Saltar al contenido
aprendeaws.dev

Módulo 4 · Redes: la Ciudad VPC/Lección 24

Security Groups y Network ACLs

El portero con memoria y el guardia sin memoria. Escribe reglas y prueba paquetes.

⏱ 14 min

Al terminar podrás

  • →Diferenciar stateful y stateless con un ejemplo
  • →Escribir reglas por capas (ALB → app → base de datos)
  • →Evitar el error de los puertos efímeros

AWS te da dos firewalls de red. Se parecen, pero tienen personalidades opuestas, y confundirlos es la causa de muchas horas de «no conecta».

Security Group · el portero del apartamentoNetwork ACL · el guardia de la torre
Está en la puerta de cada recursoEstá en la entrada de toda la subred
Tiene memoria (stateful): si dejó entrar, deja salirNo tiene memoria (stateless): revisa entrada y salida por separado
Solo lista de invitados (permitir)Lista de permitidos y prohibidos (permitir y negar)
Revisa todas sus reglasRevisa en orden numérico; gana la primera que coincide
Puede decir «deja pasar a los del sg-alb»Solo entiende rangos de IP

¿Qué es un puerto efímero?

Cuando un navegador abre una conexión, su sistema operativo elige una puerta temporal al azar (por ejemplo, 51544) para recibir la respuesta. El servidor responde a esa puerta. El Security Group lo recuerda solo; la NACL no, por eso hay que abrirle a la salida el rango 1024–65535.

Simulador · escribe reglas y prueba paquetes

NACL de la subred privada · entrada

#PuertoOrigenAcción
*All0.0.0.0/0Deny

Security Group de la app · entrada

TCPdesde

Solo reglas de permitir. Puedes usar un rango CIDR o el nombre de otro Security Group (sg-alb).

Probar paquete:al puerto

  1. ✓ Guardia de la torre (NACL, entrada)

    Regla 100: permitir 8080 desde 0.0.0.0/0.

  2. ✓ Portero del apartamento (Security Group)

    Permitido: 8080 desde sg-alb.

  3. ✓ Respuesta de salida (NACL, puertos efímeros)

    Regla de salida 100: permitir 1024–65535.

El paquete entra y la respuesta vuelve. Conexión establecida.

El patrón por capas

  1. 1

    sg-alb

    Permite 443 desde 0.0.0.0/0. Es lo único abierto a internet.
  2. 2

    sg-app

    Permite 8080 solo desde sg-alb. Nadie más puede hablarle a la aplicación.
  3. 3

    sg-db

    Permite 5432 solo desde sg-app. La base de datos solo conoce a la aplicación.

Quiz

Pon a prueba lo que aprendiste

0 de 3 correctas · 3 sin responder

  1. 1.Una NACL permite la entrada al 443 pero no tiene reglas de salida extra. ¿Qué pasa?

  2. 2.¿Un Security Group puede tener reglas de negar?

  3. 3.La NACL tiene regla 90 negar 45.33.10.0/24 y regla 100 permitir 0.0.0.0/0 al 443. Llega 45.33.10.7 al 443. ¿Qué pasa?