Wie richte ich eine AWS Network Firewall mit einem NAT-Gateway ein?

Kurzbeschreibung

Die AWS Network Firewall bietet eine detaillierte Kontrolle über den Datenverkehr zu und von den Ressourcen in deiner Amazon Virtual Private Cloud (Amazon VPC). Um deine Amazon VPC-Ressourcen zu schützen, stelle deine Network Firewall-Endpunkte in dedizierten Subnetzen bereit und leite den Workload-Instance-Verkehr durch sie. Führe die folgenden Schritte aus:

• Erstelle eine VPC
• Erstelle eine Firewall
• Konfiguriere das Routing des Datenverkehrs

Lösung

Erstelle eine VPC

1. Öffne die Amazon-VPC-Konsole.
2. Wähle auf dem VPC-Dashboard VPC erstellen aus.
3. Konfiguriere unter VPC-Einstellungen die folgenden Optionen:
   Wähle für Zu erstellende Ressourcen die Option VPC und mehr.
   Gib unter Automatische Generierung des Namens-Tags einen Namen für die VPC ein. In diesem Beispiel heißt die VPC Protected_VPC_10.0.0.0_16-vpc. Wenn die Option Automatisch generieren ausgewählt ist, wird der Name als Namens-Tag zu allen Ressourcen in der VPC hinzugefügt.
   Gib für IPv4 CIDR-Block [IP_ADDRESS] ein.
   Wähle unter IPv6 CIDR-Block die Option No IPv6 CIDR block (Kein IPv6 CIDR-Block) aus.
   Wähle für Tenancy die Option Default (Standard) aus.
   Wähle für Anzahl der Availability Zones (AZs) 2 aus.
   Wähle unter AZs anpassen zwei Availability Zones aus. In diesem Beispiel wurden us-east-2a und us-east-2b ausgewählt.
   Wähle für Anzahl der öffentlichen Subnetze 2 aus.
   Wähle für Anzahl der privaten Subnetze 4 aus. Zwei der privaten Subnetze sind für die Firewall-Endpunkte und zwei für die Workload-Subnetze bestimmt.
   Wähle für NAT-Gateways ($) 1 per AZ (1 pro AZ). Die NAT-Gateways werden automatisch in den öffentlichen Subnetzen bereitgestellt.
   Wähle für VPC-Endpunkte Keine.
4. Wähle VPC erstellen aus.
5. Benenne die Subnetze entsprechend ihrem Zweck.

Hinweis: Die Netzwerk-Firewall kann keine Workloads in demselben Subnetz überprüfen, in dem die Firewall-Endpunkte bereitgestellt werden.

In diesem Beispiel:

• Die beiden öffentlichen Subnetze sind für die NAT-Gateways bestimmt und heißen Public_Subnet_AZa und Public_Subnet_AZb.
• Zwei der privaten Subnetze sind für die Firewall-Endpunkte vorgesehen und heißen Firewall_Subnet_AZa und Firewall_Subnet_AZb.
• Die anderen beiden privaten Subnetze sind für die Workload-Instances vorgesehen und heißen Private_Subnet_AZa und Private_Subnet_AZb.

Erstelle eine Firewall

1. Wähle im Navigationsbereich unter Netzwerk-Firewall die Option Firewalls aus.
2. Wähle Firewall erstellen.
3. Konfiguriere unter Firewall erstellen die folgenden Optionen:
   Gib unter Name einen Namen für die Firewall ein. In diesem Beispiel heißt die Firewall Network-Firewall-Test.
   Wähle für VPC Protected_VPC_10.0.0.0_16-vpc.
   Wähle für Firewall-Subnetze die erste Availability Zone (us-east-2a), wähle Firewall_Subnet_AZa für das Subnetz und IPv4 für den IP-Adresstyp. Wähle dann Neues Subnetz hinzufügen und wiederhole den Vorgang für die zweite Availability Zone (us-east-2b), wobei du Firewall_Subnet_AZb für das Subnetz und IPv4 für den IP-Adresstyp auswählst. Wähle Weiter aus.
4. Behalte unter Configure advanced settings - optional (Erweiterte Einstellungen konfigurieren - optional) die Standardeinstellungen bei. Wähle Weiter aus.
5. Wähle unter Zugehörige Firewall-Richtlinie die Option Erstellen und Verknüpfen einer leeren Firewall-Richtlinie. Gib unter Name der neuen Firewall-Richtlinie einen Namen für die neue Richtlinie ein. Wähle Weiter aus.
6. Füge Tags hinzu (optional).
7. Wähle Weiter, überprüfe die Konfiguration und wähle Firewall erstellen.

Hinweis: Jedes Subnetz muss über eine eindeutige Routing-Tabelle verfügen. Den vier privaten Subnetzen ist jeweils eine eindeutige Routing-Tabelle zugeordnet, und die öffentlichen Subnetze nutzen eine Routing-Tabelle gemeinsam. Erstelle eine neue Routing-Tabelle mit einer statischen Route zu einem Internet-Gateway und ordne sie einem der öffentlichen Subnetze zu.

Konfiguriere das Routing des Datenverkehrs

Ausgehender Datenverkehr fließt in der folgenden Reihenfolge:

1. Datenverkehr von einer Workload-Instance in AZa wird an den Firewall-Endpunkt in AZa weitergeleitet.
2. Der Firewall-Endpunkt in AZa leitet den Datenverkehr an das NAT-Gateway in AZa weiter.
3. Das NAT-Gateway in AZa leitet den Datenverkehr an das an die VPC angeschlossene Internet-Gateway weiter.
4. Das Internet-Gateway leitet den Datenverkehr an das Internet weiter.

