Reka Bentuk Subnet Awam dan Persendirian

Awan Persendirian Maya (VPC) ialah rangkaian anda yang diasingkan secara logik dalam AWS. Di dalamnya, anda membahagikan subnet, iaitu julat alamat IP yang terikat pada satu Zon Ketersediaan. Cara anda membahagikan VPC kepada subnet ialah keputusan keselamatan yang pertama dan paling penting kerana ia menentukan perkara yang boleh mencapai perkara lain.

Subnet awam mempunyai laluan ke gerbang internet, jadi sumber di dalamnya boleh dicapai dari internet dan boleh mencapai internet. Subnet persendirian tiada laluan internet langsung. Perbezaan ini ditentukan sepenuhnya oleh jadual laluan, bukannya oleh sebarang sifat subnet itu sendiri.

Hanya sumber yang perlu berhadapan dengan internet patut berada dalam subnet awam: pengimbang beban, gerbang NAT dan alternatif bastion. Mengekalkan lapisan ini pada saiz minimum mengurangkan permukaan serangan. Pelayan aplikasi dan pangkalan data tidak patut berada dalam subnet awam kerana internet boleh mencapainya secara langsung.

Letakkan pelayan aplikasi, pangkalan data dan perkhidmatan dalaman dalam subnet persendirian. Sumber ini masih boleh menyampaikan trafik melalui pengimbang beban dalam subnet awam dan mencapai internet untuk kemas kini melalui NAT, tetapi tidak pernah boleh dialamatkan secara langsung dari luar, sekali gus mengurangkan pendedahan dengan ketara.

Susun atur selamat yang biasa menggunakan tiga lapisan: subnet awam untuk pengimbang beban, subnet aplikasi persendirian untuk pengkomputeran dan subnet data persendirian untuk pangkalan data. Trafik mengalir ke dalam mengikut lapisan, dan setiap lapisan hanya menerima sambungan daripada lapisan di hadapannya.

Untuk ketahanan, replikakan subnet merentasi beberapa Zon Ketersediaan (AZ). Pasangan subnet awam dan persendirian dalam setiap AZ membolehkan pengimbang beban dan beban kerja terus beroperasi apabila satu zon gagal. Ini ialah amalan ketersediaan tinggi yang turut menyokong reka bentuk selamat dan berlebihan.

Rancang blok CIDR anda supaya subnet tidak bertindih dan ruang pertumbuhan masih tersedia. Julat yang dirancang dengan teliti dan tidak bertindih menjadikan penghalaan, penyambungan rakan sebaya dan rujukan peraturan keselamatan lebih kemas. CIDR yang bertindih merentas VPC kemudiannya menghalang penyambungan rakan sebaya dan merumitkan kesalinghubungan, jadi rancang ruang alamat dengan sengaja sejak awal.

Reka bentuk subnet ialah kawalan keselamatan kerana ia membolehkan anda mengasingkan beban kerja sensitif. Subnet data tanpa laluan internet dan tanpa laluan masuk kecuali daripada lapisan aplikasi dilindungi secara struktur, bahkan sebelum anda menambah kumpulan keselamatan. Seni bina, bukan peraturan semata-mata, menguatkuasakan sempadan ini.

Subnet menentukan tempat ACL rangkaian digunakan kerana NACL dilampirkan pada sempadan subnet. Menggabungkan subnet yang direka dengan baik dengan NACL pada peringkat subnet dan kumpulan keselamatan pada peringkat sumber memberikan anda model rangkaian berlapis dan pertahanan mendalam yang dijangka dalam peperiksaan SCS-C02.

Kesilapan klasik ialah meletakkan pangkalan data dalam subnet awam atau memberikan IP awam kepada tika persendirian demi kemudahan. Kedua-duanya mendedahkan sumber yang sepatutnya kekal dalaman. Jadikan penempatan persendirian sebagai pilihan lalai dan berikan justifikasi khusus untuk setiap sumber subnet awam.

Reka bentuk subnet yang baik ialah tulang belakang VPC yang selamat. Dengan mengasingkan sumber yang menghadap internet daripada sumber dalaman serta merentasi AZ, anda membina pengasingan dan ketahanan ke dalam rangkaian itu sendiri—asas yang kemudiannya menyokong gerbang, jadual laluan dan tembok api.

VPC dibahagikan kepada subnet yang terikat pada Zon Ketersediaan. Subnet hanya awam apabila jadual laluannya mencapai gerbang internet; jika tidak, subnet itu persendirian. Kekalkan hanya pengimbang beban dan NAT dalam subnet awam, dan letakkan lapisan aplikasi serta data secara persendirian. Gunakan corak berbilang lapisan merentasi beberapa AZ dengan CIDR yang dirancang dan tidak bertindih supaya pengasingan terbina dalam seni bina itu sendiri.