20180920 セキュリティグループとNACL

2018/9/20のSapporo.awsの発表資料です。

Transcript

1. セキュリティグループとNACL 2018/9/20 Thu Masaru Ogura
2. • 小倉 大 (おぐら まさる) Facebook : https://www.facebook.com/masaru.ogura.71 Twitter : @MasaruOgura • 株式会社サーバーワークス • 札幌在住 • 以前はデータセンターネットワーク運用 • AWS歴 2年10か月 自己紹介
3. 今日の内容 • セキュリティグループとNACL • クイズ
4. 今日の内容 • セキュリティグループとNACL • クイズ
5. セキュリティグループとNACL 20180418 AWS Black Belt Online Seminar Amazon VPC https://www.slideshare.net/AmazonWebServicesJapan/20180418-aws-black-belt-online-seminar-amazon-vpc
6. セキュリティグループとNACL AWS ドキュメント » Amazon VPC » ユーザーガイド » セキュリティ https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/VPC_Security.html
7. セキュリティグループの上限 AWS サービス制限 https://docs.aws.amazon.com/ja_jp/general/latest/gr/aws_service_limits.html 日本語サイトだと50
8. セキュリティグループの上限 AWS Service Limits https://docs.aws.amazon.com/general/latest/gr/aws_service_limits.html 英語サイトだと60
9. セキュリティグループの上限 マネジメントコンソールでは60 実際に60ルール設定できる
10. セキュリティグループの上限 セキュリティグループの上限緩和は可能だが、 以下の条件がある (SGルール数) × (ENIあたりのSG) ≦ 300 SG : セキュリティグループ ENI : ネットワークインターフェイス 例) (SGルール数)100 × (ENIあたりのSG) 3 = 300 ≦ 300
11. セキュリティグループの動き セキュリティグループのルールの削除は接続中の 通信は即時ブロックできない。 例えば、pingを対象サーバに実行し続けていると きにセキュリティグループの対象ルールを削除し てもpingは通り続ける。
12. セキュリティグループの動き おそらくステートフルの処理のため。 (明確に記載されているサイト見つけられず) ステートフルで処理するときはセッションテーブ ルを保持して、戻りの通信をチェックするので、 セッションテーブルがクリアされる前に通信がく ると通過してしまうのではと考えています。
13. 今日の内容 • セキュリティグループとNACL • クイズ
14. クイズ Rule # Type Protocol Port Range Source Allow/De ny 100 ALL Traffic ALL ALL 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny 100 ALL Traffic ALL ALL 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source ALL Traffic ALL ALL 0.0.0.0/0 Type Protocol Port Range Destination ALL Traffic ALL ALL 0.0.0.0/0 NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG1 Outbound Rules
15. クイズ1 Rule # Type Protocol Port Range Source Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny 100 ALL Traffic ALL ALL 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source ALL Traffic ALL ALL 0.0.0.0/0 Type Protocol Port Range Destination ALL Traffic ALL ALL 0.0.0.0/0 NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG1 Outbound Rules
16. クイズ1 Rule # Type Protocol Port Range Source Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny 100 ALL Traffic ALL ALL 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source ALL Traffic ALL ALL 0.0.0.0/0 Type Protocol Port Range Destination ALL Traffic ALL ALL 0.0.0.0/0 NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG1 Outbound Rules
17. クイズ2 Rule # Type Protocol Port Range Source Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny 100 ALL Traffic ALL ALL 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source HTTP(80) TCP(6) 80 0.0.0.0/0 Type Protocol Port Range Destination ALL Traffic ALL ALL 0.0.0.0/0 NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG1 Outbound Rules
18. クイズ2 Rule # Type Protocol Port Range Source Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny 100 ALL Traffic ALL ALL 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source HTTP(80) TCP(6) 80 0.0.0.0/0 Type Protocol Port Range Destination ALL Traffic ALL ALL 0.0.0.0/0 NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG1 Outbound Rules
19. クイズ3 Rule # Type Protocol Port Range Source Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny 100 ALL Traffic ALL ALL 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source HTTP(80) TCP(6) 80 0.0.0.0/0 Type Protocol Port Range Destination NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG1 Outbound Rules
20. クイズ3 Rule # Type Protocol Port Range Source Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny 100 ALL Traffic ALL ALL 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source HTTP(80) TCP(6) 80 0.0.0.0/0 Type Protocol Port Range Destination NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG1 Outbound Rules
21. クイズ4 Rule # Type Protocol Port Range Source Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source HTTP(80) TCP(6) 80 0.0.0.0/0 Type Protocol Port Range Destination NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG1 Outbound Rules
22. クイズ4 Rule # Type Protocol Port Range Source Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny 100 HTTP(80) TCP(6) 80 0.0.0.0/0 ALLOW * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source HTTP(80) TCP(6) 80 0.0.0.0/0 Type Protocol Port Range Destination NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG1 Outbound Rules
23. クイズ5 Rule # Type Protocol Port Range Source Allow/De ny * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source HTTP(80) TCP(6) 80 0.0.0.0/0 Type Protocol Port Range Destination ALL Traffic ALL ALL 0.0.0.0/0 NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG2 Outbound Rules
24. クイズ5 Rule # Type Protocol Port Range Source Allow/De ny * ALL Traffic ALL ALL 0.0.0.0/0 DENY Rule # Type Protocol Port Range Destinati on Allow/De ny * ALL Traffic ALL ALL 0.0.0.0/0 DENY Type Protocol Port Range Source HTTP(80) TCP(6) 80 0.0.0.0/0 Type Protocol Port Range Destination ALL Traffic ALL ALL 0.0.0.0/0 NACL Inbound Rules NACL Outbound Rules SG1 Inbound Rules SG2 Outbound Rules
25. ご清聴ありがとうございました。
26. 参考資料 • 20180418 AWS Black Belt Online Seminar Amazon VPC https://www.slideshare.net/AmazonWebServicesJapan/20 180418-aws-black-belt-online-seminar-amazon-vpc • AWS サービス制限 https://docs.aws.amazon.com/ja_jp/general/latest/gr/aw s_service_limits.html • AWS Service Limits https://docs.aws.amazon.com/general/latest/gr/aws_serv ice_limits.html
27. 参考資料 • AWS ドキュメント » Amazon VPC » ユーザーガイド » セキュ リティ https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide /VPC_Security.html