Redes de VPC y reglas de cortafuegos

Cada regla de cortafuegos de VPC tiene una prioridad entre 0 y 65535, y gana la de número menor; si no se indica, es 1000. Además existen dos reglas implícitas que no se ven: se deniega todo el tráfico de entrada y se permite todo el de salida. Cualquier regla explícita las anula. Las reglas tienen estado: si se permite una conexión de entrada, la respuesta sale sin otra regla.

Cuando dos reglas se contradicen, se evalúa la de prioridad más baja en número. Solo si tienen la misma prioridad una denegación gana a un permiso. Por eso una denegación con prioridad 900 no protege nada frente a un permiso con prioridad 100.

Abre el laboratorio. reglas-de-cortafuegos.json trae las reglas de las dos redes del proyecto de planta. En la red de planta, la base de datos está protegida por una denegación del puerto 5432 desde cualquier origen, con la etiqueta db. Una regla de permiso con una prioridad más baja que la de la denegación, y que aplique a las mismas máquinas, la deja sin efecto.

El rango 0.0.0.0/0 significa cualquier dirección de origen. Una regla de ingreso con ese origen y acción de permiso deja entrar a cualquiera, tanto si es una de las que Google crea en la red por defecto como si la escribió un técnico. Las reglas de egreso usan destinationRanges, y las de denegación no cuentan: no abren nada.

Cuenta en todo el archivo las reglas de ingreso de permiso con origen 0.0.0.0/0.

Una regla con targetTags solo afecta a las instancias que lleven esa etiqueta. Para saber si una regla es un riesgo real hay que cruzarla con las instancias: cuáles llevan la etiqueta y cuáles, además, tienen una dirección IP pública, que es lo que las hace alcanzables desde internet. En instancias.txt cada fila trae las etiquetas y la IP pública.

Una regla puede apuntar a máquinas por etiqueta de red o por la cuenta de servicio con la que corren (no por las dos a la vez). Las etiquetas son cómodas, pero las puede añadir o quitar cualquiera que tenga permiso para editar la instancia, sin pedir nada más. Con cuentas de servicio, usar una cuenta exige además el permiso de adjuntarla, que se controla aparte en IAM.