Bir şirket, web uygulamalarına erişim için HTTPS gerektiriyor. Uygulamalar, bir VPC'deki Application Load Balancer (ALB) arkasındaki Amazon EC2 örneklerinde çalışıyor. Bir güvenlik mühendisi, yanlışlıkla bir HTTP dinleyicisi yapılandırılsa bile yük dengeleyicinin yalnızca 443 numaralı bağlantı noktasındaki bağlantıları kabul etmesini sağlamalıdır. Hangi yapılandırma bunu başarır?

Doğru cevap, ALB'nin yalnızca 443 numaralı bağlantı noktasındaki bağlantıları kabul etmesini sağlamak için en etkili ve doğrudan yöntemdir. Bir güvenlik grubu, bir ALB'ye gelen trafiği kontrol eder. Yalnızca 443 numaralı bağlantı noktasına izin veren tek bir kurala sahip bir güvenlik grubu kullanmak ve bunun ALB ile ilişkili tek güvenlik grubu olduğundan emin olmak, 80 numaralı bağlantı noktasındaki tüm trafiği otomatik olarak reddedecektir. Yanlış seçenekler: İlk yanlış seçenek, 80 numaralı bağlantı noktasındaki trafiği reddeden bir güvenlik grubu kuralı önerir. Ancak, güvenlik grupları varsayılan olarak her şeyi reddeder ve yalnızca açıkça izin verilenlere izin verir. Reddetme kuralları oluşturmak yerine izin verme kuralları oluşturmak daha iyidir. Ayrıca, daha izin verici kuralları geçersiz kılmak için bu güvenlik grubunu eklemek, güvenlik grubu mantığına aykırıdır; güvenlik grupları birleşiktir ve en izin verici kural uygulanır. İkinci ve üçüncü yanlış seçenekler, ağ ACL'lerini kullanmayı önerir. Ağ ACL'leri alt ağ düzeyinde çalışır ve internet ağ geçidiyle ilişkilendirilmezler. Ayrıca, bir ALB'ye gelen trafiği kontrol etmek için güvenlik grupları, ağ ACL'lerinden daha uygun ve esnektir.