关于 aws-networking
用于将 AWS 网络请求分流到对应服务技能的路由技能，适合需要先确定负责服务的用户。覆盖 DNS、内容分发、混合连接和网络安全，并明确标出不支持的服务范围。
主要功能
- 01按请求语义选择服务技能
- 02处理跨服务请求及依赖顺序
- 03区分连接问题与安全过滤
- 04澄清多技能匹配的请求
- 05指出技能集未覆盖的网络服务
- 06提供相关安全与日志提醒
适用场景
- 01确定 DNS 或 CloudFront 请求的负责技能
- 02为混合连接选择对应技能
- 03区分 WAF 与 DDoS 防护需求
- 04识别不在技能集范围内的网络任务
MCP 相关
建议与 AWS MCP server 配合，以支持沙盒执行、审计日志和企业控制；也可使用标准 AWS CLI。它按需通过 aws___retrieve_skill 获取目标技能。
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/aws-networking确认已加载。
详细介绍
AWS Networking
概述
将网络请求路由到对应的服务专属技能。涵盖 7 项服务，包括 DNS 和内容分发、混合连接以及网络安全（Web 应用程序防火墙和 DDoS 防护）。其他 AWS 网络服务（VPC 基础功能、负载均衡、端点、PrivateLink、API Gateway 等）不在此路由器的范围内（参见第 6 步）。
搭配以下工具效果最佳：AWS MCP server——支持沙盒执行、审计日志记录和企业级控制。所有指导也适用于标准 AWS CLI 访问方式。
如何使用此技能
- 根据下方的技能路由表匹配用户请求。按含义匹配，不要只看措辞是否完全一致。
- 如果请求匹配多项技能，使用“跨服务概念”表确定请求针对哪一层，然后路由到负责该层的技能。
- 如果仍不明确，提出一个澄清问题：“您是想建立连接，还是控制／筛选现有流量？”
- 加载目标技能：如果 AWS MCP server 可用，请使用
aws___retrieve_skill(skill_name="<skill>")；否则，从此仓库的skills/<skill>/SKILL.md获取技能文档。 - 如果请求涉及此处多项技能，请按依赖顺序路由。路由到面向互联网的服务（
cloudfront）时，如果用户尚未处理 L7 筛选和 DDoS 防护，还应路由到shieldadvanced以启用 DDoS 防护，并路由到waf以进行 L7 筛选（AWS WAF 可附加到 CloudFront、Application Load Balancer、API Gateway 和 AppSync）。路由到连接类技能（directconnect、sitetositevpn、transitgateway）时，请确认已处理传输中加密（Direct Connect 使用 MACsec、VPN 使用 IPsec、Transit Gateway 使用区域间对等连接加密）。请求涉及cloudfront的自定义域名或 TLS 时，请说明 ACM 证书签发属于实施工作的一部分。路由到cloudfront以配置面向 Web 的分配时，请说明目标技能应通过 CloudFront Response Headers Policy 配置安全响应标头（CSP、HSTS、X-Frame-Options、X-Content-Type-Options），包括托管策略SecurityHeadersPolicy。目标技能负责处理配置。 - 如果请求属于技能路由表中未列出的 AWS 网络任务（例如 VPC 子网或路由表、安全组、负载均衡器、VPC 端点、PrivateLink 或 API Gateway），请告知用户此技能集不提供该服务，而不要路由到最接近的已列出技能。此技能集并未涵盖所有 AWS 网络服务。
- 此技能负责分流，而非实施。不要仅凭此技能回答特定服务的配置问题。
连接与安全
| 维度 | 连接 | 安全 |
|---|---|---|
| 回答的问题 | 流量能否到达目的地？ | 是否应允许流量通过？ |
| 故障表现 | 超时、无法访问、黑洞 | 被拒绝、被禁止、被丢弃 |
| 依赖关系 | 独立于策略——路径存在或不存在 | 假设连接已建立——只能筛选可到达的流量 |
