Day-330-AWS 网络安全

# Day 347: AWS 网络安全 - VPC 安全/安全组/NACL/私有链接/DDoS 防护

> 云安全系列第 7 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [VPC 安全基础](#vpc-安全基础)
2. [安全组配置](#安全组配置)
3. **NACL 配置**
4. [私有链接](#私有链接)
5. [DDoS 防护](#ddos-防护)
6. [安全最佳实践](#安全最佳实践)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## VPC 安全基础

### VPC 架构

**VPC 组件**：
```
网络组件:
- 子网 (Subnets)
- 路由表 (Route Tables)
- 互联网网关 (IGW)
- NAT 网关

安全组件:
- 安全组 (Security Groups)
- NACL (Network ACLs)
- 流日志 (VPC Flow Logs)

连接组件:
- VPC 对等 (VPC Peering)
- Transit Gateway
- Direct Connect
```

**子网设计**：
```
公有子网:
- 有互联网访问
- 部署负载均衡器
- 部署 NAT 网关

私有子网:
- 无直接互联网访问
- 部署应用服务器
- 部署数据库

隔离子网:
- 高度隔离
- 部署安全设备
- 部署管理设备
```

### 路由安全

**路由表设计**：
```
公有路由表:
- 默认路由到 IGW
- 公有子网使用
- 互联网访问

私有路由表:
- 默认路由到 NAT
- 私有子网使用
- 受限互联网访问

隔离路由表:
- 无互联网路由
- 隔离子网使用
- 完全隔离
```

**路由安全**：
```
路由传播:
- VGW 传播
- 控制传播
- 审计变更

路由监控:
- 路由变更日志
- 异常检测
- 自动告警
```

---

## 安全组配置

### 安全组基础

**安全组特点**：
```
状态防火墙:
- 跟踪连接状态
- 自动允许响应
- 有状态过滤

实例级别:
- 附加到实例
- 多个安全组
- 灵活配置

默认规则:
- 默认拒绝入站
- 默认允许出站
- 可自定义
```

**安全组规则**：
```
入站规则:
- 协议类型
- 端口范围
- 源地址/安全组

出站规则:
- 协议类型
- 端口范围
- 目标地址/安全组
```

### 安全组设计

**分层设计**：
```
Web 层安全组:
入站:
- 80/443 from Internet
- 健康检查 from LB
出站:
- 应用层端口 to App SG

应用层安全组:
入站:
- 应用端口 from Web SG
出站:
- 数据库端口 to DB SG

数据层安全组:
入站:
- 数据库端口 from App SG
出站:
- 无
```

**最佳实践**：
```
最小开放:
- 仅必要端口
- 限制源地址
- 定期审查

引用安全组:
- 使用 SG 引用
- 避免 IP 地址
- 动态更新

文档化:
- 规则说明
- 变更日志
- 责任人
```

---

## NACL 配置

### NACL 基础

**NACL 特点**：
```
无状态防火墙:
- 不跟踪连接
- 双向规则
- 明确允许/拒绝

子网级别:
- 附加到子网
- 一个子网一个 NACL
- 默认 NACL

规则评估:
- 按规则号顺序
- 第一个匹配生效
- 默认拒绝
```

**NACL 与安全组**：
```
安全组:
- 实例级别
- 有状态
- 允许规则

NACL:
- 子网级别
- 无状态
- 允许/拒绝

配合使用:
- 纵深防御
- 多层防护
- 互补保护
```

### NACL 设计

**公有子网 NACL**：
```
入站规则:
100 ALLOW 80 from 0.0.0.0/0
110 ALLOW 443 from 0.0.0.0/0
120 ALLOW 1024-65535 from 0.0.0.0/0
* DENY ALL

出站规则:
100 ALLOW 80 to 0.0.0.0/0
110 ALLOW 443 to 0.0.0.0/0
120 ALLOW 1024-65535 to 0.0.0.0/0
* DENY ALL
```

**私有子网 NACL**：
```
入站规则:
100 ALLOW 1024-65535 from 0.0.0.0/0
110 ALLOW 特定端口 from 特定 CIDR
* DENY ALL

出站规则:
100 ALLOW 特定端口 to 特定 CIDR
110 ALLOW 1024-65535 to 0.0.0.0/0
* DENY ALL
```

