📅 Day 14 | AWS NACL — AWS의 서브넷 수준 보안 🔐

Source: Dev.to

개요

• 서브넷 수준 방화벽 – 개별 EC2 인스턴스가 아니라 서브넷에 연결됩니다.
• 무상태(stateless) – 인바운드와 아웃바운드 규칙이 독립적으로 평가되며, 반환 트래픽을 명시적으로 허용해야 합니다.
• ALLOW 및 DENY 규칙 지원 – 규칙 순서가 중요합니다(숫자가 낮은 것이 먼저 평가됨).
• 기본 NACL – 모든 트래픽을 허용합니다.
• 사용자 정의 NACL – 명시적으로 허용하지 않으면 모든 트래픽을 차단합니다.

주요 기능

NACL 작동 방식

1. 첨부 – NACL은 하나 이상의 서브넷에 연결됩니다.
2. 무상태 특성 – 포트에 대한 인바운드 트래픽을 허용하면, 응답 트래픽을 위한 아웃바운드 규칙도 별도로 생성해야 합니다.
3. 규칙 평가 – 트래픽과 일치하는 첫 번째 규칙(규칙 번호 기준)이 동작을 결정합니다.
4. 기본 vs. 사용자 정의 – 기본 NACL은 모든 트래픽을 허용하고, 사용자 정의 NACL은 원하는 트래픽을 명시적으로 허용해야 하며 나머지는 암묵적으로 차단됩니다.

예시 시나리오

퍼블릭 서브넷

프라이빗 서브넷

보안 그룹과의 비교

샘플 규칙 집합

팁: vpc_id, CIDR 블록 및 규칙 번호를 환경에 맞게 조정하세요.

Terraform 예시

resource "aws_network_acl" "public_nacl" {
  vpc_id = aws_vpc.main.id
  tags = {
    Name = "public-nacl"
  }
}

resource "aws_network_acl_rule" "allow_http_in" {
  network_acl_id = aws_network_acl.public_nacl.id
  rule_number    = 100
  egress         = false
  protocol       = "6"   # TCP
  rule_action    = "allow"
  cidr_block     = "0.0.0.0/0"
  from_port      = 80
  to_port        = 80
}

resource "aws_network_acl_rule" "allow_https_in" {
  network_acl_id = aws_network_acl.public_nacl.id
  rule_number    = 110
  egress         = false
  protocol       = "6"
  rule_action    = "allow"
  cidr_block     = "0.0.0.0/0"
  from_port      = 443
  to_port        = 443
}

resource "aws_network_acl_rule" "allow_ssh_in" {
  network_acl_id = aws_network_acl.public_nacl.id
  rule_number    = 120
  egress         = false
  protocol       = "6"
  rule_action    = "allow"
  cidr_block     = "0.0.0.0/0"
  from_port      = 22
  to_port        = 22
}

resource "aws_network_acl_rule" "allow_all_out" {
  network_acl_id = aws_network_acl.public_nacl.id
  rule_number    = 1000
  egress         = true
  protocol       = "-1"  # all protocols
  rule_action    = "allow"
  cidr_block     = "0.0.0.0/0"
  from_port      = 0
  to_port        = 0
}

참고 자료 및 추가 읽을거리

• GitHub 저장소:
• Dev.to 블로그 포스트:
• LinkedIn 기사:
• 이력서(Google Drive): (선택 사항)