Gateway Internet, NAT, dan Egress

Subnet menjadi publik atau privat berdasarkan gateway mana yang dapat dijangkau lalu lintasnya. AWS menyediakan beberapa jenis gateway, yang masing-masing mengendalikan arah akses internet yang berbeda. Memahaminya memungkinkan Anda mengizinkan konektivitas yang benar-benar dibutuhkan setiap lapisan, tanpa memberikan akses lebih.

gateway internet (IGW) adalah komponen dengan penskalaan horizontal dan ketersediaan tinggi yang memungkinkan komunikasi dua arah antara VPC dan internet. Subnet dengan rute menuju IGW bersifat publik. Sumber daya juga memerlukan IP publik atau IP Elastis agar dapat dijangkau dari internet melaluinya.

gateway NAT (Network Address Translation) memungkinkan sumber daya di subnet privat membuat koneksi keluar ke internet, untuk pembaruan atau panggilan API, sekaligus memblokir koneksi masuk yang dimulai dari luar. Gateway ini berada di subnet publik dan memberikan akses internet kepada instans privat tanpa membuat instans tersebut dapat dijangkau dari internet.

Gateway NAT adalah kunci pola privat tetapi tetap terhubung: instans dapat mengambil patch dan memanggil API eksternal, tetapi tidak dapat dijangkau dari internet. Jalan keluar satu arah ini tepat seperti yang biasanya dibutuhkan lapisan aplikasi dan data, dengan menyeimbangkan fungsionalitas dan isolasi.

Gateway NAT berada dalam satu AZ. Untuk ketahanan, gunakan satu gateway NAT per Availability Zone dan arahkan subnet privat setiap AZ ke NAT lokalnya. Cara ini menghindari satu titik kegagalan dan menjaga lalu lintas tetap berada di dalam AZ, sehingga meningkatkan keandalan sekaligus efisiensi biaya.

Untuk IPv6, padanan NAT adalah gateway internet hanya untuk lalu lintas keluar. Gateway ini mengizinkan lalu lintas IPv6 keluar dari sumber daya privat sekaligus mencegah internet memulai koneksi IPv6 masuk. Alamat IPv6 dapat dirutekan secara global, sehingga gateway ini memberikan perlindungan hanya-keluar seperti yang diberikan NAT untuk IPv4.

Untuk menjangkau layanan AWS tanpa jalur internet sama sekali, gunakan titik akhir VPC. Titik akhir gateway (untuk S3 dan DynamoDB) serta titik akhir antarmuka (PrivateLink) memungkinkan instans privat memanggil API AWS melalui jaringan AWS. Cara ini menjaga lalu lintas tetap privat dan dapat menghilangkan kebutuhan akan gateway NAT untuk lalu lintas keluar yang hanya menuju AWS.

Setiap jalur keluar merupakan rute potensial untuk eksfiltrasi. Utamakan titik akhir VPC daripada NAT-ke-internet untuk layanan AWS, dan padukan NAT dengan pemfilteran domain AWS Network Firewall saat akses keluar ke internet secara luas diperlukan. Meminimalkan dan memeriksa lalu lintas keluar merupakan prinsip utama penguatan keamanan.

Cocokkan gateway dengan kebutuhannya: IGW untuk internet publik dua arah; NAT untuk IPv4 privat dengan akses keluar saja; egress-only IGW untuk IPv6 privat dengan akses keluar saja; titik akhir VPC untuk akses privat ke layanan AWS. Memilih dengan tepat adalah skenario yang sering muncul dalam ujian.

Gateway NAT menimbulkan biaya per jam dan biaya pemrosesan data, sehingga merutekan lalu lintas AWS melalui titik akhir sebagai gantinya dapat mengurangi biaya sekaligus meningkatkan keamanan. Desain yang paling aman sering kali juga merupakan desain yang paling hemat: paparan ke internet lebih sedikit dan biaya pemindahan lalu lintas melalui NAT lebih rendah.

Gateway menentukan konektivitas VPC Anda. Gunakan IGW hanya untuk lapisan publik yang minimal, NAT atau egress-only IGW untuk memberikan akses keluar yang aman kepada lapisan privat, dan titik akhir VPC agar lalu lintas AWS sepenuhnya tidak melewati internet. Konektivitas yang terkendali ini merupakan inti dari VPC yang aman.

Pilih gateway yang tepat.

gateway internet memberikan akses internet dua arah kepada subnet publik; gateway NAT memberikan akses keluar saja kepada subnet IPv4 privat; gateway internet khusus keluar melakukan hal yang sama untuk IPv6. Terapkan NAT per AZ untuk ketahanan. Gunakan titik akhir VPC (gateway dan antarmuka/PrivateLink) untuk mengakses layanan AWS secara privat, sehingga mengurangi permukaan akses keluar dan biaya NAT.