DEV Community
·
使用AWS WAF和AWS Shield保护Nginx Ingress
💡
原文英文，约600词，阅读约需3分钟。
📝
内容提要
在AWS EKS上运行的应用程序应启用AWS WAF和AWS Shield以防止网络攻击。AWS WAF防止SQL注入和跨站脚本攻击，AWS Shield主要防护DDoS攻击。由于Nginx Ingress Controller与AWS WAF不兼容，建议使用AWS CloudFront结合AWS WAF，并配置自定义头以确保流量安全。同时，建议创建自定义WAF ACL以阻止可疑IP。
🎯
关键要点
- 在AWS EKS上运行的应用程序应启用AWS WAF和AWS Shield以防止网络攻击。
- AWS WAF可以防止SQL注入和跨站脚本攻击，AWS Shield主要防护DDoS攻击。
- Nginx Ingress Controller与AWS WAF不兼容，建议使用AWS CloudFront结合AWS WAF。
- 需要配置自定义头以确保流量安全，建议创建自定义WAF ACL以阻止可疑IP。
- AWS Shield有标准和高级两种订阅模型，高级版提供扩展的DDoS攻击保护，但需额外收费。
- AWS CloudFront可以利用内置的AWS Shield基本保护，并启用AWS WAF规则进行过滤。
- 需要确保NGINX Ingress Controller仅处理通过CloudFront路由的流量。
- 可以通过配置CloudFront添加自定义头，并更新NGINX Ingress配置来验证该自定义头。
- 建议创建自定义WAF ACL以快速阻止可疑IP地址，增强安全性。
❓
延伸问答
AWS WAF和AWS Shield的主要功能是什么？
AWS WAF可以防止SQL注入和跨站脚本攻击，AWS Shield主要防护DDoS攻击。
为什么Nginx Ingress Controller与AWS WAF不兼容？
Nginx Ingress Controller创建的网络负载均衡器与AWS WAF不兼容，因为AWS WAF仅适用于特定资源，如CloudFront和应用负载均衡器。
如何通过AWS CloudFront使用AWS WAF？
可以通过AWS CloudFront启用AWS WAF规则进行过滤，并确保NGINX Ingress Controller仅处理通过CloudFront路由的流量。
AWS Shield的订阅模型有哪些？
AWS Shield有标准和高级两种订阅模型，高级版提供扩展的DDoS攻击保护，但需额外收费。
如何增强Nginx Ingress的安全性？
建议创建自定义WAF ACL以快速阻止可疑IP地址，并配置CloudFront添加自定义头以验证流量安全。
AWS Shield高级版的费用是多少？
AWS Shield高级版的费用大约为每月3000美元，年订阅需支付约36000美元。
➡️
