Internet, NAT dan Get Laluan Keluar

Subnet menjadi awam atau persendirian berdasarkan gerbang yang boleh dicapai oleh trafiknya. AWS menyediakan beberapa jenis gerbang, setiap satunya mengawal arah akses internet yang berbeza. Memahami gerbang ini membolehkan anda membenarkan hanya kesalinghubungan yang diperlukan oleh setiap lapisan.

gerbang internet (IGW) ialah komponen berskala mendatar dan berketersediaan tinggi yang membolehkan komunikasi dua hala antara VPC dengan internet. Subnet yang mempunyai laluan ke IGW ialah subnet awam. Sumber juga memerlukan IP awam atau IP Elastik untuk boleh dicapai dari internet melaluinya.

gerbang NAT (Terjemahan Alamat Rangkaian) membolehkan sumber subnet persendirian membuat sambungan keluar ke internet untuk kemas kini atau panggilan API, sambil menyekat sambungan masuk yang dimulakan dari luar. Gerbang ini berada dalam subnet awam dan memberikan akses internet kepada tika persendirian tanpa menjadikannya boleh dicapai dari internet.

Gerbang NAT ialah kunci kepada corak persendirian tetapi bersambung: tika boleh mendapatkan tampalan dan memanggil API luaran, namun tidak boleh dicapai dari internet. Egres sehala ini tepat seperti yang biasanya diperlukan oleh lapisan aplikasi dan data, dengan mengimbangi fungsi serta pengasingan.

Gerbang NAT berada dalam satu AZ. Untuk ketahanan, gunakan satu gerbang NAT bagi setiap Zon Ketersediaan dan halakan setiap subnet persendirian AZ ke NAT tempatannya. Ini mengelakkan satu titik kegagalan dan mengekalkan trafik dalam AZ, sekali gus meningkatkan kebolehpercayaan serta mengurangkan kos.

Untuk IPv6, padanan NAT ialah gerbang internet egres sahaja. Gerbang ini membenarkan trafik IPv6 keluar daripada sumber persendirian sambil menghalang internet daripada memulakan sambungan IPv6 masuk. Alamat IPv6 boleh dihalakan secara global, jadi gerbang ini menyediakan perlindungan keluar sahaja seperti yang diberikan NAT untuk IPv4.

Untuk mencapai perkhidmatan AWS tanpa sebarang laluan internet, gunakan titik akhir VPC. Titik akhir gerbang (untuk S3 dan DynamoDB) serta titik akhir antara muka (PrivateLink) membolehkan tika persendirian memanggil API AWS melalui rangkaian AWS. Ini mengekalkan trafik sebagai peribadi dan boleh menghapuskan keperluan gerbang NAT untuk egres yang hanya menuju AWS.

Setiap laluan keluar ialah laluan berpotensi untuk penyingkiran data. Utamakan titik akhir VPC berbanding NAT ke internet untuk perkhidmatan AWS, dan gabungkan NAT dengan penapisan domain AWS Network Firewall apabila egres internet yang luas diperlukan. Meminimumkan dan memeriksa egres ialah prinsip utama pengukuhan.

Padankan gerbang dengan keperluan: IGW untuk internet awam dua hala; NAT untuk IPv4 persendirian keluar sahaja; egress-only IGW untuk IPv6 persendirian keluar sahaja; titik akhir VPC untuk akses persendirian kepada perkhidmatan AWS. Pemilihan yang betul sering muncul dalam soalan peperiksaan.

Gerbang NAT dikenakan caj setiap jam dan caj pemprosesan data, jadi menghalakan trafik AWS melalui titik akhir sebaliknya boleh mengurangkan kos dan meningkatkan keselamatan serentak. Reka bentuk yang paling selamat selalunya juga lebih ringkas: pendedahan internet yang lebih rendah dan perbelanjaan yang lebih kecil untuk memindahkan trafik melalui NAT.

Gerbang menentukan bentuk sambungan VPC anda. Gunakan IGW hanya untuk lapisan awam yang minimum, NAT atau egress-only IGW untuk memberikan akses keluar yang selamat kepada lapisan persendirian, dan titik akhir VPC untuk memastikan trafik AWS tidak melalui internet langsung. Sambungan terkawal ini merupakan asas kepada VPC yang selamat.

Gerbang internet memberikan subnet awam akses internet dua hala; gerbang NAT memberikan subnet IPv4 persendirian akses keluar sahaja; gerbang internet keluar sahaja melakukan perkara yang sama untuk IPv6. Gunakan NAT bagi setiap AZ untuk daya tahan. Gunakan titik akhir VPC (gerbang dan antara muka/PrivateLink) untuk mengakses perkhidmatan AWS secara persendirian, sekali gus mengurangkan permukaan keluar dan kos NAT.