AWS / الأساسي: نطاق السحابة وحدودها / الدرس 3
توجيه VPC وضوابط الشبكة
تتبع العنوان والمسار والبوابة والمجموعة ذات الحالة وضبط الشبكة الفرعية كقرارات مستقلة.
في هذه الصفحة
أهداف الدرس
- اشرح افتراضات ومسؤوليات ومفاضلات موضوع «توجيه VPC وضوابط الشبكة».
- فسر المثالين وميز النية المعلنة والدليل المتحقق.
- شخص الإخفاقات وعلل القرارات المشروحة دون استخدام حساب AWS أواعتماد أوخدمة حقيقية.
للشبكة الفرعية موضع وسياق توجيه
تعرف VPC شبكة بعناوين ومسارات، وتقع الشبكات الفرعية في AZ حسب النموذج. تصف العامة والخاصة تصميما لا ثقة تلقائية. قد لا يصل الإنترنت لمورد بعامة وتحتاج الخاصة خروجا ووصول خدمة مقصودين. سجل العائلة والمستدعي والوجهة والربط والبروتوكول قبل التغيير. يستخدم الدرس VPC التجارية المعتادة لا كل عرض متخصص.
فصل المسار والتعرض للإنترنت
يلزم توافق المسار والبوابة والعنوان والضبط لـIPv4 المعتاد؛ فلا يمنح المسار عنوانا أومستمعا. يتيح NAT بدء الخروج حسب العرض ولا ينشر الحمل عادة لدخول غير مطلوب. لـIPv6 والخروج فقط افتراضات أخرى. يسمي السجل الحدود دون إنشاء. تحقق من النمط والتوزيع والمرونة والكلفة الحالية لا طوبولوجيا عامة.
caller: synthetic-private-application
destination: approved-public-HTTPS-dependency
address_family: IPv4
path: private-route-to-reviewed-NAT-design
required: DNS-routes-security-controls-return-path-and-TLS
inbound_publication: not-established
يسمي المتطلبات دون ادعاء اتصال أواستنتاج تصميم وكلفة NAT ولا ينشئ موردا.
قراءة المجموعات وACL بصورة مختلفة
مجموعات الأمن سماح ذو حالة للمورد، وACL قواعد مرتبة للشبكة الفرعية بلا حالة وبتحقق العودة. لا تستبدل المسار وDNS وجدار النظام والمستمع. لمراجع المجموعات دلالات لا كل طريق. تميز المصفوفة البدء والعودة؛ وافحص الاتجاهين والمنافذ الفعلية ولا تفتح الجميع لإصلاح ضيق.
boundary question
route table is there an intended destination path?
security group is the resource flow allowed?
network ACL do ordered rules permit both stateless directions?
process and local OS is the intended listener available?
IAM or service policy is the requested operation authorized?
لا يثبت نجاح طبقة الباقي ولا تتطابق قواعد المجموعة وACL بالنسخ.
إدراج DNS ونقاط الخدمة
تغير إعدادات DNS والمناطق الخاصة والمحلل ونقاط الخدمة العنوان. توفر endpoints وصولا خاصا بدعم ونوع ومسار وأمن وسياسة؛ ولا تمنح IAM أو KMS تلقائيا. تبقى هوية TLS لازمة، وافصل الاسم والنقل والإذن. تقدم سجلات التدفق بيانات مختارة عند ضبطها لا حمولة أوتفسيرا كاملا لكل اتصال مفقود.
التحقق من عقد اتصال محدود
حدد المصدر والوجهة والبروتوكول والمنفذ والهوية والنتيجة واختبر السماح والمنع بعزلة مصرح بها. احفظ السياق وراجع التغيير. لا تجري الدورة استعلاما أوالتقاطا أوسجلا أوفحص منفذ أوسحابة أوتعديلا؛ ولا تثبت السجلات الوصول. يفيد الرسم بافتراضات واضحة حالية، وليس اسم الخاصة تقييما أمنيا أوضمان إتاحة.
الأخطاء الشائعة وإصلاحها
يُعد مسار البوابة وصولا عاما
- لماذا يحدث؟
- أغفل العنوان وبقية الضبط.
- كيف تصلحه؟
- تتبع التدفق والمستمع كاملين.
- كيف تتجنب تكراره؟
- وثق المسار والعنوان والضبط منفصلة.
تفشل العودة عبر ACL
- لماذا يحدث؟
- لم تراع قواعد العودة بلا حالة.
- كيف تصلحه؟
- راجع الاتجاهين والترتيب والمنافذ.
- كيف تتجنب تكراره؟
- اختبر الرد والبدء.
يفترض أن endpoint خاصة تمنح البيانات
- لماذا يحدث؟
- اختلط المسار بإذن الخدمة.
- كيف تصلحه؟
- افحص النقطة والهوية والمورد والتشفير.
- كيف تتجنب تكراره؟
- افصل دليلي الاتصال والإذن.
اختبر فهمك
1. تستخدم خاصة NAT لخروج HTTPS. هل أصبحت خادم ويب عاما؟
اعرض الحل المشروح
لا؛ البدء الخارجي والنشر الوارد منفصلان. تحقق من العرض والمسار والعنوان والضبط؛ ويلزم للدخول تصميم وإذن مستقلان.
2. ينجح DNS وتنتهي مهلة TCP. هل توسع IAM أولا؟
اعرض الحل المشروح
ليس بهذا الدليل؛ افحص الوجهة والمسار والمجموعة وACL والمستمع والعودة بإذن. لا يصلح IAM نقلا غائبا عادة وقد يزيد الامتياز دون الحل.
أهم ما تعلمته
- تعرف VPC شبكة بعناوين ومسارات، وتقع الشبكات الفرعية في AZ حسب النموذج.
- مجموعات الأمن سماح ذو حالة للمورد، وACL قواعد مرتبة للشبكة الفرعية بلا حالة وبتحقق العودة.
- حدد المصدر والوجهة والبروتوكول والمنفذ والهوية والنتيجة واختبر السماح والمنع بعزلة مصرح بها.