Security Group ກຳນົດວ່າບໍລິການໃດເຂົ້າບໍລິການໃດໄດ້ພາຍໃນ VPC ສ່ວນ Firewall ເພີ່ມຈຸດຄວບຄຸມກາງທີ່ມີກົດອະນຸຍາດ ແລະ ປິດລຽງລຳດັບ ສຳລັບທຣາຟຟິກທີ່ຂ້າມ Hub ຫຼື ອອກອິນເຕີເນັດ Firewall ຢູ່ໄດ້ສະເພາະໃນ Network Hub ຈຶ່ງຕ້ອງສ້າງ Hub ກ່ອນ (ເບິ່ງ Network Hub)
ເລືອກທຣາຟຟິກທີ່ຜ່ານ Firewall
| ທຣາຟຟິກທີ່ຜ່ານ Firewall | ຜົນທີ່ໄດ້ |
|---|---|
| ລະຫວ່າງ spoke | ທຸກການເຊື່ອມຕໍ່ລະຫວ່າງ VPC ແລະ VPN ໃນ Hub ຜ່ານ Firewall ລວມທັງຂ້າມ Region ນຳ ໃນ Hub ແບບ Star ປາຍທາງຈະເຖິງກັນໄດ້ ແຕ່ຕ້ອງຜ່ານ Firewall ສະເໝີ |
| ອອກ Internet | VPC ຂອງບັນຊີເຈົ້າຂອງ Hub ອອກອິນເຕີເນັດຜ່ານ Firewall ແທນ NAT Gateway ດ້ວຍ Public IP ຄົງທີ່ຂອງ Firewall ສ່ວນ VPC ຂອງບັນຊີອື່ນຍັງອອກທາງເດີມຂອງຕົນເອງ |
ໃສ່ Firewall ໃຫ້ Hub
- ໃນໜ້າຂອງ Hub ສ່ວນ Secured Hub ກົດ ໃສ່ Firewall ໃຫ້ Hub (ສະເພາະຜູ້ຈັດການ Hub)
- ຊື່ ແລະ ທຣາຟຟິກທີ່ຜ່ານ: ຕັ້ງຊື່ ແລ້ວເລືອກ ລະຫວ່າງ spoke ອອກ Internet ຫຼື ທັງສອງຢ່າງ
- ລະດັບ ແລະ ຂະໜາດ: Basic ສຳລັບລະບົບນ້ອຍ (ຂະໜາດດຽວ 1–2 instance) ຫຼື Standard ເລືອກຂະໜາດໄດ້ ແລະ ມີໄດ້ເຖິງ 4 instance ທີ່ຮັບທຣາຟຟິກພ້ອມກັນ ມີຫຼາຍກວ່າ 1 instance ຕໍ່ Region ຈະໄດ້ High availability
- ນະໂຍບາຍ: ສ້າງນະໂຍບາຍໃໝ່ຈາກແມ່ແບບ (ອະນຸຍາດອອກເວັບ ແລະ DNS, ປິດຂາອອກທັງໝົດ ຫຼື ເປີດເວັບເຊີບເວີສູ່ອິນເຕີເນັດ) ຫຼື ໃຊ້ນະໂຍບາຍທີ່ມີຢູ່
- ກົດ ສ້າງ Firewall
ຖ້າ VPC ມີ NAT Gateway ຢູ່ແລ້ວ Firewall ຈະຮັບທຣາຟຟິກອອກອິນເຕີເນັດແທນເມື່ອພ້ອມ ເລືອກເກັບ Static IP ຂອງ NAT Gateway ໄວ້ໄດ້ ຄູ່ຄ້າທີ່ whitelist IP ນັ້ນຈະໃຊ້ງານຕໍ່ໄດ້ ຖ້າບໍ່ເກັບ ໃຫ້ສົ່ງ Public IP ຂອງ Firewall ໃຫ້ຄູ່ຄ້າແທນ
Firewall Policy: ກົດ
ກົດຢູ່ໃນນະໂຍບາຍທີ່ແຍກຈາກ Firewall ນະໂຍບາຍດຽວຈຶ່ງໃຊ້ກັບຫຼາຍ Firewall ໄດ້ ເປີດເມນູ Firewall Policy:
- ນະໂຍບາຍ: ນະໂຍບາຍໜຶ່ງມີກຸ່ມກົດ ແຕ່ລະກຸ່ມມີ collection ຂອງກົດ ຕົວເລກ Priority ນ້ອຍ (100–65000) ຖືກກວດກ່ອນ ກົດ ບັນທຶກນະໂຍບາຍ ແລ້ວການເຊື່ອມຕໍ່ໃໝ່ໃຊ້ກົດໃໝ່ທັນທີ