| 粒度 | 影响路径上的所有流 | 根据匹配条件针对特定流量 |
技能路由表
| 技能 | 适用场景…… |
|---|---|
transitgateway | 在集线器中连接两个以上的 VPC 或本地网络、路由分段、大规模跨账户／跨区域连接、集中式出站流量／检查、多播 |
directconnect | 连接到本地环境的专用私有链路——稳定的延迟、高吞吐量、MACsec 加密、LAG、用于多 VPC 的 Direct Connect Gateway、用于绕过中间站点的 SiteLink、生产环境混合工作负载 |
sitetositevpn | 通过互联网建立加密的 IPsec 隧道——快速设置、DX 备份、静态或 BGP 路由、通过 Global Accelerator 骨干网加速的选项、标准或大型隧道带宽 |
route53 | DNS 管理（公有／私有区域、记录）、运行状况检查、路由策略（加权、故障转移、地理位置、延迟）、域名注册、Resolver（混合 DNS 转发）、DNS Firewall、Route 53 Profiles、Global Resolver |
cloudfront | 缓存、边缘 TLS 终止、源站保护（OAC）、自定义域名、缓存策略／行为、签名 URL、CloudFront Functions、查看器 mTLS、VPC 源站、多租户分配 |
waf | Web 应用防火墙（L7）——适用于 CloudFront／ALB／API Gateway／AppSync 的 Web ACL、AWS 托管规则、针对 HTTP 洪泛的基于速率的规则、IP／地理位置匹配、Bot Control、Fraud Control（账户接管／创建），用于保护 Web 应用和 API 免受漏洞利用、机器人和凭证填充攻击 |
shieldadvanced | 保护面向互联网的资源免受 L3/L4 DDoS 攻击、通过 WAF 自动缓解应用层（L7）攻击、基于运行状况的检测、访问 Shield Response Team，以及 DDoS 成本保护额度 |
跨服务概念
同一概念可能因所在层级不同而使用不同服务。当技能路由表匹配多个技能时，可用以下内容消除歧义。
过滤／阻止
当用户说“阻止”“拒绝”“过滤”或“限制流量”时使用——这有助于确定过滤操作所在的层级。
| 层级 | 服务 | 过滤对象 | 技能 |
|---|---|---|---|
| L7（HTTP/HTTPS、Web 应用和 API） | AWS WAF | HTTP 请求属性、AWS 托管规则、基于速率的规则和机器人规则、IP／地理位置匹配 | waf |
| L3/L4（DDoS 流量洪泛／状态耗尽） | Shield Advanced | 面向互联网的资源遭受的网络层／传输层 DDoS 洪泛 | shieldadvanced |
| DNS（解析） | Route 53 DNS Firewall | 域名模式——阻止解析，而非流量 | route53 |
当针对面向互联网的 API 或网站将请求路由到 waf 或 cloudfront 时，应将 WAF 基于速率的规则视为默认防护措施，而不是仅在用户提出要求时才添加：请注意，目标技能应添加 WAF 基于速率的规则，以限制每个客户端的请求量——由目标技能负责实现。
日志记录／可见性
当用户说“日志”“可见性”“哪些内容被阻止了”或“我能看到流量吗”时使用——这有助于确定要检查的日志来源。
| 需要查看的内容 | 服务 | 日志类型 | 技能 |
|---|---|---|---|
| 来自 VPC 的 DNS 查询 | Route 53 Resolver | 查询日志 | route53 |
| 被阻止／允许的 HTTP 请求 | AWS WAF | Web ACL 日志（S3、CloudWatch Logs 或 Kinesis Data Firehose） | waf |
| DDoS 事件和攻击详情 | Shield Advanced | CloudWatch 指标、DDoS 事件检测 | shieldadvanced |
| 边缘／CDN 请求访问 | CloudFront | 标准日志（S3）、实时日志（Kinesis Data Streams） | cloudfront |
