AWS - Amazon Virtual Private Cloud (VPC)

Network basic - AWS - Amazon Virtual Private Cloud (VPC)

Public Subnet & Private Subnet

Public Subnet	Private Subnet
Sử dụng địa chỉ IP Global	Chỉ Sử dụng địa chỉ IP Private
Cho phép truy cập trực tiếp từ Internet	Không thể truy cập trực tiếp từ Internet
Subnet gán với Internet gateway	Subnet gán với NAT

Subnet gán với Internet Gateway => Public Subnet

Subnet gán với NAT => Private Subnet

AWS SG & ACL

Định nghĩa các role cho phép truy cập tài nguyên hệ thống

• Cho phép ai (Des)
• Cho phép cái gì (Port)

Security Group

Chỉ ALLOW (còn lại là deny)

Thường sẽ chỉ quy định Inbound, Outbound sẽ mở all. Vì nếu config cả Outbound sẽ khá là rắc rối
=> Control 1 chiều là đủ

Security group sẽ được gán cho các Instance của AWS: EC2, RDS, Redis, ES, Lambda

SG hoàn toàn config được thay thế bằng IP Table trong OS, nhưng vì vậy thì bất tiện do phải tác động vào OS

ACL

Check là Allow và Deny
Và Deny mạnh nhất

• Mạng đi vào cổng 22 thì sẽ không phải đi ra ở cổng 22
  => Ephemeral Ports

• Nếu cả ALC và SG, sao không controll 1 cái thôi
  => Với các dự án nhỉ, thì điều này là OK (Lúc này SG => Allow và ACL sẽ mở ALL)
  Tuy nhiên phụ thuộc vào các dự án mà config thay thế

• Không nên edit SG, ACL đã tồn tại khi project đã chạy ổn. Thay vào đó, tạo SG, ACL mới và gán lại Instance
• ACL không nên setting nhiều (dự án nhỏ có thể mở all. Nó chỉ là tổng quan. SG mới là nơi cần controll chi tiết
  Hơn nữa ACL chỉ max 40 rule và càng nhiều, hệ thống có thể càng chậm cho phải kiểm tra nhiều rule

Best practice - Networking

Security Group & Bastion Host

Một vài cấu hình VPC

Bạn có thể sử dụng một trong các mô hình sau để áp dụng cho dự án của bạn mà không có trong mặc định

AWS VPC - Scenario 1: VPC with a Single Public Subnet

AWS VPC - Scenario 2: VPC with Public and Private Subnets (NAT)

AWS VPC - Scenario 3: VPC with Public and Private Subnets and AWS Managed VPN Access

AWS VPC - Scenario 4: VPC with a Private Subnet Only and AWS Managed VPN Access

=> Đa số các dự án sẽ theo Scenario 2