Sikre VPC-peering og Transit Gateway

Arbeidsbelastninger strekker seg ofte over flere VPC-er som må kommunisere. AWS tilbyr to hovedmåter å koble dem sammen på: VPC peering og Transit Gateway. Begge oppretter nye veier mellom nettverk, så begge må konfigureres nøye for å unngå å åpne mer tilgang enn tilsiktet.

En VPC peering connection kobler sammen to VPC-er slik at ressurser kan kommunisere ved hjelp av private IP-adresser som om de var på samme nettverk. Peering er en én-til-én-forbindelse og bruker AWS-stamnettet, aldri det offentlige internettet. Trafikken forblir privat, men De styrer fortsatt tilgjengeligheten med ruter og sikkerhetsregler.

Et viktig faktum er at VPC peering ikke er transitiv. Hvis VPC A har peering med B, og B har peering med C, kan ikke A nå C gjennom B. Hvert par trenger sin egen peering connection. Denne mangelen på transitivitet begrenser utilsiktet spredning, men gjør mange-VPC-nettverk komplekse å administrere med peering alene.

En peering connection gir ingen tilgang i seg selv. De må legge til ruter på begge sider og tillate trafikken med sikkerhetsgrupper og NACL-er. Legg bare til ruter for de spesifikke CIDR-ene som må kommunisere, ikke for hele VPC-en, slik at åpningen mellom VPC-er blir så begrenset som mulig.

AWS Transit Gateway (TGW) er et regionalt knutepunkt som kobler mange VPC-er og lokale nettverk sammen gjennom én gateway. I stedet for et virvar av peering-forbindelser kobles hver VPC til TGW én gang, og TGW ruter mellom dem. Dette skalerer langt bedre enn full mesh-peering i store miljøer.

Transit Gateway har egne rutetabeller som kontrollerer hvilke tilkoblinger som kan nå hverandre. Ved å knytte tilkoblinger til bestemte TGW-rutetabeller og bare distribuere utvalgte ruter kan De segmentere nettverket, slik at enkelte VPC-er kan kommunisere mens andre isoleres – alt fra ett sentralt sted.

Segmentering med TGW-rutetabeller gjør det mulig å opprette sikkerhetssoner. Produksjons- og utviklings-VPC-er kan for eksempel kobles til samme TGW, men plasseres i separate rutedomener slik at de ikke kan nå hverandre. Denne sentrale kontrollen er ryddigere enn å opprettholde isolasjon på tvers av mange individuelle peering-forbindelser.

De kan rute trafikk mellom VPC-er og utgående trafikk gjennom en sentral inspeksjons-VPC som er koblet til TGW og kjører AWS Network Firewall. All trafikk mellom segmentene passerer inspeksjon, slik at De får ett sentralt kontrollpunkt for å håndheve og loggføre regler i hele nettverket.

Den største risikoen med både peering og TGW er at De oppretter utilsiktet tilkobling. For brede ruter eller uforsiktig distribusjon av ruter kan la miljøer nå hverandre selv om de skal holdes adskilt. Gå regelmessig gjennom TGW-rutetabeller og peering-ruter for å bekrefte at bare de tilsiktede veiene finnes.

Både peering og TGW krever ikke-overlappende CIDR-områder mellom tilkoblede VPC-er, fordi ruting er avhengig av unike adresser. Dette er enda en grunn til å planlegge adresseområdet nøye på forhånd. Overlappende områder blokkerer tilkobling og tvinger frem kompliserte løsninger senere.

Bruk VPC peering for noen få VPC-er som trenger enkle, direkte og kostnadseffektive forbindelser. Bruk Transit Gateway når De har mange VPC-er, trenger sentral segmentering og inspeksjon, eller kobler til lokale nettverk via VPN eller AWS Direct Connect. Uansett bør De kontrollere tilgangen med smale ruter og bekrefte at ingen utilsiktede veier åpnes.

VPC peering kobler to VPC-er privat sammen, men er ikke transitiv og krever ruter og sikkerhetsregler på begge sider. Transit Gateway er et regionalt knutepunkt som kobler sammen mange VPC-er og lokale nettverk, med egne rutetabeller for segmentering og sentral inspeksjon via en brannmur-VPC. Begge krever ikke-overlappende CIDR-er. Revider rutene for å hindre utilsiktede veier mellom miljøer.