View a markdown version of this page

Mettez à jour les groupes de sécurité pour votre Network Load Balancer - Elastic Load Balancing
ConsidérationsExemple : filtrer le trafic clientExemple : accepter uniquement le trafic provenant du Network Load BalancerMise à jour des groupes de sécurité associésMise à jour des paramètres de sécuritéSurveiller les groupes de sécurité

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Mettez à jour les groupes de sécurité pour votre Network Load Balancer

Vous pouvez associer un groupe de sécurité à votre équilibreur de charge réseau afin de contrôler le trafic autorisé à atteindre et à quitter l'équilibreur de charge réseau. Vous spécifiez les ports, protocoles et sources à autoriser pour le trafic entrant, ainsi que les ports, protocoles et destinations à autoriser pour le trafic sortant. Si vous n'attribuez aucun groupe de sécurité à votre Network Load Balancer, tout le trafic client peut atteindre les auditeurs du Network Load Balancer et tout le trafic peut quitter le Network Load Balancer.

Vous pouvez ajouter une règle aux groupes de sécurité associés à vos cibles qui fait référence au groupe de sécurité associé à votre Network Load Balancer. Cela permet aux clients d'envoyer du trafic vers vos cibles via votre Network Load Balancer, mais les empêche d'envoyer du trafic directement à vos cibles. Le fait de référencer le groupe de sécurité associé à votre Network Load Balancer dans les groupes de sécurité associés à vos cibles garantit que celles-ci acceptent le trafic provenant de votre Network Load Balancer, même si vous activez la préservation des adresses IP des clients pour votre Network Load Balancer.

Le trafic bloqué par les règles entrantes des groupes de sécurité ne vous est pas facturé.

Considérations

  • Vous pouvez associer des groupes de sécurité à un Network Load Balancer lorsque vous le créez. Si vous créez un équilibreur de charge réseau sans associer de groupes de sécurité, vous ne pourrez pas les associer ultérieurement à l'équilibreur de charge réseau. Nous vous recommandons d'associer un groupe de sécurité à votre équilibreur de charge réseau lorsque vous le créez.

  • Après avoir créé un équilibreur de charge réseau avec les groupes de sécurité associés, vous pouvez modifier les groupes de sécurité associés à l'équilibreur de charge réseau à tout moment.

  • Les surveillances de l'état sont soumises aux règles sortantes, mais pas aux règles entrantes. Vous devez vous assurer que les règles sortantes ne bloquent pas le trafic lié aux surveillances de l'état. Dans le cas contraire, le Network Load Balancer considère que les cibles ne sont pas saines.

  • Vous pouvez contrôler si le PrivateLink trafic est soumis à des règles de trafic entrant. Si vous activez les règles entrantes sur le PrivateLink trafic, la source du trafic est l'adresse IP privée du client, et non l'interface du point de terminaison.

Les règles entrantes suivantes dans le groupe de sécurité associé à votre Network Load Balancer autorisent uniquement le trafic provenant de la plage d'adresses spécifiée. S'il s'agit d'un équilibreur de charge réseau interne, vous pouvez spécifier une plage d'adresses CIDR VPC comme source pour autoriser uniquement le trafic provenant d'un VPC spécifique. S'il s'agit d'un équilibreur de charge réseau connecté à Internet qui doit accepter le trafic provenant de n'importe quel endroit sur Internet, vous pouvez spécifier 0.0.0. 0/0 comme source.

Entrant
Protocole Source Plage de ports Comment
protocol client IP address range listener port Autorise le trafic entrant depuis la plage d'adresses CIDR source sur le port d'écoute.
ICMP 0,0,0. 0/0 Tous Permet au trafic ICMP entrant de prendre en charge la MTU ou la détection de la MTU du chemin †.

† Pour plus d'informations, consultez Path MTU Discovery dans le guide de l'utilisateur Amazon EC2.

Sortant
Protocole Destination Plage de ports Comment
Tous N'importe où Tous Autorise tout le trafic sortant

Supposons que votre Network Load Balancer possède un groupe de sécurité sg-111112222233333. Utilisez les règles suivantes dans les groupes de sécurité associés à vos instances cibles pour vous assurer qu'elles n'acceptent que le trafic provenant du Network Load Balancer. Vous devez vous assurer que les cibles acceptent le trafic provenant de l'équilibreur de charge réseau à la fois sur le port cible et sur le port de contrôle de santé. Pour plus d’informations, consultez Groupes de sécurité cibles.

