Internet-, NAT- en egress-gateways

Subnets worden publiek of privé op basis van de gateways die hun verkeer kan bereiken. AWS biedt verschillende gatewaytypen, die elk een andere richting van internettoegang beheren. Als je deze begrijpt, kun je precies de connectiviteit toestaan die elke laag nodig heeft, en niets meer.

Een internetgateway (IGW) is een horizontaal geschaald, zeer beschikbaar onderdeel dat communicatie in twee richtingen tussen een VPC en internet mogelijk maakt. Een subnet met een route naar de IGW is publiek. Bronnen hebben ook een publiek IP-adres of Elastic IP nodig om via deze gateway vanaf internet bereikbaar te zijn.

Met een NAT-gateway (Network Address Translation) kunnen bronnen in privésubnets uitgaande verbindingen met internet maken, bijvoorbeeld voor updates of API-aanroepen, terwijl inkomende verbindingen die van buitenaf worden gestart, worden geblokkeerd. De gateway staat in een publiek subnet en geeft privé-instanties toegang tot internet zonder ze vanaf internet bereikbaar te maken.

De NAT-gateway is de sleutel tot het patroon 'privé maar verbonden': instanties kunnen patches ophalen en externe API's aanroepen, maar kunnen niet vanaf internet worden bereikt. Deze eenrichtingsuitvoer is precies wat app- en datalagen meestal nodig hebben en brengt functionaliteit en isolatie in balans.

Een NAT-gateway bevindt zich in één AZ. Plaats voor veerkracht één NAT-gateway per Availability Zone en routeer de privésubnets van elke AZ naar de lokale NAT-gateway. Zo voorkom je één foutpunt en blijft het verkeer binnen de AZ, wat zowel de betrouwbaarheid als de kosten verbetert.

Voor IPv6 is het equivalent van NAT de egress-only internetgateway. Deze staat uitgaand IPv6-verkeer van privébronnen toe en voorkomt dat internet inkomende IPv6-verbindingen start. IPv6-adressen zijn wereldwijd routeerbaar, dus deze gateway biedt voor IPv4 de bescherming voor alleen uitgaand verkeer die NAT biedt.

Gebruik VPC-eindpunten om AWS-services te bereiken zonder een internetpad. Gateway-eindpunten (voor S3 en DynamoDB) en interface-eindpunten (PrivateLink) laten privé-instanties AWS-API's aanroepen via het AWS-netwerk. Zo blijft het verkeer privé en is voor uitgaand verkeer dat alleen naar AWS gaat mogelijk geen NAT-gateway nodig.

Elk uitgaand pad kan een route zijn voor gegevensdiefstal. Geef voor AWS-services de voorkeur aan VPC-eindpunten boven NAT naar internet en combineer NAT met domeinfiltering van AWS Network Firewall wanneer breed uitgaand internetverkeer nodig is. Het beperken en inspecteren van uitgaand verkeer is een kernprincipe van hardening.

Koppel de gateway aan de behoefte: IGW voor openbaar, tweerichtingsinternet; NAT voor privé-IPv4 met alleen uitgaand verkeer; egress-only IGW voor privé-IPv6 met alleen uitgaand verkeer; VPC endpoints voor privétoegang tot AWS-services. De juiste keuze maken is een veelvoorkomend examenscenario.

Voor NAT-gateways betaal je uurtarieven en kosten voor gegevensverwerking. Door AWS-verkeer in plaats daarvan via endpoints te routeren, kun je tegelijk kosten verlagen en de beveiliging verbeteren. Het veiligste ontwerp is vaak ook het efficiëntste: minder blootstelling aan internet en minder geld dat wordt uitgegeven aan het verplaatsen van verkeer via NAT.

Gateways bepalen de connectiviteit van je VPC. Gebruik een IGW alleen voor de minimaal noodzakelijke openbare laag, NAT of egress-only IGW om privé-lagen veilige uitgaande toegang te geven, en VPC endpoints om AWS-verkeer volledig van internet af te houden. Deze gecontroleerde connectiviteit is essentieel voor een veilige VPC.

Een internetgateway geeft openbare subnetten tweerichtingsinternettoegang; een NAT-gateway geeft privé-IPv4-subnetten toegang met alleen uitgaand verkeer; een egress-only internetgateway doet hetzelfde voor IPv6. Implementeer NAT per AZ voor veerkracht. Gebruik VPC endpoints (gateway en interface/PrivateLink) om privé toegang te krijgen tot AWS-services en zo zowel het uitgaande aanvalsoppervlak als de NAT-kosten te beperken.