Controle o acesso aos recursos do SLB configurando ACLs e grupos de segurança.
Visão geral
O SLB oferece os seguintes métodos de controle de acesso:
-
ACL
Configure listas de permissões ou listas de bloqueios em listeners do ALB e CLB para permitir ou negar requisições de clientes.
-
Grupo de segurança
Os grupos de segurança atuam como firewalls virtuais com Inspeção de Pacotes com Estado (SPI) e filtragem de pacotes para controlar o tráfego de entrada e saída.
Adicione instâncias do ALB ou NLB a grupos de segurança e configure regras para controlar o tráfego de entrada.
ACL
Configure listas de permissões ou listas de bloqueios para listeners do ALB e CLB:
-
Ative uma lista de permissões: apenas as requisições dos endereços IP ou blocos CIDR especificados na ACL selecionada serão encaminhadas. Essa opção é ideal para cenários em que se deseja permitir acesso exclusivamente de endereços IP específicos.
Listas de permissões envolvem riscos operacionais. Somente os endereços IP incluídos na lista podem acessar o listener do SLB.
Ative uma lista de bloqueios: todas as requisições dos endereços IP ou blocos CIDR definidos na ACL selecionada serão descartadas. Use essa abordagem para restringir o acesso de endereços IP específicos.
Grupo de segurança
Por padrão, as portas dos listeners do ALB e NLB aceitam todas as requisições até que a instância seja adicionada a um grupo de segurança.
Para controlar o tráfego de entrada, adicione a instância do ALB ou NLB a um grupo de segurança e configure as regras conforme necessário.
Os grupos de segurança do ALB ou NLB não restringem o tráfego de saída (respostas às requisições dos usuários). Não configure regras de saída.
-
Ao criar uma instância do ALB ou NLB, o sistema gera automaticamente um managed security group na VPC da instância. Você pode visualizar esse grupo de segurança, mas não pode modificá-lo. O grupo de segurança gerenciado contém as seguintes regras:
-
Regras com prioridade 1: permitem os endereços IP locais da instância do ALB ou NLB para comunicação com servidores de backend e verificações de integridade.
Não adicione regras de negação com prioridade 1 para os endereços IP locais da instância. Tais regras podem interromper a comunicação com os servidores de backend. Verifique os endereços IP locais no console do ALB ou no console do NLB.
Regras com prioridade 100: permitem todos os endereços IP. Na ausência de regras de negação, a instância do ALB ou NLB processa todas as requisições pelos listeners.
As default access control rules de grupos de segurança básicos e avançados incluem uma regra invisível de negação total. A regra padrão de permissão no grupo de segurança gerenciado tem precedência para a instância do ALB ou NLB.
-
Para mais informações sobre configurações de grupos de segurança do ALB, consulte:
Para mais informações sobre configurações de grupos de segurança do NLB, consulte: