Panoramica
Ricopri il ruolo di Network Security Engineer presso Azienda X. Hai il compito di creare un’infrastruttura di rete sicura in AWS in vista dell’imminente migrazione di Azienda X al cloud. Azienda X dispone attualmente di un’infrastruttura di sicurezza di rete a tre livelli on-premises:
- La zona di accesso pubblico ospita i bilanciatori del carico che fungono da punto di connessione principale ai server web.
- La zona server web ospita i server front-end per il sito web.
- La zona database ospita i server di database back-end che forniscono dati al sito web.
Devi assicurarti che ciascuna zona sia segmentata in modo sicuro e che solo determinati tipi di traffico possano fluire tra di esse per supportare i siti web e le applicazioni dell’azienda.
In questo laboratorio, utilizzerai sottoreti pubbliche e private, gruppi di sicurezza e liste di controllo degli accessi di rete per creare un’infrastruttura di rete con tre zone di sicurezza. Successivamente, utilizzerai i log di flusso VPC per monitorare il traffico che raggiunge le risorse in ciascuna zona in modo da verificare che sia consentito solo il traffico richiesto.
Obiettivi
Alla fine di questo laboratorio sarai in grado di:
- Creare un’infrastruttura di rete con tre zone di sicurezza
- Implementare la segmentazione della rete utilizzando gruppi di sicurezza, liste di controllo degli accessi di rete e sottoreti pubbliche e private
- Monitorare il traffico di rete verso le istanze EC2 utilizzando i log di flusso VPC
Competenze tecniche preliminari
Per completare correttamente questo laboratorio, devi avere familiarità con la navigazione della Console di gestione AWS e una comprensione di base dei concetti di rete.
Durata
Il completamento di questo laboratorio richiede circa 45 minuti.
Legenda icone
In questo laboratorio vengono utilizzate varie icone per richiamare l’attenzione su diversi tipi di istruzioni e note. Nell’elenco seguente viene illustrato lo scopo di ciascuna di esse:
- Un output di esempio che puoi utilizzare per verificare l’output di un comando o di un file modificato
- Una nota, un suggerimento o indicazioni importanti
- Dove trovare ulteriori informazioni
- Informazioni di particolare interesse o importanza, non così importanti da causare problemi alle apparecchiature o ai dati se non si rispettano, ma che potrebbero comportare la necessità di ripetere determinati passaggi
- Suggerisce di riflettere su come applicare un concetto nel proprio ambiente o di avviare una conversazione sull’argomento in questione
- Un’opportunità per verificare le conoscenze e testare ciò che hai imparato
- Un suggerimento per una domanda o sfida
Panoramica dell’ambiente
Il seguente diagramma mostra l’architettura di base dell’ambiente di laboratorio:
Di seguito vengono riportate le principali risorse illustrate nel diagramma:
- Un VPC con una sottorete pubblica e due sottoreti private in una zona di disponibilità , e una sottorete pubblica in una seconda zona di disponibilità .
- Un Network Load Balancer con due nodi, uno in ciascuna sottorete pubblica.
- Un’istanza EC2 che funge da server web nella prima sottorete privata
- Un’istanza EC2 che funge da server di database nella seconda sottorete.
- Due gruppi di sicurezza, uno per ciascuna istanza in base allo scopo
Il traffico della rete fluisce da un utente esterno, attraverso un gateway internet, in uno dei due nodi Network Load Balancer, a un server web. Se è richiesto l’URL del sito di blog WordPress in esecuzione sul server web, il traffico fluisce anche nel server di database.
A causa delle attuali restrizioni con la creazione di certificati per un Application Load Balancer nella piattaforma di laboratorio, viene invece utilizzato un Network Load Balancer. Il bilanciatore del carico funge da pass-through per il traffico in entrata al server web: non analizza né trasforma il traffico in alcun modo. In un ambiente di produzione è possibile prendere in considerazione l’utilizzo di un Application Load Balancer per sfruttare le sue funzionalità e misure di sicurezza aggiuntive, come l’accettazione e l’elaborazione di una richiesta HTTPS da un client prima che raggiunga il server web. Per ulteriori informazioni sulle funzionalità di ciascun tipo di Elastic Load Balancer, consulta Confronti tra prodotti di Elastic Load Balancing nella sezione Risorse aggiuntive al termine di questo laboratorio.
