セキュリティ制御としてのルートテーブル

route tableは、サブネットからのネットワークトラフィックをどこへ転送するかを決めるルールの集合です。route tableは接続性を制御するだけでなく、セキュリティ制御でもあります。サブネットが到達できる宛先を制御することで、ファイアウォールルールが確認される前に、そもそも可能な通信を決定できます。

各ルートは、destination CIDRを、internet gateway、NAT gateway、peering connection、transit gatewayなどのtargetに対応付けます。AWSは各パケットに対して、一致する中で最も具体的なルートを使用します。VPC CIDRのlocal routeは常に存在し、削除できません。

internet gatewayへのルートの有無によって、サブネットがパブリックかプライベートかが決まります。そのルートを削除すると、サブネットは直ちにプライベートになります。このため、インターネットへの露出を本当に決めるのはサブネットの設定ではなく、route tableです。

各サブネットは1つのroute tableにのみ関連付けられますが、1つのroute tableを複数のサブネットで共有できます。明示的な関連付けがないサブネットは、VPCのmain route tableを使用します。パブリックサブネットとプライベートサブネットを別々のroute tableに配置すると、それぞれのアクセスルールが明確になり、監査しやすくなります。

データ用サブネットを分離するには、インターネットまたはNATへのルートを一切持たず、VPC内のlocal routeだけを持つroute tableを割り当てます。このようなサブネットはVPC内では通信できますが、どちらの方向にもインターネットへの経路がありません。これにより、ファイアウォールルールだけに依存せず、構造的に分離を実現できます。

S3またはDynamoDB用のgateway VPC endpointを作成すると、AWSは関連するroute tableにエンドポイントへのルートを追加します。これにより、対象のAWSサービスへのトラフィックはインターネットではなくプライベートエンドポイント経由で転送されます。このルーティング変更によって、プライベートアクセスが可能になり、安全性も確保されます。

route tableを使用すると、VPCから出る前にトラフィックを検査アプライアンスまたはAWS Network Firewall経由に強制的にルーティングできます。サブネットのエグレスをNATへ直接送るのではなく、ファイアウォールエンドポイントへルーティングすれば、すべてのアウトバウンドパケットが検査されることを保証できます。このように、ルーティングによってセキュリティ検査の実施場所を強制できます。

別のVPCに到達するには、ルートの送信先をpeering connectionまたはtransit gatewayにする必要があります。そのルートを追加しなければ、ネットワークは分離されたままです。広すぎるルートを追加すると、環境間の意図しない経路が開く可能性があるため、ルートエントリは実際に意図した接続範囲と同じ程度に具体的にする必要があります。

たとえば、プライベートであるべき層で0.0.0.0/0をinternet gatewayへ送るような過度に許可的なルートは、その層を気付かないうちにパブリックにします。予期しないインターネット経路やVPC間経路がないかroute tableを監査することは、VPCを安全に保つうえで重要です。

ルーティングをNACLおよびsecurity groupsと組み合わせます。route tableは存在する経路を決め、NACLとsecurity groupsはその経路上で許可されるトラフィックを決めます。ルートのない宛先には、ファイアウォールルールに関係なく到達できません。そのため、ルーティングはネットワーク制御の最外層となります。

route tableを、意図的に設計するセキュリティ境界として扱ってください。パブリックとプライベートの区別、機密性の高いサブネットの分離、検査経由のトラフィック制御、VPC間の到達範囲の制御に使用します。意図しない経路がないかルートを確認することは、ファイアウォールルールを確認することと同じくらい重要です。

route tableのセキュリティに関する考え方を適用してください。

Route tablesは宛先CIDRをtargetに対応付け、最も具体的な一致を使用します。local VPC routeは常に存在します。Route tablesは、internet-gateway routeによってパブリックとプライベートを定義し、機密性の高いサブネットを分離し（local routeのみ）、トラフィックをVPC endpointsまたは検査ファイアウォールへ転送し、peeringまたはtransit routeによってVPC間の到達範囲を制御します。意図しないインターネット経路やVPC間経路がないか監査してください。