جداول التوجيه كعناصر تحكم أمنية

إن route table مجموعة من القواعد التي تحدد وجهة توجيه حركة مرور الشبكة من شبكة فرعية. وبالإضافة إلى توفير الاتصال، تُعد جداول التوجيه security control: فمن خلال التحكم في الوجهات التي يمكن لشبكة فرعية الوصول إليها، تحددون ما يمكن حدوثه أصلًا قبل تطبيق أي قاعدة جدار ناري.

يربط كل مسار بين destination CIDR وtarget مثل internet gateway أو NAT gateway أو peering connection أو transit gateway. تستخدم AWS most specific matching route لكل حزمة. ويكون المسار المحلي لـ CIDR الخاص بـ VPC موجودًا دائمًا ولا يمكن حذفه.

إن وجود مسار إلى internet gateway أو غيابه هو ما يجعل الشبكة الفرعية عامة أو خاصة. تؤدي إزالة هذا المسار فورًا إلى تحويل الشبكة الفرعية إلى شبكة خاصة. لذلك فإن جداول التوجيه، وليس إعدادات الشبكة الفرعية، هي المحدد الحقيقي للتعرّض للإنترنت.

ترتبط كل شبكة فرعية بـ one route table بالضبط، مع إمكانية خدمة جدول توجيه واحد لعدة شبكات فرعية. وتستخدم الشبكات الفرعية التي لا تملك ارتباطًا صريحًا main route table الخاصة بـ VPC. إن إبقاء الشبكات الفرعية العامة والخاصة على جداول توجيه منفصلة يجعل قواعد الوصول واضحة وقابلة للتدقيق.

لعزل شبكة فرعية للبيانات، امنحوها جدول توجيه لا يحتوي no internet or NAT route at all، بل على المسار المحلي لـ VPC فقط. يمكن لهذه الشبكة الفرعية التواصل داخل VPC، لكنها لا تملك مسارًا إلى الإنترنت في أي من الاتجاهين، مما يفرض العزل هيكليًا بدل الاعتماد على قواعد الجدار الناري وحدها.

عند إنشاء gateway VPC endpoint لـ S3 أو DynamoDB، تضيف AWS مسارًا إلى نقطة النهاية في جداول التوجيه ذات الصلة. يوجّه ذلك حركة المرور الخاصة بخدمة AWS عبر نقطة النهاية الخاصة بدلًا من الإنترنت، وهو تغيير في التوجيه يتيح الوصول الخاص ويحميه في الوقت نفسه.

يمكن لجداول التوجيه إجبار حركة المرور على المرور through an inspection appliance or AWS Network Firewall قبل مغادرتها VPC. ومن خلال توجيه حركة الخروج من شبكة فرعية إلى نقطة نهاية جدار ناري بدلًا من NAT مباشرة، تضمنون فحص كل حزمة صادرة. وهكذا يفرض التوجيه مكان إجراء الفحوص الأمنية.

للوصول إلى VPC أخرى، يجب أن يشير المسار إلى peering connection أو transit gateway. يؤدي حذف هذا المسار إلى إبقاء الشبكات منفصلة. وقد تؤدي إضافة مسارات واسعة جدًا إلى فتح مسارات غير مقصودة بين البيئات، لذا ينبغي أن تكون إدخالات المسارات محددة بقدر الاتصال الذي تقصدونه فعلًا.

إن المسار المتساهل أكثر من اللازم، مثل توجيه 0.0.0.0/0 إلى internet gateway في طبقة يفترض أن تكون خاصة، يحوّل تلك الطبقة إلى عامة دون تنبيه. يُعد تدقيق جداول التوجيه بحثًا عن unexpected internet or cross-VPC routes جزءًا مهمًا من تأمين VPC.

اجمعوا بين التوجيه وNACLs ومجموعات الأمان: تحدد جداول التوجيه what paths exist، بينما تحدد NACLs ومجموعات الأمان what traffic is allowed عبر تلك المسارات. وتظل الوجهة التي لا تملك مسارًا غير قابلة للوصول بغض النظر عن قواعد الجدار الناري، مما يجعل التوجيه الطبقة الخارجية للتحكم في الشبكة.

تعاملوا مع جداول التوجيه باعتبارها حدًا أمنيًا مقصودًا. استخدموها لتحديد الفرق بين العام والخاص، وعزل الشبكات الفرعية الحساسة، وتوجيه حركة المرور عبر الفحص، والتحكم في الوصول بين VPCs. وتُعد مراجعة المسارات بحثًا عن مسارات غير مقصودة مهمة بقدر مراجعة قواعد الجدار الناري.

طبّقوا مفاهيم الأمان الخاصة بجداول التوجيه.

تربط Route tables بين destination CIDRs وtargets، وتستخدم most specific match؛ ويكون المسار المحلي لـ VPC موجودًا دائمًا. وهي define public versus private من خلال مسار internet-gateway، وتعزل الشبكات الفرعية الحساسة (المسار المحلي فقط)، وتوجّه حركة المرور إلى VPC endpoints أو inspection firewalls، وتتحكم في الوصول بين VPCs عبر مسارات الاقتران أو العبور. دقّقوا المسارات بحثًا عن مسارات إنترنت أو مسارات بين VPCs غير مقصودة.