- ກົດ Network ອະນຸຍາດ ຫຼື ປິດຕາມຕົ້ນທາງ ປາຍທາງ ໂປຣໂຕຄອນ ແລະ ພອດ ກົດ DNAT ສົ່ງການເຊື່ອມຕໍ່ທີ່ເຂົ້າມາທີ່ Public IP ຂອງ Firewall ໄປຫາເຊີບເວີພາຍໃນ VPC
- ກົດ DNAT ຖືກກວດກ່ອນ ແລ້ວຈຶ່ງເປັນກົດ Network ຕາມ Priority ການເຊື່ອມຕໍ່ທີ່ບໍ່ກົງກົດໃດເລີຍຈະຖືກປິດ ນະໂຍບາຍທີ່ບໍ່ມີກົດຈຶ່ງປິດທຸກຢ່າງ
- ກົດຂອງ ນະໂຍບາຍແມ່ ມາກ່ອນສະເໝີ ແລະ ແກ້ຈາກນະໂຍບາຍລູກບໍ່ໄດ້ ເໝາະກັບກົດພື້ນຖານທີ່ທີມກາງກຳນົດໃຫ້ທຸກ Hub
- IP Groups: ລາຍການຊ່ວງ IP ທີ່ຕັ້ງຊື່ໄວ້ ເຊັ່ນ IP ຂອງຫ້ອງການ ຫຼື ຄູ່ຄ້າ ໃຊ້ໃນກົດໄດ້ ແກ້ບ່ອນດຽວ ທຸກກົດທີ່ອ້າງເຖິງປ່ຽນຕາມ
- ແຕ່ລະກົດສະແດງຈຳນວນການເຊື່ອມຕໍ່ທີ່ກົງກົດ ຈຶ່ງເຫັນວ່າກົດໃດຖືກໃຊ້ງານແທ້
Firewall ຄິດຄ່າບໍລິການຕໍ່ instance-ຊົ່ວໂມງຕາມຂະໜາດ ລວມຄ່າຊອບແວ Firewall ບວກກັບປະລິມານຂໍ້ມູນທີ່ປະມວນຜົນ ໜ້າສ້າງສະແດງລາຄາປະມານໃຫ້ເບິ່ງ Firewall ເປັນຂອງ Project ເຈົ້າຂອງ Hub ແລະ ຄິດເງິນກັບ Project ນັ້ນ ສ່ວນຂໍ້ມູນຂາອອກອິນເຕີເນັດຄິດຕາມປົກກະຕິ (ເບິ່ງໜ້າລາຄາ)
ຖ້າລຶບ Firewall spoke ຈະກັບໄປເຖິງກັນຕາມ Topology ຂອງ Hub ແລະ VPC ທີ່ເຄີຍອອກອິນເຕີເນັດຜ່ານ Firewall ຈະອອກອິນເຕີເນັດບໍ່ໄດ້ຈົນກວ່າຈະສ້າງ NAT Gateway ຫຼື Firewall ໃໝ່ Public IP ຂອງ Firewall ຖືກຄືນ ສ່ວນນະໂຍບາຍຍັງຢູ່
ຖ້າພົບບັນຫາ
ໃສ່ Firewall ແລ້ວ ບໍລິການອອກອິນເຕີເນັດບໍ່ໄດ້
ຍັງບໍ່ມີກົດໃນນະໂຍບາຍທີ່ອະນຸຍາດ ເພີ່ມກົດ Network ທີ່ອະນຸຍາດຊ່ວງ IP ຂອງບໍລິການໄປຫາປາຍທາງ ແລະ ພອດທີ່ຕ້ອງໃຊ້ ເຊັ່ນ TCP 443 ໄປ Internet ຫຼື ເລີ່ມຈາກແມ່ແບບ “ອະນຸຍາດອອກເວັບ (HTTP/HTTPS) ແລະ DNS”
ຄູ່ຄ້າບອກວ່າ IP ຂອງເຮົາປ່ຽນ
ເມື່ອເລືອກ ອອກ Internet ທຣາຟຟິກອອກຈາກ Public IP ຂອງ Firewall ສົ່ງ IP ທຸກໂຕໃນ Public IP ຂອງໜ້າ Firewall ໃຫ້ຄູ່ຄ້າ
VPC ປາຍທາງ 2 ໂຕຍັງລົມກັນບໍ່ໄດ້
ປາຍທາງເຖິງກັນໄດ້ສະເພາະເມື່ອ Firewall ດູແລທຣາຟຟິກ ລະຫວ່າງ spoke ແລະ ມີກົດ Network ອະນຸຍາດການເຊື່ອມຕໍ່ນັ້ນ Security Group ຂອງຝັ່ງຮັບຕ້ອງອະນຸຍາດນຳ