сетевой-брандмауэр

Описание

Это справочник по API сетевого брандмауэра. Это руководство предназначено для разработчиков, которым требуется подробная информация о действиях API сетевого брандмауэра, типах данных и ошибках.

Для использования REST API необходимо обрабатывать сведения о подключении, такие как вычисление подписей, обработка повторных попыток запроса и обработка ошибок. Дополнительную информацию об использовании REST API Amazon Web Services см. в разделе Amazon Web Services APIs .

Полный список регионов Amazon Web Services, в которых доступен сетевой брандмауэр, см. в разделе «Сервисные конечные точки и квоты» в разделе Общее справочное руководство Amazon Web Services .

Для доступа к сетевому брандмауэру с использованием конечной точки REST API IPv4: https://network-firewall.<region>.amazonaws.com

Для доступа к сетевому брандмауэру с использованием конечной точки REST API Dualstack (IPv4 и IPv6): https://network-firewall.<region>.aws.api

Кроме того, можно использовать один из SDK Amazon Web Services для доступа к API, настроенному для используемого вами языка программирования или платформы. Дополнительную информацию см. в разделе Amazon Web Services SDKs .

Описание функций сетевого брандмауэра, включая пошаговые инструкции по их использованию через консоль сетевого брандмауэра, см. в Руководстве для разработчиков сетевого брандмауэра .

Сетевой брандмауэр — это управляемый, состоянный брандмауэр и служба обнаружения и предотвращения вторжений для Amazon Virtual Private Cloud (Amazon VPC). С помощью сетевого брандмауэра можно фильтровать трафик на периметре вашей VPC. Это включает в себя фильтрацию трафика, направляющегося в интернет-шлюз, шлюз NAT или через VPN или Direct Connect. Сетевой брандмауэр использует правила, совместимые с Suricata, бесплатным открытым исходным кодом анализа сети и обнаружения угроз. Сетевой брандмауэр поддерживает версию Suricata 7.0.3. Дополнительную информацию о Suricata см. на веб-сайте Suricata и в руководстве пользователя Suricata .

Можно использовать сетевой брандмауэр для мониторинга и защиты трафика VPC различными способами. Вот лишь несколько примеров:

• Разрешить домены или IP-адреса для известных сервисных конечных точек Amazon Web Services, таких как Amazon S3, и заблокировать все другие формы трафика.
• Используйте пользовательские списки известных плохих доменов, чтобы ограничить типы доменных имен, к которым могут получить доступ ваши приложения.
• Выполнять глубокий анализ пакетов для трафика, входящего в вашу VPC или выходящего из неё.
• Использовать обнаружение состояния протокола для фильтрации протоколов, таких как HTTPS, независимо от используемого порта.

Чтобы включить сетевой брандмауэр для ваших VPC, необходимо выполнить шаги как в Amazon VPC, так и в сетевом брандмауэре. Дополнительную информацию об использовании Amazon VPC см. в Руководстве пользователя Amazon VPC .

Для начала работы с сетевым брандмауэром выполните следующие действия:

• (Необязательно) Если у вас еще нет VPC, которую нужно защитить, создайте её в Amazon VPC.
• В Amazon VPC в каждой зоне доступности, где вы хотите иметь конечную точку брандмауэра, создайте подсеть для единственного использования сетевого брандмауэра.
• В сетевом брандмауэре создайте группы правил без состояния и со статусом, чтобы определить компоненты поведения фильтрации сетевого трафика, которые вы хотите иметь в своем брандмауэре.
• В сетевом брандмауэре создайте политику брандмауэра, которая использует ваши группы правил и определяет дополнительное поведение фильтрации трафика по умолчанию.
• В сетевом брандмауэре создайте брандмауэр и укажите новую политику брандмауэра и подсети VPC. Сетевой брандмауэр создает конечную точку брандмауэра в каждой указанной вами подсети с поведением, определенным в политике брандмауэра.
• В Amazon VPC используйте улучшения маршрутизации входящего трафика для маршрутизации трафика через новые конечные точки брандмауэра.

Доступные команды