Internet Gateway en routetabellen

Een subnet is openbaar als de bijbehorende routetabel een route voor 0.0.0.0/0 (al het internetverkeer) bevat die naar een Internet Gateway verwijst. Een subnet maak je in drie stappen openbaar: (1) maak een aangepaste routetabel met een route 0.0.0.0/0 → IGW; (2) koppel de routetabel aan het subnet; en (3) schakel het automatisch toewijzen van openbare IPv4-adressen voor het subnet in, zodat instanties die erin worden gestart automatisch een openbaar IP-adres ontvangen. Samen zorgen deze drie stappen voor een goed werkend openbaar subnet.

Elke routetabel bevat automatisch een lokale route (bijvoorbeeld 10.0.0.0/16 → local) die communicatie tussen alle resources binnen de VPC mogelijk maakt. Deze route kan niet worden verwijderd of gewijzigd. Hierdoor kunnen instanties in elk subnet van de VPC met elkaar communiceren via private IP-adressen, zonder dat het verkeer door een gateway hoeft. De lokale route heeft altijd voorrang op aangepaste routes voor verkeer met een bestemming binnen het CIDR-bereik van de VPC.

Wanneer een pakket met meerdere routes in een routetabel kan overeenkomen, selecteert AWS de route met de meest specifieke prefix (de langste overeenkomende prefix). Voorbeeld: als je routes hebt voor 10.0.0.0/8 → peering en 10.1.0.0/16 → VPN, komt een pakket met bestemming 10.1.0.5 met beide overeen, maar de /16-route is specifieker (heeft een langere prefix) en krijgt voorrang. Als routes dezelfde prefixlengte hebben, krijgen specifiekere typen gateways voorrang: local > VGW propagated > static. Dit is belangrijk bij het ontwerpen van complexe netwerken met gekoppelde peering-, VPN- en DX-verbindingen.

VPC's ondersteunen IPv6-CIDR-blokken (door Amazon geleverd /56) naast IPv4. Voor IPv6-toegang tot het internet verwerkt de IGW zowel IPv4 als IPv6. Gebruik voor alleen uitgaand IPv6-verkeer (waarbij instanties uitgaande IPv6-verbindingen mogen starten, maar inkomende verbindingen worden geblokkeerd) een Egress-Only Internet Gateway. Deze werkt functioneel vergelijkbaar met een NAT-gateway voor private IPv4-subnetten, maar is specifiek bedoeld voor IPv6. Voeg de route ::/0 → eigw-xxxxxxxx toe aan private subnetten om uitgaande IPv6-toegang mogelijk te maken zonder de instanties bloot te stellen aan inkomende IPv6-verbindingen.

Gatewayroutetabellen zijn routetabellen die rechtstreeks aan een Internet Gateway of Virtual Private Gateway zijn gekoppeld (niet aan een subnet). Ze maken inkomenderouting mogelijk: verkeer dat vanaf het internet de VPC binnenkomt, wordt geïnspecteerd voordat het EC2-instanties bereikt. Dit wordt gebruikt voor inline-beveiligingsapparaten (IDS/IPS, virtuele firewallapparaten) die al het inkomende verkeer moeten kunnen zien. Configureer de IGW-routetabel om inkomend verkeer naar een Gateway Load Balancer-eindpunt te sturen. Dit eindpunt verdeelt het verkeer over beveiligingsapparaten, waarna deze apparaten het na inspectie doorsturen naar de EC2-instantie van bestemming.

Wanneer je via VPN of Direct Connect verbinding maakt met een on-premises netwerk, kunnen de on-premises routes automatisch via routepropagatie naar je VPC-routetabellen worden doorgegeven. Schakel propagatie in op de routetabel voor de Virtual Private Gateway (VGW). Alle routes die je on-premises router via BGP bekendmaakt, verschijnen dan automatisch in de routetabel—handmatige route-invoer is niet nodig. Dit is vooral nuttig in dynamische omgevingen waarin on-premises subnetten veranderen. Voor statische VPN-verbindingen voeg je de CIDR-routes van de on-premises netwerken handmatig toe.

Een aanbevolen werkwijze is om voor elke laag afzonderlijke routetabellen te maken: één voor openbare subnetten (met een IGW-route), één voor private applicatiesubnetten (met een NAT-gatewayroute) en één voor private datasubnetten (zonder internetroute—alleen VPC-eindpunten). Zo kunnen instanties in de datalaag niet per ongeluk het internet bereiken, zelfs niet als een verkeerd geconfigureerde beveiligingsgroep uitgaand verkeer toestaat: de routetabel bevat eenvoudigweg geen uitgaande route. Door routetabellen te scheiden, kun je toegangspatronen per laag ook eenvoudiger controleren.

Wanneer je een S3- of DynamoDB Gateway VPC Endpoint maakt, voegt AWS automatisch een route toe aan de opgegeven routetabellen. De bestemming is daarbij de door de service beheerde prefixlijst en het doel is het VPC-eindpunt. Deze route zorgt ervoor dat verkeer naar S3 of DynamoDB vanuit die subnetten via het private netwerk van AWS loopt in plaats van via het internet. Gateway-eindpunten zijn gratis en kunnen de kosten van NAT-gateways aanzienlijk verlagen als je instanties veel S3-verkeer genereren. Voeg in productie-VPC's altijd S3- en DynamoDB-gateway-eindpunten toe aan de routetabellen van private subnetten.

Een blackhole-route is een route waarvan het doel niet bereikbaar is en die opzettelijk wordt gebruikt om verkeer te verwijderen. AWS maakt blackhole-routes wanneer het doel van een route (bijvoorbeeld een VPN-verbinding of Transit Gateway-koppeling) wordt verwijderd, maar de route blijft bestaan. Je kunt ook opzettelijk blackhole-routes maken om specifieke IP-bereiken vanuit je VPC te blokkeren. Dit is een mechanisme voor verkeersbeheer op netwerkniveau, los van beveiligingsgroepen en NACL's. In AWS zijn blackhole-routes zichtbaar in de console wanneer een eindpunt of gateway waarnaar een route verwijst, niet beschikbaar wordt.

In deze les heb je geleerd dat een Internet Gateway communicatie tussen een VPC en het internet mogelijk maakt en aan de VPC moet zijn gekoppeld en in de routetabel van een subnet moet worden opgenomen met een route voor 0.0.0.0/0, dat routetabellen de verkeersrichting bepalen met combinaties van bestemming en doel, waarbij de langste prefix-overeenkomst voorrang krijgt en dat afzonderlijke routetabellen per subnetlaag verkeersisolatie op basis van de architectuur afdwingen. Hierna behandelen we NAT Gateways voor internettoegang vanuit private subnetten.