如何同时配置 Network Firewall 标准规则组和域列表规则组规则?
我想要配置 AWS Network Firewall 标准规则组规则和域列表规则组规则,以便协同工作来按预期控制流量。
简短描述
您可以配置标准规则组规则来丢弃已建立的 TCP 流量。然后,您可以配置域列表规则组规则,以允许 TCP (TLS) 流从域列表规则组发送到允许的域。您可以通过使用“flow”关键字配置域列表规则组和标准规则组规则来实现这一点。
**注意:**Amazon Virtual Private Cloud (Amazon VPC) 控制台仅显示先前配置的规则选项。它不允许您添加规则选项。有关详细信息,请参阅 AWS Network Firewall 中的标准状态规则组。
您可以使用 AWS CloudFormation 或 API 来为您的标准规则组规则指定规则选项。本文中的示例使用 AWS 命令行界面 (AWS CLI):
**注意:**如果您在运行 AWS CLI 命令时收到错误,请确保您使用的是最新版本的 AWS CLI。
解决方法
先决条件
在配置 Network Firewall 规则之前,请查看以下信息:
- 本文介绍了一种配置标准规则组规则的方法,该方法允许输入规则选项。在此示例中,向标准规则组规则添加规则选项可以使其与域列表规则组一起使用。这使您能更好地控制流量。
- 本文使用分布式部署模型之一。此模型保护具有客户端 Amazon Elastic Compute Cloud (Amazon EC2) 实例的工作负载公有子网与互联网网关之间的流量。防火墙策略规则顺序设置为默认操作顺序。
- Amazon EC2 实例能够在 VPC 安全组和网络 ACL 中通过 TCP 端口 443 发送流量。
- 本文中使用的防火墙规则是供参考的示例。您必须确保为防火墙配置的规则适合您的特定需求并按预期运行。
**注意:**本文的代码示例使用了省略号 (...) 来缩短输出。
不含 flow 关键字的域列表规则组和标准规则组的通用配置
在配置域列表规则组和标准规则组时,您的配置可能与本示例中详述的配置类似。如果创建域列表规则组和标准规则组,则您必须使用 flow 关键字。如果不使用 flow 关键字,则您可能会遇到诸如本示例中详述的问题。
本示例使用了 Amazon VPC 控制台来创建域列表规则组。该规则允许 HTTPS 流量发往 example.com。
Domain name source: example.com Source IPs type: Default Protocol: HTTPs Action: Allow
注意:操作设为允许的域列表规则组会生成另一个规则。该规则设置为拒绝与域规范不符的指定协议类型的流量。有关详细信息,请参阅域筛选。
使用 Amazon VPC 控制台创建标准规则组规则的通用配置时,会生成与下表类似的输出:
协议 | 源 | 目标 | 源端口 | 目标端口 | 方向 | 操作 |
---|---|---|---|---|---|---|
TCP | 任意 | 任意 | 任意 | 任意 | 转发 | 丢弃 |
在向允许的域发送请求来测试规则配置时,流量会被阻止,您会收到“连接超时”错误:
$ curl -kv -so /dev/null https://example.com * Trying 93.184.216.34:443... * connect to 93.184.216.34 port 443 failed: Connection timed out * Failed to connect to example.com port 443 after 129180 ms: Connection timed out * Closing connection 0
该配置导致所有 TCP 流量被丢弃,并导致连接超时。这包括阻止基于 TCP 的流量发往允许的域 example.com。
允许 example.com 通过 HTTPS 传输的域列表规则组规则失败,因为 TCP 协议是第一个出现在初始流中的协议。流从较低层的 TCP 握手开始,然后评估拒绝规则。但是,仍然没有 TLS 协议可以匹配,因此丢弃规则匹配。这导致发往 example.com 的所有流量被丢弃。
**注意:**您可以为防火墙的状态引擎配置日志记录级别,从而访问有关筛选流量的详细信息。有关详细信息,请参阅记录来自 AWS Network Firewall 的网络流量。
带有 flow 关键字的域列表规则组和标准规则组规则
您可以使用 Network Firewall describe-rule-group 和 update-rule-group 命令来更新标准规则组规则,使其包含额外的 flow 关键字。
1. 对原始状态规则组对象运行 describe-rule-group 命令。您需要 UpdateToken 值才能运行 update-rule-group 命令。
**注意:**以下命令的部分输出用作 JSON 模板,供日后进行其他调整。
$ aws network-firewall describe-rule-group --rule-group-arn "arn:aws:network-firewall:us-east-1:XXXXXXXX0575:stateful-rulegroup/stateful-rg-5-tuple" --output json { "UpdateToken": "40b87af5-a20c-4f8c-8afd-6777c81add3c", (...) "RulesSource": { "StatefulRules": [{ "Action": "DROP", "Header": { "Protocol": "TCP", "Source": "Any", "SourcePort": "Any", "Direction": "FORWARD", "Destination": "Any", "DestinationPort": "Any" }, "RuleOptions": [{ "Keyword": "sid", "Settings": [ "5" ] }] }] } (...) }
