Internet-Gateway und Routingtabellen

Ein Internet Gateway (IGW) ist eine horizontal skalierte, redundante und hochverfügbare VPC-Komponente, die die Kommunikation zwischen Ihrem VPC und dem Internet ermöglicht. Für Instances mit öffentlichen IPv4-Adressen führt es eine Network Address Translation (NAT) durch: Bei ausgehendem Datenverkehr wird ihre private IP-Adresse in ihre Elastic IP oder automatisch zugewiesene öffentliche IP-Adresse übersetzt; bei eingehendem Datenverkehr wird die Übersetzung rückgängig gemacht. Pro VPC ist ein IGW möglich. Das Anhängen eines IGW an Ihr VPC gewährt den Instances nicht automatisch Internetzugriff – Sie müssen außerdem die Routing-Tabellen aktualisieren und sicherstellen, dass die Instances über öffentliche IP-Adressen verfügen.

Eine Routing-Tabelle ist eine Sammlung von Regeln (Routen), die festlegen, wohin Netzwerkdatenverkehr aus einem Subnetz oder Gateway weitergeleitet wird. Jedes VPC verfügt über eine Hauptrouting-Tabelle, die standardmäßig von allen Subnetzen verwendet wird, sofern Sie ein Subnetz nicht ausdrücklich einer anderen Routing-Tabelle zuordnen. Routen haben ein Ziel (CIDR-Block) und ein Target (local, Internet Gateway, NAT Gateway, Peering-Verbindung usw.). Wenn mehrere Routen zum Ziel eines Pakets passen, wird die spezifischste Route verwendet (Longest-Prefix-Match).

Ein Subnetz ist öffentlich, wenn die ihm zugeordnete Routing-Tabelle eine Route für 0.0.0.0/0 (den gesamten Internetverkehr) enthält, die auf ein Internet Gateway verweist. Um ein Subnetz öffentlich zu machen, sind drei Schritte erforderlich: (1) Erstellen Sie eine benutzerdefinierte Routing-Tabelle mit einer Route 0.0.0.0/0 → IGW; (2) ordnen Sie die Routing-Tabelle dem Subnetz zu; und (3) aktivieren Sie die automatische Zuweisung öffentlicher IPv4-Adressen für das Subnetz, damit darin gestartete Instances automatisch eine öffentliche IP-Adresse erhalten. Erst alle drei Schritte zusammen ergeben ein funktionsfähiges öffentliches Subnetz.

Jede Routing-Tabelle enthält automatisch eine lokale Route (z. B. 10.0.0.0/16 → local), die die Kommunikation zwischen allen Ressourcen innerhalb des VPCs ermöglicht. Diese Route kann weder gelöscht noch geändert werden. Sie stellt sicher, dass Instances in jedem Subnetz des VPCs über private IP-Adressen miteinander kommunizieren können, ohne ein Gateway zu durchlaufen. Für Datenverkehr, der für den CIDR-Bereich des VPCs bestimmt ist, hat die lokale Route immer Vorrang vor benutzerdefinierten Routen.

Wenn ein Paket mehreren Routen in einer Routing-Tabelle entsprechen kann, wählt AWS die Route mit dem spezifischsten Präfix (dem längsten übereinstimmenden Präfix). Beispiel: Wenn Sie Routen für 10.0.0.0/8 → Peering und 10.1.0.0/16 → VPN haben, entsprechen beide Routen einem Paket für 10.1.0.5. Die /16-Route ist jedoch spezifischer (längeres Präfix) und hat Vorrang. Bei gleicher Präfixlänge haben spezifischere Gateway-Typen Vorrang: local > VGW propagated > static. Das Verständnis dieses Prinzips ist beim Entwurf komplexer Netzwerke mit Peering-, VPN- und DX-Verbindungen wichtig.

VPCs unterstützen neben IPv4 auch IPv6-CIDR-Blöcke (von Amazon bereitgestelltes /56). Für den IPv6-Internetzugriff verarbeitet das IGW sowohl IPv4 als auch IPv6. Für ausschließlich ausgehenden IPv6-Datenverkehr (Instances dürfen ausgehende IPv6-Verbindungen initiieren, eingehender Datenverkehr wird jedoch blockiert) verwenden Sie ein Egress-Only Internet Gateway. Es funktioniert ähnlich wie ein NAT Gateway für private IPv4-Subnetze, ist jedoch speziell für IPv6 vorgesehen. Fügen Sie privaten Subnetzen eine Route ::/0 → eigw-xxxxxxxx hinzu, um ausgehenden IPv6-Zugriff zu ermöglichen, ohne die Instances eingehenden IPv6-Verbindungen auszusetzen.

