亚马逊AWS官方博客
·
Network Firewall 部署小指南（三）安装指南
内容提要
本文讲述如何在 AWS VPC 中部署网络防火墙，以控制出站流量。通过有状态规则组和域名白名单，防火墙仅允许访问特定域名，并记录流量日志。架构包括应用私有子网、防火墙子网和 NAT 网关子网。配置后，防火墙能有效阻止未授权访问，并记录详细日志。测试验证配置成功实现了安全策略。
关键要点
-
Network Firewall（NFW）为VPC和子网提供全面的网络流量检查与防护功能。
-
NFW的架构包括应用私有子网、防火墙子网和NAT网关子网。
-
通过有状态规则组和域名白名单，防火墙仅允许访问特定域名，并记录流量日志。
-
创建有状态规则组的方法包括基于Suricata规则和域名列表。
-
在创建NFW策略时，建议使用有状态引擎处理数据包，并设置默认规则为Drop established。
-
NFW的创建需要选择VPC和子网，并关联之前创建的防火墙策略。
-
修改VPC路由表以确保流量通过NFW进行检查。
-
通过curl命令验证防火墙策略配置的正确性。
-
在CloudWatch中查看访问日志以监控流量。
-
成功实现了仅允许特定域名访问，阻止其他请求，并记录流量日志。
延伸问答
如何在 AWS VPC 中部署网络防火墙？
在 AWS VPC 中部署网络防火墙需要创建有状态规则组、配置防火墙策略、创建防火墙并修改 VPC 路由表。
网络防火墙的架构包含哪些子网？
网络防火墙的架构包括应用私有子网、防火墙子网和 NAT 网关子网。
如何创建有状态规则组？
可以通过选择 Suricata 规则或域名列表来创建有状态规则组，并设置规则的优先级和容量。
如何验证网络防火墙的配置是否成功？
可以使用 curl 命令测试允许的域名，检查返回的 HTTP 状态码来验证配置是否成功。
网络防火墙如何记录流量日志？
网络防火墙通过配置 alert logs 和 flow logs 来记录匹配到的流量日志，建议仅启用 alert logs 以减少数据量。
在创建 NFW 策略时需要注意什么？
在创建 NFW 策略时，建议使用有状态引擎处理数据包，并设置默认规则为 Drop established。