2. 使用修改后的规则配置创建 JSON 规则文件。运行与以下内容类似的命令来验证 JSON 规则文件内容:
$ cat tcp-drop-rule-updated.json { "RulesSource": { "StatefulRules": [ { "Action": "DROP", "Header": { "Direction": "FORWARD", "Protocol": "TCP", "Destination": "Any", "Source": "Any", "DestinationPort": "Any", "SourcePort": "Any" }, "RuleOptions": [ { "Keyword": "sid", "Settings": [ "5" ] }, { "Keyword": "flow", "Settings": [ "established, to_server" ] } ] } ] } }
在此示例中,flow 关键字允许在向 example.com 发送请求时,在评估 TCP 丢弃规则之前完成 TCP 握手。此后,规则默认操作顺序优先。域列表对于 example.com 匹配项允许 HTTPS 规则,从而允许其余流量通过该流。任何发往不允许的域的流量以及任何其他已建立的 TCP 流量都将被阻止。
3. 使用 UpdateToken 值和 JSON 规则文件运行 update-rule-group 命令来更新标准规则组:
$ aws network-firewall update-rule-group --rule-group-arn "arn:aws:network-firewall:us-east-1:XXXXXXXX0575:stateful-rulegroup/stateful-rg-5-tuple" --update-token 40b87af5-a20c-4f8c-8afd-6777c81add3c --rule-group file://tcp-drop-rule-updated.json --output json
结果应类似于以下输出:
{ "UpdateToken": "bf8fe6d4-f13e-406c-90c1-9e3bad2118a7", "RuleGroupResponse": {(...)}, "LastModifiedTime": "2023-02-07T14:12:14.993000+11:00" } }
4. 运行 describe-rule-group 命令来验证对有状态规则组所做的更改:
$ aws network-firewall describe-rule-group --rule-group-arn "arn:aws:network-firewall:us-east-1:XXXXXXXX0575:stateful-rulegroup/stateful-rg-5-tuple" --output json
输出应类似于以下消息:
{(...) "RulesSource": { "StatefulRules": [ { "Action": "DROP", "Header": { "Protocol": "TCP", "Source": "Any", (...) }, "RuleOptions": [ { "Keyword": "sid", "Settings": [ "5" ] }, { "Keyword": "flow", "Settings": [ "established, to_server" ] (...) } }, "RuleGroupResponse": {(...) }, "LastModifiedTime": "2023-02-07T14:12:14.993000+11:00" } }
**注意:在前面的示例中,“established, to_server”**反映了 update-rule-group 命令的更改。
5. 验证域列表规则组和标准规则组是否都能正确筛选流量:
$ curl -kv -so /dev/null https://example.com * Trying 93.184.216.34 :443... * Connected to example.com ( 93.184.216.34 ) port 443 (#0) (...) > GET / HTTP/1.1 > Host: example.com (...) < HTTP/1.1 200 OK (...)
在前面的示例中,输出显示,HTTPS 流量按照配置成功传输到允许的域 example.com。
在下一个示例中,发往不允许的域的 HTTPS 流量如预期一样被阻止:
$ curl -m 5 -kv -so /dev/null https://www.amazon.com * Trying 93.184.216.34 :443... * Connected to www.amazon.com ( 93.184.216.34 ) port 443 (#0) (...) * TLSv1.2 (OUT), TLS handshake, Client hello (1): (...) * Operation timed out after 5000 milliseconds with 0 out of 0 bytes received * Closing connection 0
其他类型的 TCP 流量也会根据配置被阻止:
$ aws s3 ls --cli-read-timeout 30 --debug (...) Read timeout on endpoint URL: "https://s3.amazonaws.com/"
相关信息
相关内容
- AWS 官方已更新 2 年前
- AWS 官方已更新 2 年前
- AWS 官方已更新 2 年前
- AWS 官方已更新 6 个月前