Información general
Eres ingeniero de seguridad de redes de CompañíaX. Te han asignado la responsabilidad de crear una infraestructura de red segura en AWS para preparar la próxima migración de CompañíaX a la nube. En la actualidad, CompañíaX cuenta con una infraestructura de seguridad de red local de tres capas:
- El área de acceso público aloja los equilibradores de carga que actúan como punto de conexión primario para tus servidores web.
- El área de servidores web aloja los servidores de frontend de tu sitio web.
- El área de base de datos aloja los servidores de bases de datos de backend que proporcionan los datos a tu sitio web.
Debes asegurarte de que todas las áreas estén separadas de manera segura del resto y de que solo determinados tipos de tráfico pueden fluir entre ellas para dar soporte a los sitios web y las aplicaciones de la compañía.
En este laboratorio, vas a usar subredes públicas y privadas, grupos de seguridad y ACL de red para crear una infraestructura de red con tres áreas de seguridad. Luego, vas a usar los registros de los flujos de VPC para supervisar el tráfico que llega hasta los recursos de cada área para verificar que se permite únicamente el tráfico necesario.
Objetivos
Cuando finalices este laboratorio, podrás llevar a cabo las siguientes tareas:
- Crear una infraestructura de red con tres áreas de seguridad
- Implementar la segmentación de la red mediante grupos de seguridad, ACL de red y subredes públicas y privadas
- Supervisar el tráfico de la red que se dirige hacia las instancias de EC2 mediante registros de flujo de VPC
Conocimientos técnicos necesarios
Para completar este laboratorio correctamente, debes saber moverte por la Consola de administración de AWS y conocer los conceptos básicos de las redes.
Duración
El tiempo estimado para llevar a cabo este laboratorio es de 45 minutos.
Significado de los iconos
En este laboratorio, se utilizan varios iconos para destacar diferentes tipos de instrucciones y notas. En la siguiente lista, se explica el propósito de cada icono:
- Una salida de muestra que puedes utilizar para verificar la salida de un comando o archivo editado.
- Una pista, un consejo o una orientación importante
- El lugar donde encontrar más información
- Información de especial interés o importancia (no es tan importante como para causar problemas con el equipo o los datos si la pasas por alto, pero podría dar lugar a la necesidad de repetir ciertos pasos)
- Sugiere un momento de pausa para considerar cómo podrías aplicar un concepto en tu propio entorno o para iniciar una conversación sobre el tema en cuestión
- Una oportunidad para comprobar tus conocimientos y poner a prueba lo que has aprendido
- Una pista para responder una pregunta o un reto
Información general del entorno
El siguiente diagrama muestra la arquitectura básica del entorno del laboratorio:
En la siguiente lista encontrarás los principales recursos del diagrama:
- Una VPC con una subred pública y dos subredes privadas en una zona de disponibilidad, y una subred pública en una segunda zona de disponibilidad.
- Un equilibrador de carga de red con dos nodos, uno en cada subred pública.
- Una instancia de EC2 que actúa como servidor web en la primera subred privada.
- Una instancia de EC2 que actúa como servidor de bases de datos en la segunda subred.
- Dos grupos de seguridad, uno para cada instancia, en función de su fin.
El tráfico de la red fluye desde un usuario externo, atraviesa una puerta de enlace de internet hasta uno de los dos nodos del equilibrador de carga de red y hasta al servidor web. Si se solicita la dirección URL del sitio de blogs de WordPress que se ejecuta en el servidor web, el tráfico fluye también al servidor de bases de datos.
Dadas las que existen actualmente en la plataforma del laboratorio a la hora de crear certificados para un equilibrador de carga de aplicación, se utiliza un equilibrador de carga de red en su lugar. El equilibrador de carga actúa como acceso directo para el tráfico que entra al servidor web, pero no analiza ni transforma dicho tráfico. En un entorno de producción no sería descabellado plantearse la posibilidad utilizar un equilibrador de carga de aplicación para aprovechar sus características y medidas de seguridad adicionales, como aceptar y tramitar solicitudes HTTPS de los clientes antes de que lleguen al servidor web. Para más información sobre las características de cada tipo de instancias de Elastic Load Balancer, consulta las comparaciones de productos de Elastic Load Balancing en la sección Recursos adicionales, que encontrarás al final del laboratorio.