Der Rückverkehr folgt dem gleichen Weg in umgekehrter Reihenfolge:

1. Der Rückverkehr aus dem Internet erreicht das an die VPC angeschlossene Internet-Gateway. An eine VPC kann nur ein Internet-Gateway angeschlossen sein.
2. Das Internet-Gateway leitet den Traffic an das NAT-Gateway in AZa weiter. Das Internet-Gateway trifft diese Entscheidung auf der Grundlage der Workload Availability Zone. Da das Ziel des Datenverkehrs in AZa liegt, wählt das Internet-Gateway das NAT-Gateway in AZa aus. Für das Internet-Gateway ist keine separate Routing-Tabelle erforderlich.
3. Das NAT-Gateway-Subnetz in AZa leitet den Datenverkehr an den Firewall-Endpunkt in AZa weiter, um symmetrisches Routing aufrechtzuerhalten.
4. Der Firewall-Endpunkt in AZa leitet den Datenverkehr an den Workload in AZa weiter.

Hinweis: Der Datenverkehr bleibt innerhalb derselben Availability Zone, sodass sowohl ausgehender als auch eingehender Datenverkehr durch den Firewall-Endpunkt geleitet wird. Auf diese Weise können die Firewall-Endpunkte in jeder Availability Zone die Pakete zustandsabhängig überprüfen.

Nachdem du die VPC und die Firewall erstellt hast, konfiguriere die Routing-Tabellen. Beachte Folgendes:

• Private_Subnet_AZa leitet den gesamten an das Internet gebundenen Datenverkehr an den Firewall-Endpunkt in AZa (Firewall_Subnet_AZa) weiter. Wiederhole dies für Private_Subnet_AZb und den Firewall-Endpunkt in AZb.
• Firewall_Subnet_AZa leitet den gesamten für das Internet bestimmten Datenverkehr an das NAT-Gateway in AZa (Public_Subnet_AZa) weiter. Wiederhole dies für Firewall_Subnet_AZb und das NAT-Gateway in AZb.
• Public_Subnet_AZa leitet den gesamten für das Internet bestimmten Datenverkehr an das Internet-Gateway weiter, das mit der VPC verbunden ist.
• Der Rückverkehr folgt dem gleichen Weg in umgekehrter Reihenfolge.

Im Folgenden findest du Beispiele für Routing-Tabellen-Konfigurationen:

Public_Subnet_RouteTable_AZa (Subnetzzuordnung: Public_Subnet_AZa)

Zielort	Ziel
0.0.0.0/0	Internet-Gateway
[IP_ADDRESS]	Lokal
10.0.128.0/20	Firewall-Endpunkt in AZa

Hinweis: In diesem Beispiel ist 10.0.128.0/20 das CIDR von Private_Subnet_AZa.

Public_Subnet_RouteTable_AZb (Subnetzzuordnung: Public_Subnet_AZb)

Zielort	Ziel
0.0.0.0/0	Internet-Gateway
[IP_ADDRESS]	Lokal
10.0.16.0/20	Firewall-Endpunkt in AZb

Hinweis: In diesem Beispiel ist 10.0.16.0/20 das CIDR von Private_Subnet_AZb.

Firewall_Subnet_RouteTable_AZa (Subnet association: Firewall_Subnet_AZa)

Zielort	Ziel
0.0.0.0/0	NAT gateway in Public_Subnet_AZa
[IP_ADDRESS]	Lokal

Firewall_Subnet_RouteTable_AZb (Subnetzzuordnung: Firewall_Subnet_AZb)

Zielort	Ziel
0.0.0.0/0	NAT-Gateway in Public_Subnet_AZb
[IP_ADDRESS]	Lokal

Private_Subnet_RouteTable_AZa (Subnetzzuordnung: Private_Subnet_AZa)

Zielort	Ziel
0.0.0.0/0	Firewall-Endpunkt in AZa
[IP_ADDRESS]	Lokal

Private_Subnet_RouteTable_AZb (Subnetzzuordnung: Private_Subnet_AZb)

Zielort	Ziel
0.0.0.0/0	Firewall-Endpunkt in AZb
[IP_ADDRESS]	Lokal

Um zu überprüfen, ob dein Routing richtig konfiguriert ist, stelle eine Amazon Elastic Compute Cloud (Amazon EC2)-Instance in einem deiner privaten Subnetze bereit, um die Internetkonnektivität zu testen. Ohne Regeln, die in der Firewall-Richtlinie konfiguriert sind, wird der Datenverkehr nicht überprüft und kann das Internet erreichen. Nachdem du bestätigt hast, dass deine Routing-, Sicherheitsgruppen- und Netzwerk-Zugriffssteuerungslisten (Netzwerk-ACLs) richtig konfiguriert sind, füge deiner Firewall-Richtlinie Regeln hinzu.

Hinweis: Du kannst die Netzwerk-Firewall auch so einrichten, dass der Datenverkehr aus dem Internet durch die Firewall und dann über das NAT-Gateway geleitet wird. Weitere Informationen findest du unter Architecture with an internet gateway and a NAT gateway using AWS Network Firewall (Architektur mit einem Internet-Gateway und einem NAT-Gateway mit AWS Network Firewall).

Weitere Informationen

Route table concepts (Konzepte für Routing-Tabellen)

Deployment models for AWS Network Firewall (Bereitstellungsmodelle für die AWS Network Firewall)

VPC route table configuration for AWS Network Firewall (VPC-Routing-Tabellen-Konfiguration für AWS Network Firewall)

Avoiding asymmetric routing with AWS Network Firewall (Asymmetrisches Routing mit AWS Network Firewall vermeiden)