حماية الشبكة وتحسين التكلفة

سؤالان يصلان مكتب مهندس CloudOps بانتظام، ولا واحد منهما له جواب تقرأه من صفحة كونسول. الأول من فريق الامتثال: هل هذا الحساب محمي فعلاً؟ والثاني من فريق المالية: ما هذا البند الشبكي في الفاتورة؟ ويجيب هذا الموضوع الاثنين، لأنهما في النهاية النوع نفسه من التحقيق: تتبّع مسار، وفحص ما يحدث عند كل نقطة عليه.

ما الذي يغطيه هذا الموضوع

• خدمات حماية الشبكة الأربع والحركة المختلفة التي يراها كل منها: AWS WAF على طلبات HTTP، وShield على هجمات DDoS، وNetwork Firewall عند محيط VPC، وRoute 53 Resolver DNS Firewall على استعلامات DNS الصادرة
• إطار تدقيق واحد يصلح لها كلها: هل هي منشورة، وهل هي مرتبطة بما تظنّه، وهل تنفّذ أم تراقب فقط، وهل تستطيع إثبات ما فعلته
• الإعدادات التي تجعل الضابط يبدو سليماً بينما يسمح بكل شيء: web ACLs بلا ارتباط، وتجاوزات مجموعات القواعد المتروكة على Count، ومسارات Network Firewall التي لا ترسل إليه حركة، وقواعد DNS Firewall الباقية على Alert
• إعدادات DNS Firewall التي تقرّر السلوك عند الإخفاق، ومنها الافتراضي المغلق والردّ SERVFAIL
• الأشكال الثلاثة لرسوم الشبكة: الرسوم بالساعة على المورد، ورسوم المعالجة لكل GB، ورسوم نقل البيانات لكل GB، وكيف يلتقط جيجابايت واحد عدداً منها
• قراءة إنفاق الشبكة من نوع الاستخدام على بند الفاتورة، ومتى تلجأ إلى Cost Explorer أو تقرير التكلفة والاستخدام أو VPC flow logs
• الحساب الذي يحكم القرارات الشائعة: gateway endpoints مقابل بوابات NAT، وinterface endpoints مقابل بوابات NAT، وبوابة NAT واحدة مقابل واحدة لكل منطقة توفّر، وTransit Gateway مقابل peering

لماذا هذا مهم

تسمّي المهمّة 5.1 في اختبار SOA-C03 كلتا المهارتين مهارة قائمة بذاتها، وكلتاهما مكتوبة عملاً تشغيلياً لا عمل تصميم. فأنت لست مطالباً باختراع معمارية جدار ناري، بل بفحص واحدة قائمة وبتفسير فاتورة.

والمردود في العمل أكبر ممّا يوحي به وزن الاختبار. فخدمة حماية نُشرت ولم تُنقَل يوماً من وضع التجربة ضابط موجود على الورق وحده، وهو نوع الثغرات التي تُكتشَف أثناء حادثة لا قبلها. وعلى جانب التكلفة، رسوم الشبكة هي التي لا يملكها أحد، لأن لا فريق بعينه وفّرها، وبوابة NAT تعالج حركة يستطيع gateway endpoint مجاني حملها هي مال يُنفَق بلا أي مقابل.