关集成，支持HTTP/HTTPS流量，用户可以配置流量规则。
-
服务在东俄亥俄AWS区域提供预览，用户可免费试用。
-
代理通过处理HTTP CONNECT请求来检查网络流量，采用三阶段模型评估流量：PreDNS、PreRequest和PostResponse。
-
用户可以配置代理拦截TLS或允许TLS直接通过，拦截时生成证书以检查HTTP层内容。
-
服务支持分布式和集中式架构，集中式设置可通过Transit Gateway或Cloud WAN路由多个VPC的出站流量。
-
该代理仅适用于HTTP/HTTPS流量，属于专用工具而非通用网络防火墙。
-
网络防火墙代理可保护来自本地VPC、远程VPC或本地源的流量，流量必须通过代理端点到达。
-
目前服务处于公共预览阶段，用户可以配置特定位置的流量规则进行白名单/黑名单管理。
延伸解读
服务架构与流量管理
AWS网络防火墙代理支持分布式和集中式架构，用户可以根据需求选择合适的设置。集中式架构通过Transit Gateway或Cloud WAN路由多个VPC的出站流量，简化了管理和扩展的复杂性。这种灵活性使得企业能够更高效地管理网络安全策略，尤其是在多VPC环境中。
TLS拦截的安全考量
在配置网络防火墙代理时，用户需谨慎选择TLS拦截功能。启用拦截时，代理会生成证书以检查HTTP层内容，但这要求工作负载信任代理的证书颁发机构。若不启用拦截，则无法解密负载，限制了策略的执行范围，用户需根据安全需求做出权衡。
适用场景与限制
AWS网络防火墙代理专门针对HTTP/HTTPS流量，适合需要精细化流量控制的场景。然而，它并非通用网络防火墙，无法处理其他类型的流量。这一限制意味着用户在选择防火墙解决方案时，需考虑其网络环境的具体需求，确保代理能够满足安全策略的实施。
延伸问答
AWS网络防火墙代理的主要功能是什么？
AWS网络防火墙代理旨在帮助客户管理和部署VPC的出站访问安全策略。
该代理如何处理HTTP/HTTPS流量？
代理通过处理HTTP CONNECT请求来检查流量，并采用三阶段模型评估流量：PreDNS、PreRequest和PostResponse。
AWS网络防火墙代理的使用限制是什么？
该代理仅适用于HTTP/HTTPS流量，属于专用工具而非通用网络防火墙。
用户如何配置流量规则？
用户可以配置特定位置的流量规则进行白名单/黑名单管理，流量必须通过代理端点到达。
AWS网络防火墙代理的当前状态是什么？
该服务目前在东俄亥俄AWS区域提供预览，用户可以免费试用。
代理如何处理TLS流量？
用户可以配置代理拦截TLS或允许TLS直接通过，拦截时生成证书以检查HTTP层内容。