Gateway-Routing-Tabellen sind Routing-Tabellen, die direkt einem Internet Gateway oder Virtual Private Gateway zugeordnet sind (nicht einem Subnetz). Sie ermöglichen das Ingress-Routing – die Untersuchung des Datenverkehrs, der aus dem Internet in das VPC gelangt, bevor er EC2-Instances erreicht. Dies wird für Inline-Sicherheits-Appliances (IDS/IPS, virtuelle Firewall-Appliances) verwendet, die den gesamten eingehenden Datenverkehr sehen müssen: Konfigurieren Sie die IGW-Routing-Tabelle so, dass sie eingehenden Datenverkehr an einen Gateway Load Balancer Endpoint sendet. Dieser verteilt ihn auf Sicherheits-Appliances, die ihn nach der Untersuchung an die Ziel-EC2-Instance weiterleiten.

Wenn Sie ein lokales Netzwerk über VPN oder Direct Connect verbinden, können die Routen des lokalen Netzwerks über die Routenweitergabe automatisch in Ihre VPC-Routing-Tabellen übernommen werden. Aktivieren Sie die Weitergabe in der Routing-Tabelle für das Virtual Private Gateway (VGW). Danach erscheinen alle Routen, die Ihr lokaler Router über BGP bekannt gibt, automatisch in der Routing-Tabelle – eine manuelle Eingabe ist nicht erforderlich. Das ist besonders nützlich in dynamischen Umgebungen, in denen sich die Subnetze des lokalen Netzwerks ändern. Bei statischen VPN-Verbindungen fügen Sie die CIDR-Routen des lokalen Netzwerks manuell hinzu.

Als bewährte Vorgehensweise sollten Sie für jede Ebene separate Routing-Tabellen erstellen: eine für öffentliche Subnetze (mit IGW-Route), eine für private Anwendungs-Subnetze (mit NAT-Gateway-Route) und eine für private Daten-Subnetze (ohne Internet-Route – nur VPC-Endpunkte). Dadurch wird sichergestellt, dass Instances der Datenebene nicht versehentlich das Internet erreichen können, selbst wenn eine falsch konfigurierte Security Group ausgehenden Datenverkehr zulässt – die Routing-Tabelle enthält schlicht keinen Ausgangspfad. Durch die Trennung der Routing-Tabellen lassen sich Netzwerkzugriffsmuster je Ebene außerdem leichter prüfen.

Wenn Sie einen S3- oder DynamoDB-Gateway-VPC-Endpunkt erstellen, fügt AWS den angegebenen Routing-Tabellen automatisch eine Route hinzu. Als Ziel verwendet diese Route die verwaltete Präfixliste des Services, als Target den VPC-Endpunkt. Dadurch wird sichergestellt, dass Datenverkehr von diesen Subnetzen zu S3 oder DynamoDB über das private AWS-Netzwerk statt über das Internet geleitet wird. Gateway-Endpunkte sind kostenlos und können die Kosten für NAT Gateways deutlich senken, wenn Ihre Instances viel S3-Datenverkehr erzeugen. Fügen Sie in Produktions-VPCs den Routing-Tabellen privater Subnetze immer S3- und DynamoDB-Gateway-Endpunkte hinzu.

Eine Blackhole-Route ist eine Route, deren Target nicht erreichbar ist und die absichtlich zum Verwerfen von Datenverkehr verwendet wird. AWS erstellt Blackhole-Routen, wenn das Target einer Route (z. B. eine VPN-Verbindung oder eine Transit-Gateway-Verbindung) gelöscht wird, die Route aber bestehen bleibt. Sie können auch absichtlich Blackhole-Routen erstellen, um bestimmte IP-Bereiche innerhalb Ihres VPCs zu blockieren. Dies ist ein Mechanismus zur Steuerung des Datenverkehrs auf Netzwerkebene und unterscheidet sich von Security Groups und NACLs. In AWS sind Blackhole-Routen in der Konsole sichtbar, wenn ein von einer Route referenzierter Endpunkt oder ein Gateway nicht mehr verfügbar ist.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion für AWS Solutions Architect (SAA-C03).

In dieser Lektion haben Sie gelernt: Ein Internet Gateway ermöglicht die Kommunikation eines VPCs mit dem Internet und muss an das VPC angehängt sowie in der Routing-Tabelle eines Subnetzes über eine 0.0.0.0/0-Route referenziert werden; Routing-Tabellen steuern die Richtung des Datenverkehrs mithilfe von Ziel-Target-Paaren mit Priorität nach dem Longest-Prefix-Match; und separate Routing-Tabellen pro Subnetzebene erzwingen durch die Architektur eine Isolation des Datenverkehrs. Als Nächstes behandeln wir NAT Gateways für den Internetzugriff privater Subnetze.