Accesso a un sistema di ispezione utilizzando un endpoint Gateway Load Balancer

Puoi creare un endpoint del sistema di bilanciamento del carico del gateway per connetterti ai servizi dell'endpoint basati su AWS PrivateLink.

Per ogni sottorete specificata dal VPC, creiamo un'interfaccia di rete dell'endpoint nella sottorete e le assegniamo un indirizzo IP privato dall'intervallo di indirizzi della sottorete. Un'interfaccia di rete per endpoint è un'interfaccia di rete gestita dal richiedente; puoi visualizzarla nel tuo dispositivo Account AWS, ma non puoi gestirla tu stesso.

Ti viene addebitato l'utilizzo orario e le spese di elaborazione dati. Per ulteriori informazioni, consulta Prezzi dell'endpoint Gateway Load Balancer.

Considerazioni

• Puoi selezionare una sola zona di disponibilità nel VPC dell'utente del servizio. Non puoi modificare questa sottorete in un secondo momento. Per utilizzare un endpoint Gateway Load Balancer in una sottorete diversa, dovrai creare un nuovo endpoint Gateway Load Balancer.

• Puoi creare un solo endpoint Gateway Load Balancer per zona di disponibilità per un servizio, selezionando la zona di disponibilità supportata da Gateway Load Balancer. Se il provider di servizi e l'utente si trovano in account diversi, un nome della zona di disponibilità, ad esempio us-east-1a, potrebbe essere mappato a una zona di disponibilità fisica diversa in ciascun Account AWS. Puoi utilizzare gli ID AZ per identificare in modo coerente le zone di disponibilità del servizio. Per ulteriori informazioni, consulta AZ IDs nella Amazon EC2 User Guide.

• Prima di poter utilizzare il servizio endpoint, il provider di servizi deve accettare le richieste di connessione. I servizi non possono avviare richieste alle risorse nel VPC tramite l'endpoint VPC. L'endpoint restituisce solo il traffico avviato dalle risorse nel VPC.

• Ogni endpoint Gateway Load Balancer può supportare una larghezza di banda massima di 10 Gpbs per zona di disponibilità e aumenta automaticamente fino a 100 Gbps.

• Se un servizio endpoint è associato a più Gateway Load Balancer, per una zona di disponibilità specifica un endpoint Gateway Load Balancer stabilirà una connessione con un solo load balancer.

• Per mantenere il traffico all'interno della stessa zona di disponibilità, è consigliabile creare un endpoint Gateway Load Balancer in ogni zona di disponibilità a cui verrà inviato il traffico.

• La conservazione dell'IP del client del Network Load Balancer non è supportata quando il traffico viene instradato attraverso un endpoint di load balancer del gateway, anche se la destinazione si trova nello stesso VPC del Network Load Balancer.

• Le tue AWS PrivateLink risorse sono soggette a quote. Per ulteriori informazioni, consulta AWS PrivateLink quote.

Prerequisiti

• Creare un VPC dell'utente del servizio con almeno due sottoreti nella zona di disponibilità da cui accederai al servizio. Una sottorete è destinata ai server dell'applicazione e l'altra all'endpoint Gateway Load Balancer.

• Per verificare quali zone di disponibilità sono supportate dal servizio endpoint, descrivere il servizio endpoint utilizzando la console o il comando describe-vpc-endpoint-services.

• Se le risorse si trovano in una sottorete con un ACL di rete, verifica che l'ACL di rete consenta il traffico tra le interfacce di rete dell'endpoint e le risorse nel VPC.

Creare l'endpoint

Utilizza la procedura seguente per creare un endpoint Gateway Load Balancer che si connette al servizio endpoint per il sistema di ispezione.

Per creare un endpoint Gateway Load Balancer utilizzando la console

1. Accedere alla console Amazon VPC all'indirizzo https://console.aws.amazon.com/vpc/.

2. Nel pannello di navigazione, seleziona Endpoints (Endpoint).

3. Seleziona Crea endpoint.

4. In Service category (Categoria del servizio), scegli Other endpoint services (Altri servizi endpoint).

5. In Service name (Nome servizio), specifica il nome del servizio, quindi seleziona Verify service (Verifica servizio).

6. In VPC, seleziona un VPC in cui creare l'endpoint.

7. In Subnets (Sottoreti), selezionare la sottorete in cui creare l'endpoint.

8. Per IP address type (Tipo di indirizzo IP), seleziona una delle opzioni seguenti:

   • IPv4: consente di assegnare indirizzi IPv4 alle interfacce di rete dell'endpoint. Questa opzione è supportata solo se tutte le sottoreti selezionate dispongono di intervalli di indirizzi IPv4.

   • IPv6: consente di assegnare indirizzi IPv6 alle interfacce di rete dell'endpoint. Questa opzione è supportata solo se tutte le sottoreti selezionate sono sottoreti solo IPv6.

   • Dualstack: consente di assegnare sia indirizzi IPv4 che IPv6 alle interfacce di rete dell'endpoint. Questa opzione è supportata solo se tutte le sottoreti selezionate dispongono di intervalli di indirizzi IPv4 e IPv6.

