Security Group กำหนดว่าบริการไหนเข้าบริการไหนได้ภายใน VPC ส่วน Firewall เพิ่มจุดควบคุมกลางที่มีกฎอนุญาตและปิดเรียงลำดับ สำหรับทราฟฟิกที่ข้าม Hub หรือออกอินเทอร์เน็ต Firewall อยู่ได้เฉพาะใน Network Hub จึงต้องสร้าง Hub ก่อน (ดู Network Hub)
เลือกทราฟฟิกที่ผ่าน Firewall
| ทราฟฟิกที่ผ่าน Firewall | ผลที่ได้ |
|---|---|
| ระหว่าง spoke | ทุกการเชื่อมต่อระหว่าง VPC และ VPN ใน Hub ผ่าน Firewall รวมถึงข้าม Region ด้วย ใน Hub แบบ Star ปลายทางจะถึงกันได้ แต่ต้องผ่าน Firewall เสมอ |
| ออก Internet | VPC ของบัญชีเจ้าของ Hub ออกอินเทอร์เน็ตผ่าน Firewall แทน NAT Gateway ด้วย Public IP คงที่ของ Firewall ส่วน VPC ของบัญชีอื่นยังออกทางเดิมของตัวเอง |
ใส่ Firewall ให้ Hub
- ในหน้าของ Hub ส่วน Secured Hub กด ใส่ Firewall ให้ Hub (เฉพาะผู้จัดการ Hub)
- ชื่อและทราฟฟิกที่ผ่าน: ตั้งชื่อ แล้วเลือก ระหว่าง spoke ออก Internet หรือทั้งสองอย่าง
- ระดับและขนาด: Basic สำหรับระบบเล็ก (ขนาดเดียว 1–2 instance) หรือ Standard เลือกขนาดได้และมีได้ถึง 4 instance ที่รับทราฟฟิกพร้อมกัน มีมากกว่า 1 instance ต่อ Region จะได้ High availability
- นโยบาย: สร้างนโยบายใหม่จากแม่แบบ (อนุญาตออกเว็บและ DNS, ปิดขาออกทั้งหมด หรือเปิดเว็บเซิร์ฟเวอร์สู่อินเทอร์เน็ต) หรือ ใช้นโยบายที่มีอยู่
- กด สร้าง Firewall
ถ้า VPC มี NAT Gateway อยู่แล้ว Firewall จะรับทราฟฟิกออกอินเทอร์เน็ตแทนเมื่อพร้อม เลือกเก็บ Static IP ของ NAT Gateway ไว้ได้ คู่ค้าที่ whitelist IP นั้นจะใช้งานต่อได้ ถ้าไม่เก็บ ให้ส่ง Public IP ของ Firewall ให้คู่ค้าแทน
Firewall Policy: กฎ
กฎอยู่ในนโยบายที่แยกจาก Firewall นโยบายเดียวจึงใช้กับหลาย Firewall ได้ เปิดเมนู Firewall Policy:
- นโยบาย: นโยบายหนึ่งมีกลุ่มกฎ แต่ละกลุ่มมี collection ของกฎ ตัวเลข Priority น้อย (100–65000) ถูกตรวจก่อน กด บันทึกนโยบาย แล้วการเชื่อมต่อใหม่ใช้กฎใหม่ทันที
- กฎ Network อนุญาตหรือปิดตามต้นทาง ปลายทาง โปรโตคอล และพอร์ต กฎ DNAT ส่งการเชื่อมต่อที่เข้ามาที่ Public IP ของ Firewall ไปยังเซิร์ฟเวอร์ภายใน VPC
- กฎ DNAT ถูกตรวจก่อน แล้วจึงเป็นกฎ Network ตาม Priority การเชื่อมต่อที่ไม่ตรงกฎใดเลยจะถูกปิด นโยบายที่ไม่มีกฎจึงปิดทุกอย่าง
- กฎของ นโยบายแม่ มาก่อนเสมอและแก้จากนโยบายลูกไม่ได้ เหมาะกับกฎพื้นฐานที่ทีมกลางกำหนดให้ทุก Hub
- IP Groups: รายการช่วง IP ที่ตั้งชื่อไว้ เช่น IP ของออฟฟิศหรือคู่ค้า ใช้ในกฎได้ แก้ที่เดียว ทุกกฎที่อ้างถึงเปลี่ยนตาม
- แต่ละกฎแสดงจำนวนการเชื่อมต่อที่ตรงกฎ จึงเห็นว่ากฎไหนถูกใช้งานจริง
Firewall คิดค่าบริการต่อ instance-ชั่วโมงตามขนาด รวมค่าซอฟต์แวร์ Firewall บวกกับปริมาณข้อมูลที่ประมวลผล หน้าสร้างแสดงราคาประมาณให้ดู Firewall เป็นของ Project เจ้าของ Hub และคิดเงินกับ Project นั้น ส่วนข้อมูลขาออกอินเทอร์เน็ตคิดตามปกติ (ดูหน้าราคา)
ถ้าลบ Firewall spoke จะกลับไปถึงกันตาม Topology ของ Hub และ VPC ที่เคยออกอินเทอร์เน็ตผ่าน Firewall จะออกอินเทอร์เน็ตไม่ได้จนกว่าจะสร้าง NAT Gateway หรือ Firewall ใหม่ Public IP ของ Firewall ถูกคืน ส่วนนโยบายยังอยู่
ถ้าเจอปัญหา
ใส่ Firewall แล้ว บริการออกอินเทอร์เน็ตไม่ได้
ยังไม่มีกฎในนโยบายที่อนุญาต เพิ่มกฎ Network ที่อนุญาตช่วง IP ของบริการไปยังปลายทางและพอร์ตที่ต้องใช้ เช่น TCP 443 ไป Internet หรือเริ่มจากแม่แบบ “อนุญาตออกเว็บ (HTTP/HTTPS) และ DNS”
คู่ค้าบอกว่า IP ของเราเปลี่ยน
เมื่อเลือก ออก Internet ทราฟฟิกออกจาก Public IP ของ Firewall ส่ง IP ทุกตัวใน Public IP ของหน้า Firewall ให้คู่ค้า
VPC ปลายทาง 2 ตัวยังคุยกันไม่ได้
ปลายทางถึงกันได้เฉพาะเมื่อ Firewall ดูแลทราฟฟิก ระหว่าง spoke และมีกฎ Network อนุญาตการเชื่อมต่อนั้น Security Group ของฝั่งรับต้องอนุญาตด้วย