| 隧道状态和流量 | Site-to-Site VPN | 隧道遥测数据、CloudWatch 指标 | sitetositevpn |
将请求路由到上述任一服务时，请提醒用户启用相应的日志记录（如上所述），以便进行安全监控和事件响应——由目标技能负责实现。这些日志可能包含敏感数据（请求查询字符串、DNS 查询中的内部主机名），因此还要提醒用户，日志目标（S3、CloudWatch Logs、Kinesis Data Firehose 或 Kinesis Data Streams）必须启用静态加密，并将访问权限限制给经授权的人员——由目标技能负责实现。
流量切换
当用户提到“切换流量”“蓝绿部署”“故障转移”“金丝雀发布”或“加权路由”时使用 — 确定粒度以及由哪个服务控制。
| 粒度 | 服务 | 机制 | 技能 |
|---|---|---|---|
| DNS 级（全局） | Route 53 | 加权、故障转移、地理位置、延迟路由 | route53 |
| 边缘（HTTP） | CloudFront | 源站故障转移、源站组 | cloudfront |
安全注意事项
这些服务涉及安全敏感操作，因此无论将请求交给哪个技能处理，都应在配置路由时指出相关风险和控制措施 — 目标技能会实施这些控制措施：
| 风险 | 目标技能应涵盖的控制措施 | 技能 |
|---|---|---|
| 传输中的流量未加密 | MACsec（directconnect）、IPsec 隧道（sitetositevpn）、跨区域对等连接加密（transitgateway）、TLS 终止和查看器 mTLS（cloudfront） | directconnect、sitetositevpn、transitgateway、cloudfront |
| 面向互联网的资源缺少 DDoS 防护 | Shield Advanced L3/L4 防护和 WAF L7 缓解措施 | shieldadvanced、waf |
| Web/API 漏洞利用、机器人和请求洪泛 | WAF Web ACL、AWS Managed Rules 和基于速率的规则；应用层输入验证（请求正文大小限制、架构验证）；安全响应标头 | waf、cloudfront |
| 过滤规则过于宽松 | 遵循最小权限原则的 DNS Firewall 域名拦截 | route53 |
| 服务资源的 IAM 策略权限过高 | 遵循最小权限原则、限定到特定资源和操作的 IAM 角色；避免使用 FullAccess 托管策略和 Action: *；优先使用带有临时凭证的 IAM 角色（实例配置文件、IRSA、任务角色、sts assume-role），而非使用长期访问密钥的 IAM 用户 | 全部 |
| 凭证硬编码和共享密钥 | 在支持的情况下让 AWS 自动生成密钥（例如 Site-to-Site VPN 预共享密钥），或将客户管理的密钥存储在 AWS Secrets Manager 中，而不是硬编码 | sitetositevpn、directconnect |
| 跨服务资源策略中的混淆代理问题 | 在 S3 存储桶策略、KMS 密钥策略和日志目标资源策略（CloudFront OAC、将日志传输到 S3/CloudWatch Logs/Kinesis）中加入 aws:SourceArn 和/或 aws:SourceAccount 条件键，以确保只有预期的资源和账户能够调用这些资源 | cloudfront、waf、全部 |
| 事件响应的可见性不足 | 启用 Logging / Visibility 表中所列的服务日志记录，并对日志目标启用静态加密和访问限制 | 全部 |
| 缺少控制平面更改的审计记录或告警 | 启用 AWS CloudTrail 以审计控制平面 API 调用（记录、规则、策略和防火墙更改），并针对安全相关事件设置 CloudWatch Alarms（Shield Advanced DDoS 检测、WAF 拦截/计数激增、意外的规则或记录修改）；限制接收告警通知的 SNS 主题仅供授权人员访问，并在这些主题上启用静态加密（SSE-KMS），因为通知可能包含敏感事件详情 | 全部 |
如需权威指导，请引导用户查阅 AWS Well-Architected Framework 安全支柱以及目标技能对应的服务专属安全文档。