Mengamankan Peering VPC dan Transit Gateway

Beban kerja sering merentasi beberapa VPC yang perlu berkomunikasi. AWS menawarkan dua cara utama untuk menyambungkannya: peering VPC dan Gerbang Transit. Setiap satunya mencipta laluan baharu antara rangkaian, jadi setiap satunya mesti dikonfigurasikan dengan teliti bagi mengelakkan akses yang lebih luas daripada yang dikehendaki.

Sambungan peering VPC menghubungkan dua VPC supaya sumber boleh berkomunikasi menggunakan IP persendirian seolah-olah berada pada rangkaian yang sama. Peering ialah hubungan satu dengan satu dan menggunakan tulang belakang AWS, tidak pernah melalui internet awam. Trafik kekal persendirian, tetapi anda masih mengawal kebolehcapaian dengan laluan dan peraturan keselamatan.

Fakta penting: peering VPC tidak bersifat transitif. Jika VPC A melakukan peering dengan B dan B melakukan peering dengan C, A tidak boleh mencapai C melalui B. Setiap pasangan memerlukan sambungan peering sendiri. Sifat tidak transitif ini mengehadkan pertumbuhan tanpa sengaja tetapi menjadikan jejaring banyak VPC rumit untuk diurus dengan peering sahaja.

Sambungan peering sahaja tidak memberikan akses; anda mesti menambah laluan pada kedua-dua belah dan membenarkan trafik dengan kumpulan keselamatan dan NACL. Tambah laluan hanya untuk CIDR khusus yang perlu berkomunikasi, bukan keseluruhan VPC, supaya bukaan rentas VPC dikekalkan sesempit mungkin.

Gerbang Transit AWS (TGW) ialah hab serantau yang menghubungkan banyak VPC dan rangkaian di premis melalui satu gerbang. Daripada menggunakan rangkaian sambungan peering yang berserabut, setiap VPC disambungkan sekali kepada TGW, yang menghalakan trafik antara VPC tersebut. Gerbang ini berskala jauh lebih baik berbanding peering jejaring penuh untuk persekitaran besar.

Gerbang Transit mempunyai jadual penghalaan sendiri yang mengawal lampiran mana boleh mencapai lampiran yang lain. Dengan mengaitkan lampiran dengan jadual penghalaan TGW tertentu dan menyebarkan hanya laluan terpilih, anda boleh membahagikan rangkaian, membenarkan sesetengah VPC berkomunikasi sambil mengasingkan VPC yang lain, semuanya secara berpusat.

Pembahagian jadual penghalaan TGW membolehkan anda membina zon keselamatan: contohnya, VPC pengeluaran dan pembangunan disambungkan kepada TGW yang sama tetapi diletakkan dalam domain penghalaan berasingan supaya kedua-duanya tidak boleh mencapai satu sama lain. Kawalan berpusat ini lebih kemas berbanding mengekalkan pengasingan merentasi banyak sambungan peering individu.

Anda boleh menghalakan trafik antara VPC dan trafik keluar melalui VPC pemeriksaan berpusat yang disambungkan kepada TGW serta menjalankan Tembok Api Rangkaian AWS. Semua trafik antara segmen melalui pemeriksaan, memberikan anda satu titik sekatan untuk menguatkuasakan dan merekodkan dasar merentasi seluruh rangkaian.

Risiko utama bagi peering dan TGW ialah mewujudkan sambungan yang tidak disengajakan. Laluan yang terlalu luas atau penyebaran laluan yang cuai boleh membenarkan persekitaran yang sepatutnya berasingan mencapai satu sama lain. Semak jadual penghalaan TGW dan laluan peering secara berkala untuk mengesahkan bahawa hanya laluan yang dikehendaki wujud.

Peering dan TGW kedua-duanya memerlukan julat CIDR yang tidak bertindih antara VPC yang disambungkan kerana penghalaan bergantung pada alamat yang unik. Ini ialah satu lagi sebab untuk merancang ruang alamat dengan teliti dari awal; julat yang bertindih menyekat sambungan dan memaksa penggunaan penyelesaian rumit kemudian.

Gunakan peering VPC untuk beberapa VPC yang memerlukan sambungan mudah, terus dan kos rendah. Gunakan Gerbang Transit apabila anda mempunyai banyak VPC, memerlukan pembahagian dan pemeriksaan berpusat, atau menyambungkan rangkaian di premis melalui VPN atau AWS Direct Connect. Dalam kedua-dua keadaan, kawal capaian dengan laluan yang sempit dan pastikan tiada laluan yang tidak disengajakan terbuka.

Peering VPC menghubungkan dua VPC secara persendirian tetapi tidak bersifat transitif dan memerlukan laluan serta peraturan keselamatan pada kedua-dua belah. Gerbang Transit ialah hab serantau yang menghubungkan banyak VPC dan rangkaian di premis, dengan jadual penghalaan sendiri untuk pembahagian dan pemeriksaan berpusat melalui VPC tembok api. Kedua-duanya memerlukan CIDR yang tidak bertindih; audit laluan untuk mengelakkan laluan rentas persekitaran yang tidak disengajakan.