Desain Subnet Publik dan Privat

Virtual Private Cloud (VPC) adalah jaringan Anda yang terisolasi secara logis di AWS. Di dalamnya, Anda membagi subnet, yaitu rentang alamat IP yang terkait dengan satu Availability Zone. Cara Anda membagi VPC menjadi subnet merupakan keputusan keamanan pertama dan terpenting, karena menentukan apa yang dapat menjangkau apa.

Subnet publik memiliki rute menuju gateway internet, sehingga sumber daya di dalamnya dapat dijangkau dari internet dan dapat menjangkau internet. Subnet privat tidak memiliki rute internet langsung. Perbedaan ini sepenuhnya ditentukan oleh tabel rute, bukan oleh properti apa pun dari subnet itu sendiri.

Hanya sumber daya yang harus berhadapan dengan internet yang ditempatkan di subnet publik: penyeimbang beban, gateway NAT, dan alternatif bastion. Menjaga lapisan ini tetap minimal mengurangi permukaan serangan. Server aplikasi dan basis data tidak boleh berada di subnet publik yang memungkinkan internet menjangkaunya secara langsung.

Tempatkan server aplikasi, basis data, dan layanan internal di subnet privat. Sumber daya tersebut tetap dapat melayani lalu lintas melalui penyeimbang beban di subnet publik dan menjangkau internet untuk pembaruan melalui NAT, tetapi tidak pernah dapat dialamatkan secara langsung dari luar, sehingga paparan berkurang secara drastis.

Tata letak aman yang umum menggunakan tiga lapisan: subnet publik untuk penyeimbang beban, subnet aplikasi privat untuk komputasi, dan subnet data privat untuk basis data. Lalu lintas mengalir ke dalam lapis demi lapis, dan setiap lapisan hanya menerima koneksi dari lapisan yang berada di depannya.

Untuk ketahanan, replikasi subnet di beberapa Availability Zone (AZ). Sepasang subnet publik dan privat di setiap AZ memungkinkan penyeimbang beban dan beban kerja tetap beroperasi jika satu zona mengalami gangguan. Ini merupakan praktik ketersediaan tinggi yang juga mendukung desain yang aman dan redundan.

Rencanakan blok CIDR Anda agar subnet tidak saling tumpang tindih dan tersedia ruang untuk berkembang. Rentang yang dipikirkan dengan baik dan tidak tumpang tindih membuat referensi perutean, peering, dan aturan keamanan lebih rapi. CIDR yang tumpang tindih di beberapa VPC nantinya menghalangi peering dan mempersulit konektivitas, jadi rencanakan ruang alamat dengan sengaja sejak awal.

Desain subnet merupakan kontrol keamanan karena memungkinkan Anda mengisolasi beban kerja sensitif. Subnet data tanpa rute internet dan tanpa jalur masuk selain dari lapisan aplikasi terlindungi secara struktural, bahkan sebelum Anda menambahkan grup keamanan. Arsitektur, bukan hanya aturan, yang menegakkan batas ini.

Subnet menentukan tempat ACL jaringan diterapkan, karena NACL terpasang pada batas subnet. Memadukan subnet yang dirancang dengan baik dengan NACL tingkat subnet dan grup keamanan tingkat sumber daya menghasilkan model jaringan berlapis dengan pertahanan mendalam yang diharapkan dalam ujian SCS-C02.

Kesalahan klasik adalah menempatkan basis data di subnet publik atau memberikan IP publik kepada instans privat demi kemudahan. Keduanya mengekspos sumber daya yang seharusnya tetap internal. Jadikan penempatan privat sebagai pilihan bawaan dan berikan alasan yang jelas untuk setiap sumber daya di subnet publik.

Desain subnet yang baik merupakan tulang punggung VPC yang aman. Dengan memisahkan sumber daya yang menghadap internet dari sumber daya internal dan membentangkannya di beberapa AZ, Anda membangun isolasi dan ketahanan ke dalam jaringan itu sendiri, yang menjadi fondasi bagi gateway, tabel rute, dan firewall.

VPC dibagi menjadi subnet yang terkait dengan Availability Zone. Subnet hanya bersifat publik jika tabel rutenya menjangkau gateway internet; jika tidak, subnet tersebut bersifat privat. Tempatkan hanya penyeimbang beban dan NAT di subnet publik, lalu tempatkan lapisan aplikasi dan data secara privat. Gunakan pola multi-lapis di beberapa AZ dengan CIDR yang direncanakan dan tidak tumpang tindih agar isolasi dibangun langsung ke dalam arsitektur.