Internet-, NAT- und Egress-Gateways

Subnetze werden abhängig davon öffentlich oder privat, welche Gateways ihr Datenverkehr erreichen kann. AWS stellt mehrere Gateway-Typen bereit, die jeweils eine andere Richtung des Internetzugriffs steuern. Wenn Sie diese verstehen, können Sie genau die Konnektivität erlauben, die jede Schicht benötigt – und nichts darüber hinaus.

Ein Internet-Gateway (IGW) ist eine horizontal skalierte, hochverfügbare Komponente, die eine bidirektionale Kommunikation zwischen einer VPC und dem Internet ermöglicht. Ein Subnetz mit einer Route zum IGW ist öffentlich. Damit Ressourcen über das Internet erreichbar sind, benötigen sie außerdem eine öffentliche IP-Adresse oder eine Elastic IP.

Ein NAT-Gateway (Network Address Translation) ermöglicht Ressourcen in privaten Subnetzen ausgehende Verbindungen ins Internet, etwa für Aktualisierungen oder API-Aufrufe, während eingehende, von außen initiierte Verbindungen blockiert werden. Es befindet sich in einem öffentlichen Subnetz und ermöglicht privaten Instanzen den Internetzugriff, ohne sie aus dem Internet erreichbar zu machen.

Das NAT-Gateway ist der Schlüssel zum Muster „privat, aber verbunden“: Instanzen können Patches abrufen und externe APIs aufrufen, sind aus dem Internet jedoch nicht erreichbar. Dieser einseitige Egress entspricht genau dem Bedarf von Anwendungs- und Datenschichten und schafft ein Gleichgewicht zwischen Funktionalität und Isolation.

Ein NAT-Gateway befindet sich in einer einzelnen AZ. Stellen Sie für mehr Ausfallsicherheit ein NAT-Gateway pro Availability Zone bereit und leiten Sie die privaten Subnetze jeder AZ an ihr lokales NAT weiter. Dadurch vermeiden Sie einen Single Point of Failure, und der Datenverkehr bleibt innerhalb der AZ, was Zuverlässigkeit und Kosten verbessert.

Für IPv6 ist das Egress-only-Internet-Gateway das Gegenstück zu NAT. Es erlaubt ausgehenden IPv6-Datenverkehr von privaten Ressourcen und verhindert gleichzeitig, dass das Internet eingehende IPv6-Verbindungen initiiert. IPv6-Adressen sind global routbar. Daher bietet dieses Gateway den ausgehenden Schutz, den NAT für IPv4 bereitstellt.

Verwenden Sie VPC-Endpunkte, um AWS-Services ohne Internetpfad zu erreichen. Gateway-Endpunkte (für S3 und DynamoDB) und Interface-Endpunkte (PrivateLink) ermöglichen es privaten Instanzen, AWS-APIs über das AWS-Netzwerk aufzurufen. So bleibt der Datenverkehr privat, und für den ausschließlich auf AWS gerichteten Egress ist möglicherweise kein NAT-Gateway erforderlich.

Jeder ausgehende Pfad kann als potenzieller Exfiltrationsweg dienen. Bevorzugen Sie für AWS-Services VPC-Endpunkte gegenüber NAT-zu-Internet und kombinieren Sie NAT mit einer domänenbasierten Filterung durch AWS Network Firewall, wenn ein umfassender Internet-Egress erforderlich ist. Egress zu minimieren und zu prüfen, ist ein grundlegendes Prinzip der Absicherung.

Ordnen Sie das Gateway dem jeweiligen Bedarf zu: IGW für den öffentlichen bidirektionalen Internetzugriff; NAT für privaten IPv4-Zugriff ausschließlich nach außen; egress-only IGW für privaten IPv6-Zugriff ausschließlich nach außen; VPC endpoints für den privaten Zugriff auf AWS-Services. Die richtige Auswahl ist ein häufiges Prüfungsszenario.

Für NAT-Gateways fallen Gebühren pro Stunde und für die Datenverarbeitung an. Wenn Sie AWS-Datenverkehr stattdessen über endpoints leiten, können Sie gleichzeitig Kosten senken und die Sicherheit verbessern. Das sicherste Design ist oft auch das schlankere: weniger Internet-Exposure und weniger Kosten für die Übertragung von Datenverkehr über NAT.

Gateways bestimmen die Konnektivität Ihrer VPC. Verwenden Sie ein IGW nur für die kleinstmögliche öffentliche Schicht, NAT oder ein egress-only IGW für sicheren ausgehenden Zugriff privater Schichten und VPC endpoints, damit AWS-Datenverkehr vollständig aus dem Internet herausgehalten wird. Diese kontrollierte Konnektivität ist ein zentraler Bestandteil einer sicheren VPC.

Wählen Sie das richtige Gateway aus.

Ein Internet-Gateway ermöglicht öffentlichen Subnetzen bidirektionalen Internetzugriff. Ein NAT-Gateway ermöglicht privaten IPv4-Subnetzen Zugriff ausschließlich nach außen. Ein egress-only Internet-Gateway bietet dasselbe für IPv6. Stellen Sie NAT zur Ausfallsicherheit pro AZ bereit. Verwenden Sie VPC endpoints (gateway und interface/PrivateLink), um privat auf AWS-Services zuzugreifen und dadurch sowohl die Angriffsfläche für ausgehenden Datenverkehr als auch NAT-Kosten zu reduzieren.