如何配置经NAT网关连公网的私有子网NACL及安全性疑问

1. 私有子网NACL配置步骤 #

NACL是无状态的子网级访问控制列表，需双向配置规则以完成完整流量路径：

出站规则（允许子网访问互联网） #

• 优先级设为较低数值（如100，优先级更高）
• 源：私有子网的CIDR段（例：10.0.1.0/24）
• 目标：0.0.0.0/0（所有公网IP）
• 协议：根据业务需求选择TCP、UDP或ICMP
• 端口范围：按需开放，如HTTP(80)、HTTPS(443)，或全端口0-65535
• 动作：允许

入站规则（允许互联网返回流量） #

• 优先级设为略高于出站规则（如110）
• 源：0.0.0.0/0
• 目标：私有子网的CIDR段
• 协议：与出站规则对应（TCP/UDP/ICMP）
• 端口范围：TCP/UDP需设置为临时端口段1024-65535（客户端发起请求用临时端口，返回流量指向该端口）；ICMP无需端口
• 动作：允许

收尾规则 #

保留NACL默认的拒绝所有规则（优先级1000），确保未匹配流量被拦截。

2. 规则必要性与安全性分析 #

规则必要性 #

必须同时开放对应入站和出站规则。因为NACL无状态，无法自动关联出站请求与入站返回流量：仅开出站，互联网返回流量会被默认规则拒绝；仅开入站，子网内实例发起的请求无法向外传输，均无法连通互联网。

当前配置（仅路由表限制、NACL/安全组全开放）的风险 #

• NACL全开放：失去子网级流量过滤能力，若路由被篡改或存在其他漏洞，外部恶意流量可直接进入子网；子网内实例也可随意访问任何外部地址，增加被恶意资源感染的概率。
• 安全组全开放：实例级无防护，任何IP都能访问实例的所有端口，一旦实例存在漏洞，极易被攻击。
• 仅依赖路由表：路由表仅控制流量转发路径，无法阻止内部恶意实例向外发起请求，也无法防范绕过路由的异常流量。

优化建议 #

• NACL：遵循最小权限原则，仅开放业务必需的端口与协议，比如仅允许出站80、443端口，入站仅放行对应临时端口的返回流量。
• 安全组：实例级仅开放必要入站端口（如仅允许内部实例访问，或特定管理IP访问SSH/RDP），出站也限制到必需的公网服务端口。
• 路由表：保持私有子网仅通过NAT网关访问互联网，禁止直接指向互联网网关。

内容的提问来源于stack exchange，提问作者Andres Torres