Inspección de tráfico: Network Firewall y Gateway Load Balancer

Los Security Groups y las NACL deciden por IP y puerto. No leen el dominio al que va una conexión ni detectan un ataque dentro de un flujo permitido. Para eso existe la inspección de tráfico: un punto que revisa el contenido de lo que entra, sale y cruza entre VPC.

Las capas de filtrado

No compiten: se apilan. WAF protege la aplicación web, Network Firewall vigila la red completa, DNS Firewall corta el problema antes de que exista una conexión y los Security Groups siguen siendo la última puerta. WAF y Shield están en Proteger el perímetro.

AWS Network Firewall

AWS Network Firewall es un firewall de red administrado con detección y prevención de intrusiones. Lo insertas cambiando tablas de rutas: el tráfico pasa por un firewall endpoint que vive en una subred reservada para él, uno por zona de disponibilidad. Evalúa en dos motores:

• Stateless: revisa cada paquete por separado, en orden de prioridad. Puede dejarlo pasar, descartarlo o enviarlo al motor stateful.
• Stateful: sigue el flujo completo. Usa el motor de código abierto Suricata y acepta reglas compatibles con Suricata, listas de dominios (lee el SNI en HTTPS y la cabecera Host en HTTP) y reglas de 5 tuplas.

# Bloquea conexiones TLS hacia un dominio, leyendo el SNI del saludo TLS
drop tls $HOME_NET any -> $EXTERNAL_NET 443 (tls.sni; content:"descargas.sospechoso.example"; nocase; endswith; msg:"Dominio bloqueado"; sid:1000001; rev:1;)

Hay grupos de reglas administrados por AWS con firmas de amenazas, y los registros de alertas y flujos van a S3, CloudWatch Logs o Firehose. Un caso típico de egress: las instancias solo pueden salir a .amazonaws.com y a los repositorios de paquetes aprobados; todo lo demás se descarta.

VPC de inspección centralizada con Transit Gateway

Poner un firewall en cada VPC (modelo distribuido) funciona, pero con cien VPC son cien políticas y cien facturas. El modelo centralizado concentra la aduana en un lugar al que llegan todas las carreteras: la terminal de transporte. Distingue dos direcciones de tráfico:

• Norte-sur: entre tus VPC y el exterior: internet, la oficina.
• Este-oeste: entre tus propias VPC, por ejemplo de desarrollo hacia producción.

1. 1

   Crea la VPC de inspección

   En la cuenta de red, con subredes para el attachment del Transit Gateway y subredes de firewall en cada zona de disponibilidad.
2. 2

   Separa las tablas del Transit Gateway

   Tabla de las VPC spoke: ruta por defecto → attachment de inspección. Tabla de inspección: rutas de regreso hacia cada spoke.
3. 3

   Activa appliance mode

   En el attachment de la VPC de inspección. Así el Transit Gateway manda la ida y la vuelta de cada flujo por la misma zona de disponibilidad y el firewall stateful ve las dos mitades.
4. 4

   Ruta a través del firewall

   Dentro de la VPC de inspección, las subredes del attachment apuntan al firewall endpoint de su misma zona.
5. 5

   Salida centralizada (opcional)

   Agrega NAT Gateway e Internet Gateway en la misma VPC, o en una VPC de egress, para que todo el tráfico a internet salga inspeccionado por un solo punto.

Desde mediados de 2025, Network Firewall también se adjunta directamente a un Transit Gateway como un attachment de tipo network function. Así ya no creas ni administras la VPC de inspección; el firewall puede estar en otra cuenta si el Transit Gateway se comparte con RAM.

Gateway Load Balancer para appliances de terceros

Si la empresa ya usa firewalls de un proveedor, los corres en EC2 desde AWS Marketplace detrás de un Gateway Load Balancer (GWLB). Trabaja en capa 3: recibe todos los paquetes IP en todos los puertos y los reparte entre los appliances. Habla con ellos mediante el protocolo GENEVE en el puerto 6081, que envuelve el paquete original sin modificarlo. Mantiene cada flujo pegado al mismo appliance (por 5 tuplas por defecto) y deja de enviar a los que fallan el health check.

Para llevar tráfico al GWLB desde otra VPC usas un Gateway Load Balancer endpoint, que funciona con PrivateLink. El endpoint es un destino en las tablas de rutas. Con una tabla asociada al Internet Gateway (ingress routing), el tráfico que llega de internet pasa por el endpoint antes de tocar tus subredes.

• 

  AWS Network Firewall

  La aduana de AWS

  Firewall administrado con motores stateless y stateful, reglas Suricata y filtro de dominios.
• 

  Gateway Load Balancer

  La fila que reparte camiones entre casetas

  Reparte tráfico entre appliances de terceros con GENEVE y escala la flota.
• 

  VPC Flow Logs

  El libro de entradas y salidas

  Registran metadatos de cada flujo: IP, puertos, bytes, ACCEPT o REJECT. No guardan el contenido.
• 

  AWS Firewall Manager

  La autoridad aduanera nacional

  Aplica políticas de WAF, Security Groups, Network Firewall y DNS Firewall en todas las cuentas de la organización.

Visibilidad y gobierno

VPC Flow Logs responde quién habló con quién y si se permitió. Cuando necesitas el contenido, para un IDS o una investigación forense, Traffic Mirroring copia los paquetes de una interfaz de red y los envía a otra interfaz, a un NLB o a un GWLB, donde los analiza tu herramienta. El tráfico original no se toca.

AWS Firewall Manager evita configurar cuenta por cuenta. Requiere AWS Organizations y AWS Config, y aplica políticas también a las cuentas nuevas que se unan. La operación central de seguridad sigue en Seguridad centralizada.

Repasa los porteros y guardias en Security Groups y NACL y la terminal de transporte en Conectar redes.