Rutetabeller som sikkerhetskontroller

En route table er et sett med regler som avgjør hvor nettverkstrafikk fra et subnett skal sendes. Rutetabeller handler om mer enn tilkobling; de er også en sikkerhetskontroll. Ved å styre hvilke mål et subnett kan nå, avgjør De hva som i det hele tatt er mulig, før noen brannmurregel blir kontrollert.

Hver rute kobler en destination CIDR til et target, for eksempel en internet gateway, NAT gateway, peering connection eller transit gateway. AWS bruker den mest spesifikke ruten som samsvarer for hver pakke. Den lokale ruten for VPC-ens CIDR finnes alltid og kan ikke fjernes.

Det er om det finnes en rute til internet gateway eller ikke, som avgjør om et subnett er offentlig eller privat. Hvis De fjerner denne ruten, blir subnettet umiddelbart privat. Derfor er det rutetabellene, ikke subnettinnstillingene, som i praksis avgjør eksponeringen mot internett.

Hvert subnett er knyttet til nøyaktig én rutetabell, mens en rutetabell kan brukes av mange subnett. Subnett uten en eksplisitt tilknytning bruker VPC-ens main route table. Ved å bruke separate rutetabeller for offentlige og private subnett blir tilgangsreglene tydelige og enklere å revidere.

For å isolere et datasubnett må De gi det en rutetabell uten internettrute eller NAT-rute overhodet, og bare beholde den lokale VPC-ruten. Et slikt subnett kan kommunisere internt i VPC-en, men har ingen vei til internett i noen retning. Dermed håndheves isolasjonen strukturelt, i stedet for at De utelukkende må stole på brannmurregler.

Når De oppretter et gateway VPC endpoint for S3 eller DynamoDB, legger AWS til en rute til endepunktet i de aktuelle rutetabellene. Dette sender trafikken til AWS-tjenesten via det private endepunktet i stedet for via internett. Denne ruteendringen muliggjør og sikrer privat tilgang.

Rutetabeller kan tvinge trafikk gjennom en inspeksjonsenhet eller AWS Network Firewall før den forlater VPC-en. Ved å rute utgående trafikk fra et subnett til et brannmursendepunkt i stedet for direkte til NAT, garanterer De at hver utgående pakke blir inspisert. Ruting håndhever dermed hvor sikkerhetskontrollene utføres.

For å nå en annen VPC må en rute peke til en peering connection eller transit gateway. Hvis De utelater denne ruten, holdes nettverkene adskilt. For brede ruter kan utilsiktet åpne veier mellom miljøer, så ruteoppføringene bør være like spesifikke som tilkoblingen De faktisk ønsker.

En for tillatende rute, for eksempel en rute som sender 0.0.0.0/0 til en internet gateway i et lag som skal være privat, gjør laget offentlig uten at det nødvendigvis er synlig. Det er viktig å revidere rutetabeller for uventede internett- eller VPC-tilkoblinger som en del av sikringen av en VPC.

Kombiner ruting med NACL-er og sikkerhetsgrupper: Rutetabeller avgjør hvilke veier som finnes, mens NACL-er og sikkerhetsgrupper avgjør hvilken trafikk som tillates på disse veiene. Et mål uten rute kan ikke nås, uavhengig av brannmurreglene. Derfor er ruting det ytterste laget i nettverkskontrollen.

Se på rutetabeller som en bevisst sikkerhetsgrense. Bruk dem til å definere offentlige og private subnett, isolere sensitive subnett, styre trafikk gjennom inspeksjon og kontrollere tilgang mellom VPC-er. Det er like viktig å gjennomgå rutene for utilsiktede veier som å gjennomgå brannmurreglene.

Rutetabeller kobler CIDR-er for mål til målressurser og bruker den mest spesifikke treffende ruten. Den lokale VPC-ruten finnes alltid. Rutetabellene definerer offentlige og private subnett via internet-gateway-ruten, isolerer sensitive subnett (bare lokal rute), sender trafikk til VPC endpoints eller inspection firewalls, og kontrollerer tilgang mellom VPC-er gjennom peering- eller transitt-ruter. Revider dem for å finne utilsiktede internett- eller VPC-tilkoblinger.