Internet-, NAT- ja egress-yhdyskäytävät

Subnetit muuttuvat julkisiksi tai yksityisiksi sen perusteella, mihin gatewayihin niiden liikenne voi päästä. AWS tarjoaa useita gateway-tyyppejä, joista kukin hallitsee internet-yhteyksien eri suuntaa. Kun ymmärrätte niiden toimintaa, voitte sallia kullekin tasolle täsmälleen sen tarvitsemat yhteydet, mutta ette enempää.

internet gateway (IGW) on vaakasuunnassa skaalautuva ja erittäin käytettävä komponentti, joka mahdollistaa kaksisuuntaisen viestinnän VPC:n ja internetin välillä. Subnet, jolla on reitti IGW:hen, on julkinen. Resurssit tarvitsevat lisäksi julkisen IP-osoitteen tai Elastic IP:n, jotta niihin voidaan muodostaa yhteys internetistä sen kautta.

NAT (Network Address Translation) gateway antaa yksityisen subnetin resursseille mahdollisuuden muodostaa lähteviä yhteyksiä internetiin esimerkiksi päivityksiä tai API-kutsuja varten, mutta estää ulkopuolelta aloitettavat saapuvat yhteydet. Se sijaitsee julkisessa subnetissa ja antaa yksityisille instansseille internet-yhteyden tekemättä niistä internetistä tavoitettavia.

NAT gateway on private-but-connected-mallin avain: instanssit voivat noutaa korjauspäivityksiä ja kutsua ulkoisia API-rajapintoja, mutta niihin ei voi muodostaa yhteyttä internetistä. Tämä yksisuuntainen ulospääsy on juuri se, mitä sovellus- ja datatasot yleensä tarvitsevat, sillä se tasapainottaa toiminnallisuuden ja eristyksen.

NAT gateway sijaitsee yhdessä AZ:ssa. Vikasietoisuuden takaamiseksi ottakaa käyttöön yksi NAT gateway kutakin Availability Zonea kohti ja reitittäkää kunkin AZ:n yksityiset subnetit sen paikalliseen NAT gatewayhin. Näin vältätte yksittäisen vikapisteen ja pidätte liikenteen AZ:n sisällä, mikä parantaa sekä luotettavuutta että kustannustehokkuutta.

IPv6-liikenteessä NAT:n vastine on egress-only internet gateway. Se sallii yksityisten resurssien lähtevän IPv6-liikenteen ja estää internetiä aloittamasta saapuvia IPv6-yhteyksiä. IPv6-osoitteet ovat maailmanlaajuisesti reititettäviä, joten tämä gateway tarjoaa IPv4:n NAT:n kaltaisen vain lähtevän liikenteen suojauksen.

Voitte käyttää VPC endpoints -päätepisteitä AWS-palveluihin ilman internet-reittiä. Gateway endpoints (S3:lle ja DynamoDB:lle) ja interface endpoints (PrivateLink) antavat yksityisille instansseille mahdollisuuden kutsua AWS:n API-rajapintoja AWS-verkon kautta. Näin liikenne pysyy yksityisenä ja AWS-palveluihin rajoittuvassa ulospääsyssä ei välttämättä tarvita NAT gatewayta.

Jokainen lähtevä reitti voi toimia tietojen luvattoman siirron reittinä. Suosikaa AWS-palveluissa VPC endpoints over NAT-to-internet -ratkaisua ja yhdistäkää NAT AWS Network Firewallin toimialuesuodatukseen, kun laaja internet-ulospääsy on tarpeen. Ulospääsyn minimointi ja tarkastaminen ovat keskeisiä suojausperiaatteita.

Yhdistä yhdyskäytävä tarpeeseen: IGW julkista kaksisuuntaista internet-yhteyttä varten; NAT yksityiseen IPv4-liikenteeseen, joka lähtee ulospäin mutta ei vastaanota yhteyksiä; egress-only IGW yksityiseen IPv6-liikenteeseen, joka lähtee ulospäin mutta ei vastaanota yhteyksiä; VPC endpoints yksityiseen AWS-palveluiden käyttöön. Oikean vaihtoehdon valitseminen on yleinen koetilanne.

NAT-yhdyskäytävistä veloitetaan tunti- ja tietojenkäsittelymaksuja, joten AWS-liikenteen reitittäminen endpoints-päätepisteiden kautta voi pienentää kustannuksia ja parantaa tietoturvaa samanaikaisesti. Tietoturvallisin ratkaisu on usein myös kevyempi: internetille altistuminen vähenee ja liikenteen siirtämiseen NAT:n kautta kuluu vähemmän rahaa.

Yhdyskäytävät määrittävät VPC:n yhteydet. Käyttäkää IGW:tä vain mahdollisimman suppeassa julkisessa kerroksessa, NAT:ia tai egress-only IGW:tä yksityisten kerrosten turvalliseen ulospäin suuntautuvaan yhteyteen ja VPC endpoints -päätepisteitä, jotta AWS-liikenne pysyy kokonaan internetin ulkopuolella. Tämä hallittu yhteyksien käyttö on turvallisen VPC:n perusta.

internet gateway tarjoaa julkisille aliverkoille kaksisuuntaisen internet-yhteyden; NAT gateway tarjoaa yksityisille IPv4-aliverkoille vain ulospäin suuntautuvan yhteyden; egress-only internet gateway tekee saman IPv6:lle. Sijoittakaa NAT per AZ -periaatteella vikasietoisuuden varmistamiseksi. Käyttäkää VPC endpoints (gateway and interface/PrivateLink) -päätepisteitä AWS-palveluiden yksityiseen käyttöön, jolloin sekä ulospäin suuntautuva altistuminen että NAT-kustannukset pienenevät.