Gerbang Internet dan Tabel Rute

Internet Gateway (IGW) adalah komponen VPC yang diskalakan secara horizontal, redundan, dan memiliki ketersediaan tinggi, yang memungkinkan komunikasi antara VPC dan internet. Komponen ini melakukan Network Address Translation (NAT) untuk instans dengan alamat IPv4 publik—menerjemahkan IP privatnya menjadi Elastic IP atau IP publik yang ditetapkan otomatis untuk lalu lintas keluar, lalu membalikkan penerjemahan tersebut untuk lalu lintas masuk. Satu IGW per VPC; menghubungkan IGW ke VPC tidak otomatis memberikan akses internet kepada instans—Anda juga harus memperbarui tabel rute dan memastikan instans memiliki IP publik.

tabel rute adalah sekumpulan aturan (rute) yang menentukan ke mana lalu lintas jaringan dari subnet atau gateway diarahkan. Setiap VPC memiliki tabel rute utama yang digunakan semua subnet secara default, kecuali Anda secara eksplisit mengaitkan tabel rute lain dengan suatu subnet. Rute memiliki tujuan (blok CIDR) dan target (lokal, internet gateway, NAT gateway, koneksi peering, dan sebagainya). Rute yang paling spesifik (pencocokan prefiks terpanjang) akan dipilih jika beberapa rute cocok dengan tujuan paket.

Subnet bersifat publik jika tabel rute yang terkait dengannya memiliki rute untuk 0.0.0.0/0 (semua lalu lintas internet) yang mengarah ke Internet Gateway. Tiga langkah untuk menjadikan subnet publik: (1) buat tabel rute kustom dengan rute 0.0.0.0/0 → IGW; (2) kaitkan tabel rute tersebut dengan subnet; dan (3) aktifkan penetapan otomatis IPv4 publik pada subnet agar instans yang diluncurkan di dalamnya otomatis menerima IP publik. Ketiga langkah tersebut secara bersama-sama membuat subnet publik yang berfungsi.

Setiap tabel rute secara otomatis menyertakan rute lokal (misalnya, 10.0.0.0/16 → local) yang memungkinkan komunikasi antara semua sumber daya di dalam VPC. Rute ini tidak dapat dihapus atau diubah. Rute ini memastikan bahwa instans di subnet mana pun dalam VPC dapat berkomunikasi satu sama lain menggunakan alamat IP privat tanpa melewati gateway apa pun. Rute lokal selalu lebih diprioritaskan daripada rute kustom untuk lalu lintas yang ditujukan ke dalam rentang CIDR VPC.

Ketika sebuah paket dapat cocok dengan beberapa rute dalam tabel rute, AWS memilih rute dengan prefiks paling spesifik (prefiks cocok terpanjang). Contoh: jika Anda memiliki rute 10.0.0.0/8 → peering dan 10.1.0.0/16 → VPN, paket yang ditujukan ke 10.1.0.5 cocok dengan keduanya, tetapi rute /16 lebih spesifik (prefiksnya lebih panjang) sehingga dipilih. Jika rute memiliki panjang prefiks yang sama, jenis gateway yang lebih spesifik mendapat prioritas: local > VGW propagated > static. Pemahaman ini penting saat merancang jaringan kompleks dengan peering, VPN, dan DX yang terhubung.

VPC mendukung blok CIDR IPv6 (/56 yang disediakan Amazon) bersamaan dengan IPv4. Untuk akses internet IPv6, IGW menangani IPv4 dan IPv6. Untuk egress khusus IPv6 (memungkinkan instans memulai koneksi IPv6 keluar tetapi memblokir koneksi masuk), gunakan Egress-Only Internet Gateway—secara fungsional komponen ini mirip dengan NAT gateway untuk subnet privat IPv4, tetapi khusus untuk IPv6. Tambahkan rute ::/0 → eigw-xxxxxxxx ke subnet privat untuk mengaktifkan akses IPv6 keluar tanpa mengekspos instans ke koneksi IPv6 masuk.

