보안 제어 수단으로서의 라우팅 테이블

라우팅 테이블은 서브넷에서 발생한 네트워크 트래픽을 어디로 전달할지 결정하는 규칙 집합입니다. 라우팅 테이블은 연결성뿐 아니라 보안 제어 수단이기도 합니다. 서브넷이 도달할 수 있는 대상을 제어하여 방화벽 규칙을 확인하기 전부터 가능한 작업의 범위를 결정하기 때문입니다.

각 라우팅 항목은 대상 CIDR을 인터넷 게이트웨이, NAT 게이트웨이, 피어링 연결 또는 전송 게이트웨이와 같은 대상에 매핑합니다. AWS는 각 패킷에 대해 일치하는 항목 중 가장 구체적인 라우팅을 사용합니다. VPC CIDR에 대한 로컬 라우팅은 항상 존재하며 삭제할 수 없습니다.

인터넷 게이트웨이로 가는 라우팅의 존재 여부에 따라 서브넷이 공용인지 프라이빗인지 결정됩니다. 해당 라우팅을 삭제하면 서브넷은 즉시 프라이빗이 됩니다. 따라서 인터넷 노출을 실제로 결정하는 것은 서브넷 설정이 아니라 라우팅 테이블입니다.

각 서브넷은 정확히 하나의 라우팅 테이블에 연결되지만, 하나의 라우팅 테이블은 여러 서브넷에서 사용할 수 있습니다. 명시적으로 연결되지 않은 서브넷은 VPC의 기본 라우팅 테이블을 사용합니다. 공용 서브넷과 프라이빗 서브넷을 별도의 라우팅 테이블에 배치하면 액세스 규칙을 명확하게 파악하고 감사할 수 있습니다.

데이터 서브넷을 격리하려면 인터넷 또는 NAT 라우팅을 전혀 포함하지 않고 로컬 VPC 라우팅만 포함하는 라우팅 테이블을 연결하십시오. 이러한 서브넷은 VPC 내부에서는 통신할 수 있지만 어느 방향으로도 인터넷에 연결되는 경로가 없으므로, 방화벽 규칙에만 의존하지 않고 구조적으로 격리를 적용할 수 있습니다.

S3 또는 DynamoDB용 게이트웨이 VPC 엔드포인트를 생성하면 AWS가 관련 라우팅 테이블에 엔드포인트로 가는 라우팅을 추가합니다. 이 라우팅은 해당 AWS 서비스 트래픽을 인터넷 대신 프라이빗 엔드포인트로 전달하여 프라이빗 액세스를 가능하게 하고 보안도 강화합니다.

라우팅 테이블을 사용하면 VPC에서 나가기 전에 트래픽이 검사 장비 또는 AWS 네트워크 방화벽을 통과하도록 강제할 수 있습니다. 서브넷의 이그레스를 NAT로 직접 보내는 대신 방화벽 엔드포인트로 라우팅하면 모든 아웃바운드 패킷이 검사되도록 보장할 수 있습니다. 따라서 라우팅은 보안 검사가 수행되는 위치를 강제합니다.

다른 VPC에 도달하려면 라우팅이 피어링 연결 또는 전송 게이트웨이를 가리켜야 합니다. 해당 라우팅을 생략하면 네트워크가 서로 분리됩니다. 지나치게 광범위한 라우팅을 추가하면 환경 간 경로가 의도치 않게 열릴 수 있으므로, 라우팅 항목은 실제로 의도한 연결 범위만큼 구체적이어야 합니다.

프라이빗이어야 하는 계층에서 0.0.0.0/0을 인터넷 게이트웨이로 보내는 것과 같이 지나치게 허용적인 라우팅은 해당 계층을 조용히 공용으로 만듭니다. 예상하지 못한 인터넷 또는 VPC 간 라우팅이 있는지 라우팅 테이블을 감사하는 것은 VPC 보안의 중요한 부분입니다.

라우팅을 네트워크 ACL 및 보안 그룹과 함께 사용하십시오. 라우팅 테이블은 어떤 경로가 존재하는지 결정하고, 네트워크 ACL과 보안 그룹은 해당 경로에서 어떤 트래픽을 허용할지 결정합니다. 방화벽 규칙과 관계없이 라우팅이 없는 대상에는 도달할 수 없으므로, 라우팅은 네트워크 제어의 가장 바깥 계층입니다.

라우팅 테이블을 의도적으로 설정하는 보안 경계로 취급하십시오. 라우팅 테이블을 사용하여 공용과 프라이빗을 구분하고, 민감한 서브넷을 격리하며, 검사 장비를 통해 트래픽을 전달하고, VPC 간 도달 범위를 제어하십시오. 의도하지 않은 경로가 있는지 검토하는 일은 방화벽 규칙을 검토하는 것만큼 중요합니다.

라우팅 테이블 보안 원칙을 적용하십시오.

라우팅 테이블은 대상 CIDR을 대상에 매핑하고 가장 구체적으로 일치하는 항목을 사용합니다. 로컬 VPC 라우팅은 항상 존재합니다. 라우팅 테이블은 인터넷 게이트웨이 라우팅을 통해 공용과 프라이빗을 구분하고, 민감한 서브넷을 격리하며(로컬 라우팅만 사용), 트래픽을 VPC 엔드포인트 또는 검사 방화벽으로 전달하고, 피어링 또는 전송 라우팅을 통해 VPC 간 도달 범위를 제어합니다. 의도하지 않은 인터넷 또는 VPC 간 경로가 있는지 감사하십시오.