تصميم الشبكات الفرعية العامة والخاصة

تُعد Virtual Private Cloud (VPC) شبكتكم المعزولة منطقيًا في AWS. وداخلها تنشئون شبكات فرعية، وهي نطاقات من عناوين IP مرتبطة بمنطقة توافر واحدة. ويُعد تقسيم VPC إلى شبكات فرعية أول قرار أمني وأهمه، لأنه يحدد ما يمكنه الوصول إلى ماذا.

تحتوي الشبكة الفرعية العامة على مسار إلى بوابة إنترنت، ولذلك يمكن الوصول إلى الموارد الموجودة فيها من الإنترنت، ويمكنها الوصول إليه. أما الشبكة الفرعية الخاصة فلا تحتوي على مسار مباشر إلى الإنترنت. ويُحدَّد الفرق بالكامل بواسطة جدول التوجيه، وليس بأي خاصية للشبكة الفرعية نفسها.

لا ينبغي وضع سوى الموارد التي يجب أن تواجه الإنترنت في الشبكات الفرعية العامة: موازنات التحميل وبوابات NAT وبدائل bastion. ويؤدي إبقاء هذه الطبقة محدودة إلى تقليص سطح الهجوم. ويجب ألا توجد خوادم التطبيقات وقواعد البيانات في شبكة فرعية عامة يمكن للإنترنت الوصول إليها مباشرة.

ضعوا خوادم التطبيقات وقواعد البيانات والخدمات الداخلية في شبكات فرعية خاصة. ولا يزال بإمكانها تقديم حركة المرور عبر موازن تحميل في الشبكة العامة والوصول إلى الإنترنت للتحديثات من خلال NAT، لكنها لا تكون قابلة للعنونة مباشرةً من الخارج، مما يقلل التعرض بدرجة كبيرة.

يستخدم التخطيط الآمن الشائع ثلاث طبقات: شبكة فرعية عامة لموازنات التحميل، وشبكة فرعية خاصة للتطبيق للحوسبة، وشبكة فرعية خاصة للبيانات لقواعد البيانات. وتتدفق حركة المرور إلى الداخل طبقةً تلو الأخرى، ولا تقبل كل طبقة إلا الاتصالات الواردة من الطبقة التي تسبقها.

لتحقيق المرونة، انسخوا الشبكات الفرعية عبر عدة مناطق توافر (AZs). ويسمح وجود زوج من الشبكات الفرعية العامة والخاصة في كل منطقة توافر لموازنات التحميل وأحمال العمل بالاستمرار عند فقدان إحدى المناطق. وهذه ممارسة للتوافر العالي تدعم أيضًا التصميمات الآمنة والمتكررة.

خططوا كتل CIDR بحيث لا تتداخل الشبكات الفرعية، واتركوا مساحة للنمو. وتجعل النطاقات المدروسة وغير المتداخلة التوجيه والربط البيني ومراجع قواعد الأمان أكثر وضوحًا. أما تداخل CIDR بين VPCs فيؤدي لاحقًا إلى منع الربط البيني وتعقيد الاتصال، ولذلك خططوا لمساحة العناوين بعناية منذ البداية.

يُعد تصميم الشبكات الفرعية ضابطًا أمنيًا لأنه يتيح لكم عزل أحمال العمل الحساسة. فشبكة فرعية للبيانات لا تحتوي على مسار إلى الإنترنت ولا على مسار وارد إلا من طبقة التطبيقات تكون محمية بنيويًا، حتى قبل إضافة مجموعات الأمان. وتفرض البنية هذا الحد الفاصل، وليس القواعد وحدها.

تحدد الشبكات الفرعية موضع تطبيق قوائم التحكم بالوصول إلى الشبكة، لأن NACLs ترتبط بحدود الشبكة الفرعية. ويمنح الجمع بين الشبكات الفرعية المصممة جيدًا وNACLs على مستوى الشبكة الفرعية ومجموعات الأمان على مستوى الموارد نموذجًا شبكيًا متعدد الطبقات للدفاع المتعمق، وهو النموذج المتوقع في اختبار SCS-C02.

الخطأ الشائع هو وضع قاعدة بيانات في شبكة فرعية عامة أو منح مثيلات خاصة عناوين IP عامة بدافع التسهيل. فكلا الخيارين يعرّض موارد ينبغي أن تبقى داخلية للخطر. اجعلوا الإعداد الافتراضي هو الوضع الخاص، وبرروا صراحةً وجود كل مورد في شبكة فرعية عامة.

يُعد التصميم السليم للشبكات الفرعية العمود الفقري لـ VPC آمن. فمن خلال فصل الموارد المواجهة للإنترنت عن الموارد الداخلية، والامتداد عبر مناطق التوافر، تبنون العزل والمرونة داخل الشبكة نفسها، وهي الأساس الذي تبني عليه البوابات وجداول التوجيه وجدران الحماية.

يُقسَّم VPC إلى شبكات فرعية مرتبطة بمناطق التوافر. ولا تكون الشبكة الفرعية عامة إلا عندما يصل جدول توجيهها إلى بوابة إنترنت؛ وإلا فهي خاصة. أبقوا موازنات التحميل وNAT فقط في الشبكات العامة، وضعوا طبقتي التطبيقات والبيانات في شبكات خاصة. استخدموا نمط الطبقات المتعددة عبر مناطق توافر عدة، مع CIDR مخطط وغير متداخل، بحيث يُبنى العزل داخل البنية نفسها.