VPC Peering और Transit Gateway को सुरक्षित करना

कार्यभार अक्सर कई VPC में फैले होते हैं और उन्हें आपस में संचार करना पड़ता है। AWS उन्हें जोड़ने के दो मुख्य तरीके देता है: VPC पीयरिंग और ट्रांज़िट गेटवे। दोनों नेटवर्क के बीच नए मार्ग बनाते हैं, इसलिए इन्हें सावधानी से कॉन्फ़िगर करना आवश्यक है, ताकि आवश्यकता से अधिक पहुँच न खुल जाए।

VPC पीयरिंग कनेक्शन दो VPC को जोड़ता है, ताकि संसाधन निजी IP का उपयोग करके ऐसे संचार कर सकें जैसे वे एक ही नेटवर्क पर हों। पीयरिंग एक-से-एक संबंध है और AWS बैकबोन का उपयोग करती है, सार्वजनिक इंटरनेट का कभी नहीं। ट्रैफ़िक निजी रहता है, लेकिन पहुँच को आप अब भी रूट और सुरक्षा नियमों से नियंत्रित करते हैं।

एक महत्वपूर्ण तथ्य: VPC पीयरिंग ट्रांज़िटिव नहीं है। यदि VPC A की पीयरिंग B से और B की पीयरिंग C से है, तो A, B के माध्यम से C तक नहीं पहुँच सकता। हर जोड़ी के लिए अपना पीयरिंग कनेक्शन आवश्यक है। यह गैर-ट्रांज़िटिव व्यवहार अनजाने विस्तार को सीमित करता है, लेकिन केवल पीयरिंग से कई VPC का जाल प्रबंधित करना जटिल बना देता है।

पीयरिंग कनेक्शन अपने-आप कोई पहुँच नहीं देता; आपको दोनों ओर रूट जोड़ने होंगे और सुरक्षा समूह तथा NACL के माध्यम से ट्रैफ़िक की अनुमति देनी होगी। पूरे VPC की बजाय केवल उन विशिष्ट CIDR श्रेणियों के लिए रूट जोड़िए जिन्हें संचार की आवश्यकता है, ताकि VPC-पार खुलने वाला मार्ग जितना संभव हो उतना सीमित रहे।

AWS ट्रांज़िट गेटवे (TGW) एक क्षेत्रीय केंद्र है, जो एक ही गेटवे के माध्यम से कई VPC और ऑन-प्रिमाइसेस नेटवर्क को जोड़ता है। पीयरिंग कनेक्शनों के उलझे हुए जाल के बजाय, हर VPC एक बार TGW से जुड़ता है और TGW उनके बीच रूट करता है। बड़े वातावरणों में यह पूर्ण-जाल पीयरिंग की तुलना में कहीं बेहतर ढंग से विस्तार कर सकता है।

ट्रांज़िट गेटवे की अपनी रूट तालिकाएँ होती हैं, जो नियंत्रित करती हैं कि कौन-से संलग्न नेटवर्क किन नेटवर्क तक पहुँच सकते हैं। संलग्न नेटवर्क को विशिष्ट TGW रूट तालिकाओं से संबद्ध करके और केवल चुने हुए रूट प्रसारित करके आप नेटवर्क को खंडों में बाँट सकते हैं। इस तरह कुछ VPC को संचार की अनुमति दी जा सकती है और अन्य को केंद्रीय रूप से अलग रखा जा सकता है।

TGW रूट-तालिका का खंडीकरण आपको सुरक्षा क्षेत्र बनाने देता है। उदाहरण के लिए, उत्पादन और विकास VPC एक ही TGW से जुड़े हो सकते हैं, लेकिन उन्हें अलग-अलग रूट डोमेन में रखा जा सकता है, ताकि वे एक-दूसरे तक न पहुँच सकें। यह केंद्रीय नियंत्रण कई अलग-अलग पीयरिंग कनेक्शनों में अलगाव बनाए रखने की तुलना में अधिक साफ़ और सरल है।

आप TGW से जुड़े केंद्रीय निरीक्षण VPC के माध्यम से VPC के बीच के और ईग्रेस ट्रैफ़िक को रूट कर सकते हैं, जहाँ AWS नेटवर्क फ़ायरवॉल चल रहा हो। खंडों के बीच का सारा ट्रैफ़िक निरीक्षण से होकर गुजरता है, जिससे पूरे नेटवर्क में नीति लागू करने और उसका लॉग रखने के लिए एकल नियंत्रण-बिंदु मिलता है।

पीयरिंग और TGW दोनों में मुख्य जोखिम अनपेक्षित कनेक्टिविटी बन जाना है। बहुत व्यापक रूट या लापरवाही से किया गया रूट-तालिका प्रसार उन वातावरणों को एक-दूसरे तक पहुँचा सकता है जिन्हें अलग रहना चाहिए। यह सुनिश्चित करने के लिए कि केवल इच्छित मार्ग मौजूद हों, TGW रूट तालिकाओं और पीयरिंग रूट की नियमित समीक्षा कीजिए।

पीयरिंग और TGW दोनों के लिए जुड़े हुए VPC के बीच एक-दूसरे से न ओवरलैप करने वाली CIDR श्रेणियाँ आवश्यक हैं, क्योंकि रूटिंग विशिष्ट पतों पर निर्भर करती है। यही कारण है कि शुरुआत में ही पता-स्थान की सावधानीपूर्वक योजना बनाना आवश्यक है; ओवरलैप करती श्रेणियाँ कनेक्टिविटी रोक देती हैं और बाद में जटिल वैकल्पिक उपायों को मजबूर करती हैं।

कुछ ऐसे VPC के लिए VPC पीयरिंग का उपयोग कीजिए जिन्हें सरल, सीधे और कम लागत वाले कनेक्शन चाहिए। जब आपके पास कई VPC हों, केंद्रीय खंडीकरण और निरीक्षण की आवश्यकता हो, या VPN या AWS डायरेक्ट कनेक्ट के माध्यम से ऑन-प्रिमाइसेस नेटवर्क जोड़ने हों, तब ट्रांज़िट गेटवे का उपयोग कीजिए। किसी भी स्थिति में, संकीर्ण रूट के माध्यम से पहुँच नियंत्रित कीजिए और सुनिश्चित कीजिए कि कोई अनपेक्षित मार्ग न खुले।

VPC पीयरिंग दो VPC को निजी रूप से जोड़ती है, लेकिन यह ट्रांज़िटिव नहीं है और दोनों ओर रूट तथा सुरक्षा नियमों की आवश्यकता होती है। ट्रांज़िट गेटवे एक क्षेत्रीय केंद्र है, जो कई VPC और ऑन-प्रिमाइसेस नेटवर्क को जोड़ता है तथा खंडीकरण और फ़ायरवॉल VPC के माध्यम से केंद्रीय निरीक्षण के लिए अपनी रूट तालिकाएँ प्रदान करता है। दोनों के लिए एक-दूसरे से न ओवरलैप करने वाली CIDR श्रेणियाँ आवश्यक हैं; अनपेक्षित वातावरण-पार मार्गों को रोकने के लिए रूट की जाँच कीजिए।