¿Cómo puedo restringir el tráfico hacia y desde los recursos de Amazon VPC?

Resolución

Uso de grupos de seguridad para restringir el tráfico a nivel de instancia de EC2 o interfaz de red

Puedes usar grupos de seguridad para restringir el tráfico en la instancia de Amazon Elastic Compute Cloud (Amazon EC2) o en el nivel de la interfaz de red. Configura las reglas del grupo de seguridad de tu Amazon VPC para permitir solo el tráfico necesario.

Uso de las ACL de la red para restringir el tráfico a nivel de subredes

Crea una lista de control de acceso de la red (ACL de la red) para restringir el tráfico en función del protocolo, las direcciones IP de origen y destino y los puertos de origen y destino.

Nota: Cada regla de una ACL de la red contiene un número de regla. Amazon VPC evalúa las reglas en orden partiendo de la regla con el número más bajo.

Uso de AWS WAF para restringir el tráfico entrante

Puedes usar AWS WAF para restringir el tráfico HTTP y HTTPS entrante de la capa 7. Configura AWS WAF con una instrucción de reglas de coincidencia de conjuntos de direcciones IP para restringir el tráfico HTTP y HTTPS entrante.

Nota: Al configurar una instrucción de reglas de coincidencia de conjuntos de direcciones IP, AWS WAF comprueba la dirección IP de las solicitudes web con las direcciones IP especificadas en la instrucción. La instrucción permite el acceso solo a direcciones IP conocidas y bloquea las direcciones IP maliciosas para mitigar los ataques de denegación de servicio distribuida (DDoS).

Utiliza las reglas administradas de AWS para AWS WAF o reglas personalizadas para proteger tu aplicación. Para obtener más información, consulta How to customize behavior of AWS Managed Rules for AWS WAF (Cómo personalizar el comportamiento de las reglas administradas de AWS para AWS WAF). Para obtener información sobre las ACL de la web, consulta Uso de ACL web.

Uso del firewall de red para restringir el tráfico a los recursos de Amazon VPC

Crea un firewall de red de AWS que restrinja el tráfico innecesario a tus recursos de Amazon VPC.

Utiliza un grupo de reglas de lista de dominios con estado para permitir o bloquear el acceso a dominios específicos. También puedes desplegar Network Firewall en una VPC individual para inspeccionar el tráfico hacia y desde los recursos de AWS. Para obtener más información, consulta Deployment models for AWS Network Firewall (Modelos de despliegue de AWS Network Firewall).

Para obtener información sobre el motor de reglas flexibles de Network Firewall, consulta Hands-on walkthrough of the AWS Network Firewall flexible rules engine (Tutorial práctico del motor de reglas flexibles de AWS Network Firewall).

Uso del firewall DNS de Route 53 para filtrar el tráfico de DNS de los recursos de Amazon VPC

Crea un grupo de reglas del firewall DNS de Route 53 que filtre el tráfico de DNS de tu recurso de Amazon VPC al solucionador. Asegúrate de asociar el grupo de reglas a la Amazon VPC. Para obtener más información, consulta Introducción a Firewall DNS del Solucionador de Route 53.

Uso de las políticas de puntos de enlace de VPC para restringir el acceso a los puntos de enlace de Amazon VPC

Actualiza la política de puntos de enlace de Amazon VPC para definir qué usuarios pueden acceder al servicio asociado a la política a través del punto de enlace de Amazon VPC. Las políticas de punto de enlace también definen las acciones que pueden realizar los usuarios.

Nota: La política de punto de enlace predeterminada concede acceso total al punto de enlace.

Uso de BPA de VPC para restringir el acceso público a Internet a las VPC y subredes

Para impedir el acceso público de Internet a los recursos de la VPC en toda una cuenta de AWS, configura las siguientes características de bloqueo de acceso público (BPA) de la VPC:

• Activa el modo bidireccional para bloquear todo el tráfico hacia y desde las puertas de enlace de Internet y las puertas de enlace de Internet de solo salida en tu región de AWS, excepto las VPC y las subredes que excluyas.
• Activa el modo de solo entrada para bloquear todo el tráfico de Internet a las VPC de Amazon de tu región, excepto las VPC y las subredes que excluyas.
• Crea exclusiones que eximan las VPC o subredes individuales del BPA de VPC.

Para obtener más información, consulta Uso de BPA.

Información relacionada

¿Cómo puedo permitir o bloquear direcciones IP específicas en mi instancia de EC2?

How to get started with Amazon Route 53 Resolver DNS Firewall (Cómo empezar a usar el firewall DNS del Solucionador de Amazon Route 53)

Secure your Amazon VPC DNS resolution with Amazon Route 53 Resolver DNS Firewall (Protección de la resolución de DNS de Amazon VPC con el firewall DNS del Solucionador de Amazon Route 53)