Internet, NAT et passerelles de sortie

Les sous-réseaux deviennent publics ou privés selon les passerelles que leur trafic peut atteindre. AWS fournit plusieurs types de passerelles, chacune contrôlant une direction différente de l'accès à Internet. Les comprendre vous permet d'autoriser exactement la connectivité nécessaire à chaque niveau, et rien de plus.

Une passerelle Internet (IGW) est un composant à mise à l'échelle horizontale et hautement disponible qui permet les communications bidirectionnelles entre un VPC et Internet. Un sous-réseau disposant d'une route vers l'IGW est public. Les ressources doivent également disposer d'une adresse IP publique ou d'une adresse IP Elastic pour être accessibles depuis Internet par son intermédiaire.

Une passerelle NAT (traduction d'adresses réseau) permet aux ressources d'un sous-réseau privé d'établir des connexions sortantes vers Internet, pour les mises à jour ou les appels d'API, tout en bloquant les connexions entrantes initiées depuis l'extérieur. Elle se trouve dans un sous-réseau public et fournit un accès Internet aux instances privées sans les rendre accessibles depuis Internet.

La passerelle NAT est la clé du modèle privé mais connecté : les instances peuvent récupérer des correctifs et appeler des API externes, mais elles ne peuvent pas être atteintes depuis Internet. Cette sortie à sens unique correspond exactement aux besoins habituels des niveaux applicatif et de données, en conciliant fonctionnalités et isolation.

Une passerelle NAT réside dans une seule AZ. Pour renforcer la résilience, déployez une passerelle NAT par zone de disponibilité et acheminez les sous-réseaux privés de chaque AZ vers leur NAT local. Vous évitez ainsi un point de défaillance unique et gardez le trafic dans l'AZ, ce qui améliore à la fois la fiabilité et les coûts.

Pour l'IPv6, l'équivalent de NAT est la passerelle Internet sortante uniquement. Elle autorise le trafic IPv6 sortant provenant des ressources privées tout en empêchant Internet d'initier des connexions IPv6 entrantes. Les adresses IPv6 sont acheminables à l'échelle mondiale : cette passerelle fournit donc la protection sortante uniquement que NAT offre pour IPv4.

Pour accéder aux services AWS sans aucun chemin Internet, utilisez des points de terminaison VPC. Les points de terminaison de passerelle (pour S3 et DynamoDB) et les points de terminaison d'interface (PrivateLink) permettent aux instances privées d'appeler les API AWS via le réseau AWS. Le trafic reste ainsi privé et il peut ne plus être nécessaire d'utiliser une passerelle NAT pour les sorties destinées uniquement à AWS.

Chaque chemin sortant peut servir à exfiltrer des données. Préférez les points de terminaison VPC au trafic NAT vers Internet pour les services AWS, et associez NAT à un filtrage des domaines par AWS Network Firewall lorsqu'une sortie Internet étendue est nécessaire. Réduire et inspecter le trafic sortant est un principe essentiel de renforcement.

Associez la passerelle au besoin : IGW pour un accès Internet public bidirectionnel ; NAT pour un accès sortant uniquement en IPv4 privée ; IGW egress-only pour un accès sortant uniquement en IPv6 privée ; les points de terminaison VPC pour accéder en privé aux services AWS. Faire le bon choix est un cas fréquent à l’examen.

Les passerelles NAT entraînent des frais horaires et des frais de traitement des données. Utiliser plutôt des points de terminaison pour le trafic AWS peut donc réduire les coûts tout en améliorant la sécurité. La conception la plus sécurisée est souvent aussi la plus légère : moins d’exposition à Internet et moins d’argent dépensé pour faire transiter le trafic par NAT.

Les passerelles déterminent la connectivité de votre VPC. Utilisez un IGW uniquement pour la couche publique minimale, NAT ou un IGW egress-only pour fournir aux couches privées un accès sortant sécurisé, et des points de terminaison VPC pour que le trafic AWS n’emprunte jamais Internet. Cette connectivité contrôlée est essentielle à la sécurité d’un VPC.

Une passerelle Internet fournit aux sous-réseaux publics un accès Internet bidirectionnel ; une passerelle NAT fournit aux sous-réseaux IPv4 privés un accès sortant uniquement ; une passerelle Internet egress-only fait de même pour IPv6. Déployez NAT par AZ pour assurer la résilience. Utilisez des points de terminaison VPC (passerelle et interface/PrivateLink) pour accéder aux services AWS en privé, en réduisant à la fois la surface de sortie et les coûts liés à NAT.