集中式网络防火墙

AWS Network Firewall 在防火墙 VPC 中部署。此 VPC 起着至关重要的作用，它托管防火墙，用于检查从源到目标的流量以及来自互联网的流量。

防火墙规则组

定义自定义规则或使用现有 AWS 托管式规则 规则来监控和管理从防火墙 VPC 流向互联网以及从互联网流向 VPC 的流量。根据您的要求，创建有状态或无状态规则：

• 状态规则-在检查数据包时，会考虑流量方向和与数据包相关的其他流量批准。

  该规则组符合 Suricata 兼容的入侵防御系统 (IPS) 要求。有关更多信息，请参阅 Network Fi rewall 文档。

  Network Firewall 还支持域流量过滤。将使用基于标准网络属性定义的规则来监控流向所列特定域的流量，以控制流量。

• 无状态规则-Network Firewall 的无状态规则引擎分别分析每个数据包的无状态规则组。网络防火墙不考虑上下文，例如流量方向或其他相关数据包。

• AWS 托管式规则 规则组-使用 Network Firewall 时，您可以访问 AWS 托管式规则 规则组。这些预设的、可用的规则集合可维护 up-to-date安全性。 AWS 根据发现的任何新漏洞或威胁更新规则组。

防火墙策略

创建防火墙策略，该策略根据您附加到防火墙策略的规则定义防火墙的监控和保护行为。这些规则可以是您提供的 AWS 托管规则，也可以是您创建的自定义有状态或无状态规则。

防火墙

在防火墙 VPC 中，使用您定义的防火墙策略创建防火墙。选择专用于防火墙的三个子网（不是传输网关子网）。创建防火墙后，记下由 Network Firewall 创建的 VPC 终端节点。

配置防火墙 VPC 中转网关子网目的地，将流量路由0.0.0.0/0到这些终端节点。配置终端节点时，请确保每个传输网关子网都与其相应的防火墙终端节点子网相匹配。适当的子网映射有助于确保流量路由和检查的高可用性。

防火墙日志

要帮助分析网络防火墙阻止的流量，请启用防火墙日志记录。除了识别未经授权的活动外，防火墙日志还可以帮助您分析 VPC 内部和外部发生的其他活动。