防火牆與網路隔離

防火牆（Firewall）不是什麼神秘設備，本質就是一張規則清單＋一個守門員：每個經過的封包都被拿來逐條比對規則，決定「放行（Allow）」或「丟棄（Deny）」。

• 一條規則長什麼樣？基本三要素（ch01 的知識直接用上）：協定（TCP/UDP）＋ Port（要進哪個房號）＋ 對象（來源或目的地的 IP/網段，用 CIDR 表示）。例如：「允許 TCP 443 來自 0.0.0.0/0」＝任何人都能走 HTTPS 進來。
• 白名單思維（預設拒絕）：安全設計的鐵律是「沒有明講允許的，一律拒絕」。你只列出「誰可以進來」，其他全部擋掉——而不是列出「誰不能進來」。
• 防火牆可以放在不同位置：單一機器門口（主機型）、整個網段門口（網路型）——這個「放哪裡」的差異就是 SG 與 NACL 的第一個差別。

• 防火牆規則永遠分兩個方向：
  ・Inbound（入站）：別人主動連進來的流量。「誰可以來敲我的門？」
  ・Outbound（出站）：我主動連出去的流量。「我可以去敲誰的門？」
• 方向看的是「誰發起連線」，不是資料流向——你連出去看網頁，網頁內容「流進來」，但這仍算 Outbound 連線的一部分，因為是你發起的。
• 典型設定：網頁伺服器 Inbound 只開 443（誰都能來看網頁）＋ 22 限公司 IP（只有自己人能登入管理）；Outbound 通常較寬鬆（機器要下載更新、呼叫外部 API）。
• 企業內網有時反而嚴管 Outbound：防止中毒的機器把資料偷送出去（資料外洩）。

這是本章最重要、也是 AWS 最高頻考點（SG vs NACL）的地基。問題場景：你的機器 Inbound 只開 443。使用者從 443 連進來，你的回應要送出去——那 Outbound 需要特別開規則嗎？

• Stateful（有狀態）防火牆：記得每一條連線。「這個人是從 443 正常進來的，他的回應放行，不用再查規則。」類比：大樓警衛記得你進來過，你出去時直接放行、不用重新登記。→ 只要設一個方向的規則，回應流量自動放行。
• Stateless（無狀態）防火牆：完全沒有記性，每個封包都當陌生人重新查一次規則清單——進來查一次、回應出去再查一次。類比：每次進出都要重新盤查證件的哨站。→ Inbound 和 Outbound 要分別寫規則，漏寫一邊連線就斷一半。
• Stateless 麻煩在哪？回應流量的來源 Port 是隨機高位 Port（1024~65535，稱 ephemeral ports），所以 Stateless 防火牆的 Outbound 常要開一大段 Port 範圍給回應用——這是實務上常見的坑。

防火牆解決「單點守門」，但好的架構會直接把網路切成不同信任等級的區域——就算一區失守，也不會全軍覆沒（縱深防禦）。

• 公開區（DMZ，非軍事區）：直接面對網際網路的緩衝區，放「必須被外面碰到」的東西：網頁伺服器、負載平衡器。類比：銀行的營業大廳——民眾進得來，但只到櫃檯為止。
• 私有區：外部絕對碰不到的內層，放資料庫、後端服務。類比：銀行的金庫——只有內部人員透過特定通道進出。
• 跳板機（Bastion Host / Jump Box）：管理員要維護私有區的機器怎麼辦？在公開區放一台專門用來「跳」進去的堡壘機：管理員先 SSH 到跳板機，再從跳板機連進私有區。整個私有區只信任跳板機這一個入口，好管控、好稽核（所有人都走同一道門，日誌集中）。

防火牆也分「檢查得多深」（層數是基礎篇 ch01／AWS ch03 講過的 OSI 分層）：

• L3/L4 防火牆（看信封）：只看封包的「信封資訊」——來源/目的 IP（L3）、協定與 Port（L4）。不看內容。快、通用，SG 和 NACL 都屬於這類。
• L7 防火牆／WAF（拆開包裹檢查內容）：看得懂 HTTP，會檢查網址、參數、標頭的實際內容，能擋「信封正常但內容惡意」的攻擊：
  ・SQL Injection：在輸入框塞資料庫指令，騙後端執行（例如在帳號欄輸入 ' OR 1=1-- 試圖騙過登入檢查）。
  ・XSS（跨站腳本）：把惡意 JavaScript 塞進網頁，在其他訪客的瀏覽器執行。
  這些攻擊走的是正常的 443 Port、正常的 IP——L4 防火牆完全看不出異狀，只有拆開內容看的 WAF 擋得住。
• DDoS（分散式阻斷服務）：用海量流量把你淹垮。不是「偷進來」而是「擠爆門口」，防法不同：靠大流量清洗中心吸收。