Conception de sous-réseaux publics et privés

Un réseau cloud privé virtuel (VPC) est votre réseau logiquement isolé dans AWS. Vous y créez des sous-réseaux, c'est-à-dire des plages d'adresses IP associées à une seule zone de disponibilité. La manière dont vous divisez un VPC en sous-réseaux constitue la première décision de sécurité, et la plus importante, car elle détermine ce qui peut atteindre quoi.

Un sous-réseau public possède une route vers une passerelle Internet, de sorte que les ressources qui s'y trouvent peuvent être accessibles depuis Internet et y accéder. Un sous-réseau privé ne possède aucune route Internet directe. La distinction dépend entièrement de la table de routage, et non d'une propriété du sous-réseau lui-même.

Seules les ressources qui doivent être exposées à Internet doivent se trouver dans des sous-réseaux publics : équilibreurs de charge, passerelles NAT et alternatives aux bastions. Réduire cette couche au minimum diminue la surface d'attaque. Les serveurs d'application et les bases de données ne doivent jamais se trouver dans un sous-réseau public où Internet pourrait les atteindre directement.

Placez les serveurs d'application, bases de données et services internes dans des sous-réseaux privés. Ils peuvent toujours recevoir du trafic par l'intermédiaire d'un équilibreur de charge situé dans le sous-réseau public et accéder à Internet pour les mises à jour via NAT, mais ils ne sont jamais directement adressables depuis l'extérieur, ce qui réduit considérablement leur exposition.

Une architecture sécurisée courante utilise trois niveaux : un sous-réseau public pour les équilibreurs de charge, un sous-réseau privé d'application pour les ressources de calcul et un sous-réseau privé de données pour les bases de données. Le trafic circule vers l'intérieur, niveau par niveau, et chaque niveau n'accepte que les connexions provenant de celui qui le précède.

Pour renforcer la résilience, répliquez les sous-réseaux sur plusieurs zones de disponibilité (AZ). Une paire de sous-réseaux public et privé dans chaque AZ permet aux équilibreurs de charge et aux charges de travail de continuer à fonctionner en cas de perte d'une zone. Il s'agit d'une pratique de haute disponibilité qui favorise également les architectures sécurisées et redondantes.

Planifiez vos blocs CIDR afin que les sous-réseaux ne se chevauchent pas et que vous laissiez de la marge pour évoluer. Des plages bien conçues et non chevauchantes simplifient le routage, l'appairage et les références dans les règles de sécurité. Des CIDR qui se chevauchent entre plusieurs VPC bloquent ensuite l'appairage et compliquent la connectivité. Planifiez donc soigneusement l'espace d'adressage dès le départ.

La conception des sous-réseaux constitue un contrôle de sécurité, car elle vous permet d'isoler les charges de travail sensibles. Un sous-réseau de données sans route Internet et sans chemin entrant autre que celui provenant du niveau applicatif est protégé structurellement, avant même l'ajout de groupes de sécurité. C'est l'architecture, et pas uniquement les règles, qui applique cette limite.

Les sous-réseaux définissent l'emplacement où s'appliquent les ACL réseau, car les NACL sont associées à la limite du sous-réseau. Associer des sous-réseaux bien conçus à des NACL au niveau des sous-réseaux et à des groupes de sécurité au niveau des ressources vous fournit le modèle réseau en couches, fondé sur la défense en profondeur, attendu à l'examen SCS-C02.

L'erreur classique consiste à placer une base de données dans un sous-réseau public ou à attribuer des adresses IP publiques aux instances privées par souci de commodité. Ces deux pratiques exposent des ressources qui devraient rester internes. Par défaut, choisissez un placement privé et justifiez explicitement chaque ressource placée dans un sous-réseau public.

Une conception solide des sous-réseaux est la base d'un VPC sécurisé. En séparant les ressources exposées à Internet des ressources internes et en répartissant les sous-réseaux sur plusieurs AZ, vous intégrez l'isolation et la résilience directement au réseau, qui constitue le socle sur lequel s'appuient ensuite les passerelles, les tables de routage et les pare-feu.

Appliquez les principes de conception des sous-réseaux.

Un VPC est divisé en sous-réseaux associés à des zones de disponibilité. Un sous-réseau est public uniquement lorsque sa table de routage atteint une passerelle Internet ; sinon, il est privé. Gardez uniquement les équilibreurs de charge et NAT dans les sous-réseaux publics, et placez les niveaux applicatif et de données dans des sous-réseaux privés. Utilisez un modèle à plusieurs niveaux réparti sur plusieurs AZ, avec des CIDR planifiés et non chevauchants, afin que l'isolation soit intégrée à l'architecture elle-même.