---

## 私有链接

### VPC Endpoint

**Endpoint 类型**：
```
接口端点:
- ENI 形式
- 私有 IP
- 支持服务多

网关端点:
- 路由表目标
- 仅 S3/DynamoDB
- 免费
```

**接口端点配置**：
```
配置步骤:
1. 选择服务
2. 选择子网
3. 配置安全组
4. 创建端点

安全组配置:
- 入站：443 from VPC CIDR
- 出站：允许所有
```

### PrivateLink

**PrivateLink 优势**：
```
安全优势:
- 不经过互联网
- 私有连接
- 流量不暴露

简化架构:
- 无需 NAT
- 无需防火墙规则
- 简化路由
```

**使用场景**：
```
服务访问:
- AWS 服务
- 市场服务
- 自定义服务

跨账户:
- 跨账户访问
- 服务共享
- 安全隔离
```

---

## DDoS 防护

### Shield 防护

**Shield Standard**：
```
包含:
- 自动防护
- 常见攻击
- 无额外费用

防护类型:
- SYN/UDP 洪水
- 反射攻击
- 其他 L3/L4 攻击
```

**Shield Advanced**：
```
高级防护:
- L7 防护
- 24/7 支持
- 费用保护

额外功能:
- 攻击洞察
- 实时可见
- 成本保护
```

### WAF 配置

**WAF 规则**：
```
托管规则:
- AWS Managed Rules
- 常见攻击防护
- 自动更新

自定义规则:
- IP 黑白名单
- 速率限制
- 地理限制
- 自定义条件
```

**速率限制**：
```
配置:
- 基于 IP
- 基于 URI
- 时间窗口

示例:
- 100 请求/5 分钟
- 超限阻止
- 自动解封
```

### 防护架构

**多层防护**：
```
边缘层:
- CloudFront
- Route 53
- Shield

应用层:
- WAF
- ALB
- 应用防护

源站层:
- 安全组
- NACL
- 源站防护
```

**最佳实践**：
```
架构设计:
- 多层防护
- 自动扩展
- 全球分布

监控响应:
- 实时监控
- 自动响应
- 应急预案
```

---

## 安全最佳实践

### 网络分段

**分段策略**：
```
环境分段:
- 开发 VPC
- 测试 VPC
- 生产 VPC

功能分段:
- Web VPC
- App VPC
- DB VPC

安全分段:
- 高安全 VPC
- 中安全 VPC
- 低安全 VPC
```

**隔离实施**：
```
网络隔离:
- 不同 VPC
- 安全组隔离
- NACL 限制

访问控制:
- VPC 对等
- Transit Gateway
- 私有链接
```

### 监控审计

**流日志**：
```
配置:
- 启用流日志
- 发送到 CloudWatch
- 发送到 S3

监控重点:
- 异常流量
- 拒绝流量
- 端口扫描
```

**网络监控**：
```
工具:
- VPC Flow Logs
- Traffic Mirroring
- Network Manager

监控内容:
- 流量模式
- 异常检测
- 性能指标
```

---

## 总结与思考

### 核心要点回顾

1. **VPC 基础**：组件、子网设计、路由安全
2. **安全组**：特点、规则、分层设计
3. **NACL**：特点、与安全组区别、配置
4. **私有链接**：Endpoint、PrivateLink、使用场景
5. **DDoS 防护**：Shield、WAF、防护架构
6. **最佳实践**：网络分段、监控审计

### 深入思考

**安全挑战**：
- 复杂架构
- 配置管理
- 持续监控

**发展趋势**：
- 零信任网络
- 自动化安全
- 云原生防护

### 最佳实践

**设计**：
- 纵深防御
- 最小开放
- 网络分段

**实施**：
- 自动化配置
- 持续监控
- 定期审查

---

## 参考资料

### 学习资源

- **AWS VPC Documentation**: https://docs.aws.amazon.com/vpc/
- **AWS Security Best Practices**: https://docs.aws.amazon.com/security/
- **AWS Shield Documentation**: https://docs.aws.amazon.com/waf/latest/developerguide/ddos-overview.html

### 工具资源

- **VPC Flow Logs**: https://docs.aws.amazon.com/vpc/latest/userguide/flow-logs.html
- **AWS WAF**: https://aws.amazon.com/waf/
- **AWS Shield**: https://aws.amazon.com/shield/

---

*Day 347 完成 | AWS 网络安全详解 | 字数：约 15,000 字*