亞馬遜雲科技推出 AWS Network Firewall 代理的預覽版，簡化託管出站安全性

亞馬遜雲科技最近推出了 AWS Network Firewall 代理的預覽版，這是一種用於代理管理和部署的託管服務。據該公司稱，此服務使客户能夠更專注於管理其 VPC 出站（outbound）訪問的安全策略。Network Firewall 代理與 NAT Gateway 服務集成，後者在 VPC 內運行，並處理外出流量的 IP 地址轉換。用户的應用程序可以通過由提供支持的、針對代理的特定 VPC 接口端點，從本地和遠程 VPC 連接到該代理。https://static001.geekbang.org/infoq/32/32a8f9868f7ac4572ed9865f6fbe5bb2.png（圖片來源：）與傳統的透明防火牆不同，此代理通過處理 HTTP CONNECT 請求並代表應用程序建立連接來檢查網絡流量。它採用按順序的三階段模型評估流量：每個階段都可以應用訪問規則；如果流量在早期階段被阻止，則不會觸發後續階段，從而優化處理效率。用户可以配置 Network Firewall 的代理以攔截 TLS 或允許 TLS 直接通過而不做處理。若啓用 TLS 攔截，代理會為目標地址生成證書，使其能夠檢查 HTTP 層內容並應用策略。然而，工作負載必須信任代理的證書頒發機構。相反，當攔截被禁用時，會在工作負載和目的地之間直接建立端到端加密隧道，防止代理解密有效載荷並將策略執行限制於如 DNS、IP 地址或 SNI 等未加密的元數據。在架構上，該服務支持分佈式（每個 VPC）和集中式模型。在集中式設置中，工程師可以利用 Transit Gateway 或 Cloud WAN 將來自多個 VPC 的出口流量路由到單一代理端點，顯著減少修補和擴展傳統自託管 Squid 集羣的管理 “負擔”。然而，正如 Ivo Pinto 在中指出的那樣，一個關鍵限制是該代理僅適用於 HTTP/HTTPS 流量，使其成為一種專業工具而非通用的網絡防火牆。在關於 Network Firewall Proxy 的博客文章中，作者寫到：目前，該服務在提供預覽版。Kayesee 在 Reddit 討論中評論説：最後，關於該代理的更多詳情可以在找到。