9. (Facoltativo) Per aggiungere un tag, scegliere Add new tag (Aggiungi nuovo tag) e immettere la chiave e il valore del tag.

10. Seleziona Crea endpoint. Lo stato iniziale è pending acceptance.

Per creare un endpoint Gateway Load Balancer utilizzando la riga di comando

• create-vpc-endpoint (AWS CLI)

• New-EC2VpcEndpoint(Strumenti per Windows PowerShell)

Configurazione del routing

Utilizza la procedura seguente per configurare le tabelle di instradamento per il VPC dell'utente del servizio. Ciò consente alle appliance di sicurezza di eseguire ispezioni per il traffico in entrata destinato ai server dell'applicazione. Per ulteriori informazioni, consulta Routing.

Per configurare l'instradamento utilizzando la console

1. Apri la console Amazon VPC all'indirizzo https://console.aws.amazon.com/vpc/.

2. Nel riquadro di navigazione, selezionare Route Tables (Tabelle di routing).

3. Seleziona la tabella di instradamento per il gateway Internet ed esegui le operazioni seguenti:

   1. Selezionare Actions (Operazioni), Edit routes (Modifica route).

   2. Se supporti IPv4, scegli Add route (Aggiungi route). Per Destination (Destinazione), immetti il blocco CIDR IPv4 della sottorete per i server dell'applicazione. Per Target, seleziona l'endpoint VPC.

   3. Se supporti IPv6, scegli Add route (Aggiungi route). Per Destination (Destinazione), immetti il blocco CIDR IPv6 della sottorete per i server dell'applicazione. Per Target, seleziona l'endpoint VPC.

   4. Seleziona Salvataggio delle modifiche.

4. Seleziona la tabella di instradamento per la sottorete con i server dell'applicazione ed esegui le operazioni seguenti:

   1. Selezionare Actions (Operazioni), Edit routes (Modifica route).

   2. Se supporti IPv4, scegli Add route (Aggiungi route). In Destination (Destinazione), immettere 0.0.0.0/0. Per Target, seleziona l'endpoint VPC.

   3. Se supporti IPv6, scegli Add route (Aggiungi route). In Destination (Destinazione), immettere ::/0. Per Target, seleziona l'endpoint VPC.

   4. Seleziona Salvataggio delle modifiche.

5. Seleziona la tabella di instradamento per la sottorete con l'endpoint Gateway Load Balancer ed esegui le operazioni seguenti:

   1. Selezionare Actions (Operazioni), Edit routes (Modifica route).

   2. Se supporti IPv4, scegli Add route (Aggiungi route). In Destination (Destinazione), immettere 0.0.0.0/0. Per Target, seleziona il gateway Internet.

   3. Se supporti IPv6, scegli Add route (Aggiungi route). In Destination (Destinazione), immettere ::/0. Per Target, seleziona il gateway Internet.

   4. Seleziona Salvataggio delle modifiche.

Per configurare l'instradamento utilizzando la riga di comando

• create-route (AWS CLI)

• New-EC2Route(Strumenti per Windows PowerShell)

Gestione dei tag

Puoi contrassegnare l'endpoint Gateway Load Balancer per identificarlo o classificarlo più facilmente in base alle esigenze dell'organizzazione.

Per gestire i tag utilizzando la console

1. Accedere alla console Amazon VPC all'indirizzo https://console.aws.amazon.com/vpc/.

2. Nel pannello di navigazione, seleziona Endpoints (Endpoint).

3. Seleziona l'endpoint dell'interfaccia.

4. Scegliere Actions (Operazioni), Manage tags (Gestisci tag).

5. Per ogni tag da aggiungere, seleziona Add new tag (Aggiungi nuovo tag) e immetti la chiave e il valore per il tag.

6. Per rimuovere un tag, scegli Remove (Rimuovi) a destra della chiave e del valore del tag.

7. Selezionare Salva.

Per gestire i tag utilizzando la riga di comando

• create-tags e delete-tags (AWS CLI)

• New-EC2Tage Remove-EC2Tag(Strumenti per Windows PowerShell)

Eliminazione di un endpoint Gateway Load Balancer

Quando un endpoint non è più necessario, è possibile eliminarlo. L'eliminazione di un endpoint Gateway Load Balancer comporta anche l'eliminazione delle interfacce di rete dell'endpoint. Un endpoint Gateway Load Balancer non può essere eliminato se nelle tabelle di instradamento sono presenti route che puntano all'endpoint.

Per eliminare un endpoint Gateway Load Balancer

1. Accedere alla console Amazon VPC all'indirizzo https://console.aws.amazon.com/vpc/.

2. Nel riquadro di navigazione, scegliere Endpoints (Endpoint) e selezionare l'endpoint.

3. Selezionare Actions (Operazioni), Delete Endpoint (Elimina endpoint).

4. Nella schermata di conferma, selezionare Yes, Delete (Sì, elimina).

Per eliminare un endpoint Gateway Load Balancer

• delete-vpc-endpoints (AWS CLI)

• Remove-EC2VpcEndpoint (AWS Tools for Windows PowerShell)