تأمين VPC Peering وTransit Gateway

غالبًا ما تمتد أعباء العمل عبر عدة VPCs تحتاج إلى التواصل. توفر AWS طريقتين أساسيتين لتوصيلها: VPC peering وTransit Gateway. تنشئ كل منهما مسارات جديدة بين الشبكات، لذا يجب تكوين كل منهما بعناية لتجنب فتح وصول يتجاوز ما هو مقصود.

تربط VPC peering connection بين VPCs اثنتين، بحيث يمكن للموارد التواصل باستخدام عناوين IP خاصة كما لو كانت على الشبكة نفسها. والاقتران علاقة واحد لواحد ويستخدم العمود الفقري لـ AWS، وليس الإنترنت العام مطلقًا. تظل حركة المرور خاصة، لكنكم تواصلون التحكم في إمكانية الوصول باستخدام المسارات وقواعد الأمان.

حقيقة أساسية: VPC peering is not transitive. إذا اقترنت VPC A بـ B واقترنت B بـ C، فلا يمكن لـ A الوصول إلى C عبر B. يحتاج كل زوج إلى peering connection خاصة به. يحد هذا الطابع غير المتعدي من الانتشار غير المقصود، لكنه يجعل إدارة شبكات تضم عددًا كبيرًا من VPCs معقدة عند الاعتماد على الاقتران وحده.

لا تمنح peering connection وحدها أي وصول؛ بل يجب إضافة routes على الجانبين والسماح بحركة المرور باستخدام security groups and NACLs. أضيفوا مسارات إلى CIDRs المحددة التي تحتاج إلى التواصل فقط، وليس إلى VPC بأكملها، للحفاظ على فتحة الاتصال بين VPCs بأضيق نطاق ممكن.

إن AWS Transit Gateway (TGW) محور إقليمي يربط العديد من VPCs والشبكات المحلية عبر بوابة واحدة. فبدلًا من تشابك اتصالات الاقتران، ترتبط كل VPC مرة واحدة بـ TGW الذي يوجّه الحركة بينها. وهو يتوسع بدرجة أفضل بكثير من الاقتران الشبكي الكامل في البيئات الكبيرة.

يمتلك Transit Gateway route tables خاصة به، تتحكم في المرفقات التي يمكنها الوصول إلى بعضها. ومن خلال ربط المرفقات بجداول توجيه TGW محددة ونشر مسارات مختارة فقط، يمكنكم segment الشبكة، والسماح لبعض VPCs بالتواصل مع عزل أخرى، وكل ذلك مركزيًا.

يتيح تقسيم جدول توجيه TGW إنشاء مناطق أمنية: فعلى سبيل المثال، يمكن إرفاق VPCs الخاصة بالإنتاج والتطوير بـ TGW نفسه، لكن وضعها في نطاقي توجيه منفصلين بحيث لا يمكنها الوصول إلى بعضها. ويُعد هذا التحكم المركزي أوضح من الحفاظ على العزل عبر العديد من اتصالات الاقتران الفردية.

يمكنكم توجيه حركة المرور بين VPCs وحركة الخروج عبر central inspection VPC متصلة بـ TGW وتشغّل AWS Network Firewall. تمر كل حركة المرور بين المقاطع عبر الفحص، مما يوفر نقطة اختناق واحدة لفرض السياسة وتسجيلها عبر الشبكة بأكملها.

يتمثل الخطر الرئيسي في كل من الاقتران وTGW في إنشاء unintended connectivity. فقد تسمح المسارات الواسعة جدًا أو النشر غير المدروس لجداول التوجيه للبيئات بالوصول إلى بعضها، رغم وجوب بقائها منفصلة. راجعوا جداول توجيه TGW ومسارات الاقتران بانتظام للتأكد من وجود المسارات المقصودة فقط.

يتطلب كل من الاقتران وTGW وجود non-overlapping CIDR ranges بين VPCs المتصلة، لأن التوجيه يعتمد على عناوين فريدة. وهذا سبب آخر للتخطيط لمساحة العناوين بعناية منذ البداية؛ إذ تمنع النطاقات المتداخلة الاتصال وتفرض حلولًا التفافية معقدة لاحقًا.

استخدموا VPC peering لعدد قليل من VPCs التي تحتاج إلى اتصالات بسيطة ومباشرة ومنخفضة التكلفة. واستخدموا Transit Gateway عند وجود العديد من VPCs، أو الحاجة إلى التقسيم والفحص المركزيين، أو توصيل الشبكات المحلية عبر VPN or AWS Direct Connect. وفي كلتا الحالتين، تحكموا في الوصول باستخدام مسارات ضيقة وتأكدوا من عدم فتح مسارات غير مقصودة.

طبّقوا معارفكم حول الاقتران وTransit Gateway.

يربط VPC peering بين VPCs اثنتين بشكل خاص، لكنه not transitive ويحتاج إلى مسارات وقواعد أمان على الجانبين. أما Transit Gateway فهو محور إقليمي يربط العديد من VPCs والشبكات المحلية، مع route tables خاصة به لتحقيق segmentation والفحص المركزي عبر VPC تحتوي على جدار ناري. ويتطلب كلا الخيارين non-overlapping CIDRs؛ دقّقوا المسارات لمنع المسارات غير المقصودة بين البيئات.