Entrant
Protocole Source Plage de ports Comment
protocol sg-111112222233333 target port Autorise le trafic entrant depuis l'équilibreur de charge réseau sur le port cible
protocol sg-111112222233333 health check Autorise le trafic entrant depuis l'équilibreur de charge réseau sur le port de contrôle de santé
Sortant
Protocole Destination Plage de ports Comment
Tous N'importe où N’importe lequel Autorise tout le trafic sortant

Mise à jour des groupes de sécurité associés

Si vous avez associé au moins un groupe de sécurité à un équilibreur de charge réseau lorsque vous l'avez créé, vous pouvez mettre à jour les groupes de sécurité pour cet équilibreur de charge réseau à tout moment.

Console
Pour mettre à jour les groupes de sécurité

  1. Ouvrez la console Amazon EC2 à l’adresse https://console.aws.amazon.com/ec2/.

  2. Dans le panneau de navigation, sous Load Balancing (Équilibrage de charge), choisissez Load Balancers (Équilibreurs de charge).

  3. Sélectionnez l'équilibreur de charge réseau.

  4. Dans l'onglet Security, choisissez Edit.

  5. Pour associer un groupe de sécurité à votre Network Load Balancer, sélectionnez-le. Pour supprimer un groupe de sécurité de votre Network Load Balancer, désactivez-le.

  6. Cliquez sur Enregistrer les modifications.

AWS CLI
Pour mettre à jour les groupes de sécurité

Utilisez la commande set-security-groups.

aws elbv2 set-security-groups \
    --load-balancer-arn load-balancer-arn \
    --security-groups sg-1234567890abcdef0 sg-0abcdef0123456789
CloudFormation
Pour mettre à jour les groupes de sécurité

Mettez à jour la LoadBalancer ressource AWS::ElasticLoadBalancing V2 : :.

Resources:
  myLoadBalancer:
    Type: 'AWS::ElasticLoadBalancingV2::LoadBalancer'
    Properties:
      Name: my-nlb
      Type: network
      Scheme: internal
      Subnets: 
        - !Ref subnet-AZ1
        - !Ref subnet-AZ2
      SecurityGroups: 
        - !Ref mySecurityGroup
        - !Ref myNewSecurityGroup

Mise à jour des paramètres de sécurité

Par défaut, nous appliquons les règles du groupe de sécurité entrant à tout le trafic envoyé au Network Load Balancer. Cependant, il se peut que vous ne souhaitiez pas appliquer ces règles au trafic envoyé au Network Load Balancer via AWS PrivateLink, qui peut provenir d'adresses IP qui se chevauchent. Dans ce cas, vous pouvez configurer l'équilibreur de charge réseau afin que nous n'appliquions pas les règles entrantes au trafic envoyé au Network Load Balancer via. AWS PrivateLink

Console
Pour mettre à jour les paramètres de sécurité

  1. Ouvrez la console Amazon EC2 à l’adresse https://console.aws.amazon.com/ec2/.

  2. Dans le panneau de navigation, sous Load Balancing (Équilibrage de charge), choisissez Load Balancers (Équilibreurs de charge).

  3. Sélectionnez l'équilibreur de charge réseau.

  4. Dans l'onglet Security, choisissez Edit.

  5. Sous Paramètre de sécurité, désactivez la case à cocher Appliquer les règles entrantes sur le PrivateLink trafic.

  6. Cliquez sur Enregistrer les modifications.

AWS CLI
Pour mettre à jour les paramètres de sécurité

Utilisez la commande set-security-groups.

aws elbv2 set-security-groups \
    --load-balancer-arn load-balancer-arn \
    --enforce-security-group-inbound-rules-on-private-link-traffic off
CloudFormation
Pour mettre à jour les paramètres de sécurité

Mettez à jour la LoadBalancer ressource AWS::ElasticLoadBalancing V2 : :.

Resources:
  myLoadBalancer:
    Type: 'AWS::ElasticLoadBalancingV2::LoadBalancer'
    Properties:
      Name: my-nlb
      Type: network
      Scheme: internal
      EnforceSecurityGroupInboundRulesOnPrivateLinkTraffic: off
      Subnets: 
        - !Ref subnet-AZ1
        - !Ref subnet-AZ2
      SecurityGroups: 
        - !Ref mySecurityGroup

Surveiller les groupes de sécurité du Network Load Balancer

Utilisez les SecurityGroupBlockedFlowCount_Outbound CloudWatch métriques SecurityGroupBlockedFlowCount_Inbound et pour surveiller le nombre de flux bloqués par les groupes de sécurité Network Load Balancer. Le trafic bloqué n'est pas reflété dans les autres métriques. Pour plus d’informations, consultez CloudWatch statistiques pour votre Network Load Balancer.

Utilisez les journaux de flux VPC pour surveiller le trafic accepté ou rejeté par les groupes de sécurité Network Load Balancer. Pour plus d'informations, veuillez consulter Journaux de flux VPC dans le Guide de l'utilisateur Amazon VPC.