Protección del peering de VPC y Transit Gateway

A menudo, las cargas de trabajo abarcan varias VPC que deben comunicarse. AWS ofrece dos formas principales de conectarlas: VPC peering y Transit Gateway. Cada una crea nuevas rutas entre redes, por lo que debe configurarse cuidadosamente para evitar abrir más acceso del previsto.

Una VPC peering connection vincula dos VPC para que los recursos puedan comunicarse mediante IP privadas como si estuvieran en la misma red. El peering es una relación uno a uno y utiliza la red troncal de AWS, nunca la Internet pública. El tráfico permanece privado, pero usted sigue controlando la accesibilidad mediante rutas y reglas de seguridad.

Un hecho fundamental: VPC peering no es transitivo. Si la VPC A tiene peering con B y B tiene peering con C, A no puede llegar a C a través de B. Cada par necesita su propia conexión de peering. Esta falta de transitividad limita la expansión accidental, pero hace que las mallas con muchas VPC sean complejas de gestionar usando solo peering.

Una conexión de peering por sí sola no concede acceso; debe añadir rutas en ambos lados y permitir el tráfico mediante security groups y NACLs. Añada rutas únicamente para los CIDR específicos que necesiten comunicarse, no para toda la VPC, con el fin de mantener lo más limitada posible la apertura entre VPC.

AWS Transit Gateway (TGW) es un hub regional que conecta muchas VPC y redes locales mediante un único gateway. En lugar de una compleja red de conexiones de peering, cada VPC se conecta una vez al TGW, que enruta el tráfico entre ellas. Escala mucho mejor que el peering en malla completa para entornos grandes.

Transit Gateway tiene sus propias route tables, que controlan qué conexiones pueden llegar a cuáles. Al asociar las conexiones a tablas de rutas TGW específicas y propagar solo las rutas seleccionadas, puede segmentar la red, permitiendo que algunas VPC se comuniquen mientras mantiene aisladas otras, todo de forma centralizada.

La segmentación mediante tablas de rutas de TGW le permite crear zonas de seguridad: por ejemplo, las VPC de producción y desarrollo se conectan al mismo TGW, pero se colocan en dominios de rutas separados para que no puedan comunicarse entre sí. Este control centralizado es más sencillo que mantener el aislamiento en muchas conexiones de peering individuales.

Puede enrutar el tráfico entre VPC y el tráfico de salida a través de una VPC central de inspección conectada al TGW y que ejecute AWS Network Firewall. Todo el tráfico entre segmentos pasa por la inspección, lo que le proporciona un único punto de control para aplicar y registrar la política en toda la red.

El principal riesgo tanto del peering como de TGW es crear una conectividad no deseada. Las rutas demasiado amplias o una propagación descuidada de las tablas de rutas pueden permitir que se comuniquen entornos que deberían permanecer separados. Revise periódicamente las tablas de rutas de TGW y las rutas de peering para confirmar que solo existan las rutas previstas.

Tanto el peering como TGW requieren rangos CIDR no superpuestos entre las VPC conectadas, porque el enrutamiento depende de direcciones únicas. Esta es otra razón para planificar cuidadosamente el espacio de direcciones desde el principio: los rangos superpuestos bloquean la conectividad y obligan posteriormente a utilizar soluciones alternativas complejas.

Use VPC peering para unas pocas VPC que necesiten conexiones sencillas, directas y de bajo coste. Use Transit Gateway cuando tenga muchas VPC, necesite segmentación e inspección centralizadas o conecte redes locales mediante VPN o AWS Direct Connect. En cualquier caso, controle el acceso con rutas limitadas y confirme que no se abran rutas no deseadas.

Aplique sus conocimientos sobre peering y Transit Gateway.

VPC peering conecta de forma privada dos VPC, pero no es transitivo y necesita rutas y reglas de seguridad en ambos lados. Transit Gateway es un hub regional que conecta muchas VPC y redes locales, con sus propias route tables para la segmentación y la inspección centralizada mediante una VPC de firewall. Ambos requieren CIDR no superpuestos; audite las rutas para evitar trayectorias no deseadas entre entornos.