Mengamankan VPC Peering dan Transit Gateway

Beban kerja sering kali tersebar di beberapa VPC yang harus saling berkomunikasi. AWS menyediakan dua cara utama untuk menghubungkannya: penghubungan VPC dan Gateway Transit. Masing-masing membuat jalur baru antarjaringan, sehingga harus dikonfigurasi dengan cermat agar tidak membuka akses melebihi yang dimaksudkan.

koneksi penghubungan VPC menghubungkan dua VPC sehingga sumber daya dapat berkomunikasi menggunakan IP privat seolah-olah berada di jaringan yang sama. Penghubungan merupakan hubungan satu-ke-satu dan menggunakan backbone AWS, bukan internet publik. Lalu lintas tetap privat, tetapi Anda tetap mengendalikan keterjangkauan dengan rute dan aturan keamanan.

Fakta penting: penghubungan VPC tidak bersifat transitif. Jika VPC A terhubung dengan B dan B terhubung dengan C, A tidak dapat menjangkau C melalui B. Setiap pasangan memerlukan koneksi penghubungannya sendiri. Sifat nontransitif ini membatasi penyebaran yang tidak disengaja, tetapi membuat jejaring banyak VPC rumit dikelola hanya dengan penghubungan.

Koneksi penghubungan itu sendiri tidak memberikan akses apa pun; Anda harus menambahkan rute di kedua sisi dan mengizinkan lalu lintas dengan kelompok keamanan dan NACL. Tambahkan rute hanya untuk CIDR tertentu yang perlu berkomunikasi, bukan seluruh VPC, agar celah lintas-VPC tetap sesempit mungkin.

AWS Gateway Transit (TGW) adalah hub regional yang menghubungkan banyak VPC dan jaringan lokal melalui satu gateway. Alih-alih menggunakan banyak koneksi penghubungan yang rumit, setiap VPC terhubung sekali ke TGW, yang kemudian merutekan lalu lintas di antaranya. Cara ini jauh lebih mudah diskalakan daripada penghubungan jejaring penuh untuk lingkungan besar.

Gateway Transit memiliki tabel rute sendiri yang mengendalikan lampiran mana yang dapat menjangkau lampiran lainnya. Dengan mengaitkan lampiran ke tabel rute TGW tertentu dan hanya menyebarkan rute yang dipilih, Anda dapat mensegmentasikan jaringan, mengizinkan sebagian VPC berkomunikasi sekaligus mengisolasi yang lain, semuanya secara terpusat.

Segmentasi tabel rute TGW memungkinkan Anda membuat zona keamanan: misalnya, VPC produksi dan pengembangan terhubung ke TGW yang sama, tetapi ditempatkan di domain rute terpisah sehingga tidak dapat saling menjangkau. Pengendalian terpusat ini lebih rapi daripada mempertahankan isolasi di banyak koneksi penghubungan individual.

Anda dapat merutekan lalu lintas antar-VPC dan lalu lintas keluar melalui VPC pemeriksaan terpusat yang terhubung ke TGW dan menjalankan AWS Firewall Jaringan. Semua lalu lintas antarsegmen melewati pemeriksaan, sehingga Anda memiliki satu titik pengendalian untuk menerapkan dan mencatat kebijakan di seluruh jaringan.

Risiko utama penghubungan maupun TGW adalah terciptanya konektivitas yang tidak diinginkan. Rute yang terlalu luas atau penyebaran tabel rute yang ceroboh dapat memungkinkan lingkungan yang seharusnya terpisah untuk saling menjangkau. Tinjau tabel rute TGW dan rute penghubungan secara berkala untuk memastikan hanya jalur yang dimaksudkan yang tersedia.

Penghubungan dan TGW sama-sama memerlukan rentang CIDR yang tidak tumpang tindih di antara VPC yang terhubung, karena perutean bergantung pada alamat yang unik. Ini adalah alasan lain untuk merencanakan ruang alamat dengan cermat sejak awal; rentang yang tumpang tindih menghambat konektivitas dan memaksa penggunaan solusi rumit di kemudian hari.

Gunakan penghubungan VPC untuk beberapa VPC yang memerlukan koneksi sederhana, langsung, dan berbiaya rendah. Gunakan Gateway Transit jika Anda memiliki banyak VPC, memerlukan segmentasi dan pemeriksaan terpusat, atau menghubungkan jaringan lokal melalui VPN atau AWS Direct Connect. Bagaimanapun, kendalikan jangkauan dengan rute yang sempit dan pastikan tidak ada jalur yang tidak diinginkan terbuka.

Terapkan pengetahuan tentang penghubungan dan Gateway Transit.

Penghubungan VPC menghubungkan dua VPC secara privat, tetapi tidak bersifat transitif dan memerlukan rute serta aturan keamanan di kedua sisi. Gateway Transit adalah hub regional yang menghubungkan banyak VPC dan jaringan lokal, dengan tabel rute sendiri untuk segmentasi dan pemeriksaan terpusat melalui VPC firewall. Keduanya memerlukan CIDR yang tidak tumpang tindih; audit rute untuk mencegah jalur lintas lingkungan yang tidak diinginkan.