tabel rute gateway adalah tabel rute yang dikaitkan langsung dengan Internet Gateway atau Virtual Private Gateway (bukan subnet). Tabel ini memungkinkan perutean masuk—memeriksa lalu lintas yang masuk ke VPC dari internet sebelum mencapai instans EC2. Fitur ini digunakan untuk perangkat keamanan inline (IDS/IPS, perangkat virtual firewall) yang perlu melihat semua lalu lintas masuk: konfigurasikan tabel rute IGW untuk mengirim lalu lintas masuk ke endpoint Gateway Load Balancer, yang mendistribusikannya ke perangkat keamanan; setelah diperiksa, perangkat tersebut meneruskannya ke instans EC2 tujuan.

Ketika Anda menghubungkan jaringan lokal melalui VPN atau Direct Connect, rute lokal dapat dipropagasikan secara otomatis ke tabel rute VPC melalui propagasi rute. Aktifkan propagasi pada tabel rute untuk Virtual Private Gateway (VGW), dan semua rute yang diiklankan oleh router lokal melalui BGP akan muncul di tabel rute secara otomatis—tanpa perlu memasukkan rute secara manual. Hal ini sangat berguna untuk lingkungan dinamis ketika subnet lokal berubah. Untuk koneksi VPN statis, Anda harus menambahkan rute CIDR lokal secara manual.

Praktik terbaiknya adalah membuat tabel rute terpisah untuk setiap tingkat: satu untuk subnet publik (dengan rute IGW), satu untuk subnet aplikasi privat (dengan rute NAT gateway), dan satu untuk subnet data privat (tanpa rute internet—hanya endpoint VPC). Dengan demikian, instans pada tingkat data tidak dapat secara tidak sengaja mengakses internet meskipun grup keamanan yang salah konfigurasi mengizinkan lalu lintas keluar—tabel rute tersebut memang tidak memiliki jalur keluar. Pemisahan tabel rute juga memudahkan audit pola akses jaringan untuk setiap tingkat.

Ketika Anda membuat Gateway VPC Endpoint S3 atau DynamoDB, AWS secara otomatis menambahkan rute ke tabel rute yang ditentukan, dengan tujuan berupa daftar prefiks terkelola layanan dan target berupa endpoint VPC. Rute ini memastikan lalu lintas ke S3 atau DynamoDB dari subnet tersebut berjalan melalui jaringan privat AWS, bukan melalui internet. Gateway endpoint gratis dan dapat mengurangi biaya NAT gateway secara signifikan jika instans Anda menghasilkan lalu lintas S3 yang besar. Selalu tambahkan gateway endpoint S3 dan DynamoDB ke tabel rute subnet privat di VPC produksi.

rute blackhole adalah rute yang targetnya tidak dapat dijangkau—sengaja digunakan untuk membuang lalu lintas. AWS membuat rute blackhole ketika target suatu rute (misalnya, koneksi VPN atau attachment Transit Gateway) dihapus tetapi rutenya masih ada. Anda juga dapat sengaja membuat rute blackhole untuk memblokir rentang IP tertentu dari dalam VPC. Ini adalah mekanisme kontrol lalu lintas pada tingkat jaringan yang berbeda dari grup keamanan dan NACL. Di AWS, rute blackhole terlihat di konsol ketika endpoint atau gateway yang dirujuk oleh suatu rute menjadi tidak tersedia.

Uji pemahaman Anda tentang konsep AWS Solutions Architect (SAA-C03) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: Internet Gateway memungkinkan komunikasi VPC dengan internet dan harus dikaitkan dengan VPC serta dirujuk dalam tabel rute subnet melalui rute 0.0.0.0/0, tabel rute mengontrol arah lalu lintas menggunakan pasangan tujuan-target dengan prioritas pencocokan prefiks terpanjang, dan tabel rute terpisah untuk setiap tingkat subnet menerapkan isolasi lalu lintas melalui arsitektur. Selanjutnya, kita akan membahas NAT Gateway untuk akses internet subnet privat.