[AWS-17] Network Firewall Resource Group

Resource Group

---

AWS Network Firewall(이하 ANF)에 리소스 그룹이라는 기능이 생겼다

설명을 읽어봤을 땐 뭔가 그룹 객체 같은 느낌이었다.

리소스 그룹에 신규 리소스를 추가하거나 제거하면 정책에도 반영되는 듯해 보였다.

실제로도 그런지 한번 까보자.

 

대략적인 아키텍처는 이러하다.

ANF가 속할 퍼블릭 서브넷,  웹서버가 구성될 퍼블릭 서브넷을 생성한다.

VPC - 10.1.0.0/16 Public Subnet(ANF) - 10.1.1.0/24 Public Subnet(Web) - 10.1.2.0/24

 

VPC 구성정보를 가시화 해주는 리소스 맵 기능이 생겼다.

아래와 같이 구성 하였다.

 

방화벽은 상태저장규칙(Stateful), 엄격(Strict), 삭제 설정됨으로 구성하였다.

 

규칙그룹은 집 PC에서 @test라는 IP 세트로의 통신은 허용해놓았다.

 

@test IP세트는 리소스 그룹을 참조하도록 설정 하였다

 

리소스 그룹을 살펴보자.

그룹화 기준은 AWS EC2 인스턴스고, 태그는 Name:web으로 지정하였다.

 

인스턴스는 우분투 두개 올렸고, 하나(15.164.232.59)는 태그가 Name:web으로 기준에 부합하게 생성하였고,

다른 인스턴스(54.180.109.120)는 태그를 상이하게 설정하였다.

 

결과를 확인해보자

 

그렇다면 54.180.109.120도 태그를 맞춰주면 어떻게 될까?

web-change  > web으로 value 변경.

 

리소스 그룹에는 54.180.109.120에 해당하는 인스턴스 아이디가 추가되었다.

 

서비스확인

 

 

---

 

결론

---

리소스 그룹으로 속성(태그)를 이용한 정책을 유연하게 관리할 수 있게 되었다.

다만, 태그에 대한 수정을 못하도록 제어하던지, 수정 시 알람이 오도록 구현해야할 필요성도 있겠다