amazon-web-services - AWS 安全组与网络 ACL

Question

我的 AWS 控制台中有多个 EC2 实例，我想通过添加防火墙规则/策略来保护它们。我读到 AWS 提供 Network ACLs和 Security Groups达到同样的目的。
从我阅读的内容中，我对两者有了基本的了解。

• Security Groups are EC2 firewalls(1st level defense), tied to the instances, stateful in nature i.e any changes in the incoming rule impacts theoutgoing rule as well. An instance can have multiple SG's.

• Network ACL's are subnet firewalls(2nd level defense), tied to the subnet, stateless in nature. A subnet can have only one NACL.

我的问题是:

当我们有 NACL 时，为什么我们需要 SG？

当我们有 SG 时，为什么我们需要 NACL ？

我们是否应该一起使用 SG 和 NACL 来使我们的 AWS 应用程序更加安全？

何时选择 NACL 而非 SG 或 SG 而非 NACL？

我想知道，鉴于我有多个实例，我是否应该将它们全部添加到 VPC 并创建一个 Network ACL或者我应该分配一个 Security Group给他们每个人。
需要建议和引用以及类似场景应遵循的最佳实践。
非常感谢!

Answer 1

虽然这些可能看起来非常相似，但两者的实现和功能集不同。
首先，安全组是最容易理解和实现的，它们附加在 ENI(弹性网络接口(interface))级别，并在允许通过之前在资源的物理主机上进行评估。
它们具有有限的功能集，但 NACL 上的一个非常棒的功能是您可以通过另一个资源安全组或前缀列表评估源/目标。这使您能够过滤特定资源的流量与 CIDR 范围内的任何内容。安全组也是有状态的，这意味着如果流量可以在一个方向上说话，它将能够在相反的方向返回。
另一方面，NACL 位于子网级别，因此它对同一子网中彼此之间通信的流量没有影响。与安全组不同，尽管它包括显式拒绝(安全组仅支持对未包含的任何内容进行拒绝)和排序规则评估(安全组将查找允许入站访问的规则，NACL 的评估值从最低到最高)。
在实现 NACL 时，重要的是要了解哪些流量将从哪些范围(IPv4 和 IPv6)流出、使用的端口以及入站和出站流量(NACLS 是无状态的)。这些规则在它们被转发到物理主机本身之前或在它们离开物理主机之后根据行进方向进行评估。另外请务必考虑 ephemeral ports .
如果您想提供最锁定的环境，我建议同时使用两者，但在实现 NACLS 之前，请确保您彻底规划通过 NACL 的允许流量。要识别/调试这两个方面的问题，还可以查看 VPC flow logs .