Bramy internetowe, NAT i egress

Podsieci stają się publiczne lub prywatne w zależności od tego, do których gateways może dotrzeć ich ruch. AWS udostępnia kilka typów bram, z których każda kontroluje inny kierunek dostępu do internetu. Ich znajomość pozwala zapewnić dokładnie taką łączność, jakiej potrzebuje każda warstwa, i nic więcej.

internet gateway (IGW) to komponent skalowany horyzontalnie i o wysokiej dostępności, który umożliwia dwukierunkową komunikację między VPC a internetem. Podsieć z trasą do IGW jest publiczna. Aby zasoby były przez nią osiągalne z internetu, potrzebują również publicznego adresu IP lub Elastic IP.

NAT (Network Address Translation) gateway umożliwia zasobom w prywatnej podsieci nawiązywanie outbound połączeń z internetem, na przykład w celu pobierania aktualizacji lub wywoływania API, jednocześnie blokując połączenia przychodzące inicjowane z zewnątrz. Znajduje się w publicznej podsieci i zapewnia prywatnym instancjom dostęp do internetu bez udostępniania ich z internetu.

Brama NAT jest kluczem do wzorca „prywatne, ale połączone”: instancje mogą pobierać poprawki i wywoływać zewnętrzne API, ale nie można uzyskać do nich dostępu z internetu. Taki jednokierunkowy egress jest dokładnie tym, czego zwykle potrzebują warstwy aplikacji i danych, zapewniając równowagę między funkcjonalnością a izolacją.

Brama NAT działa w jednej strefie AZ. Aby zapewnić odporność, należy wdrożyć jedną bramę NAT na każdą strefę Availability Zone i kierować prywatne podsieci każdej strefy do lokalnej bramy NAT. Eliminuje to pojedynczy punkt awarii i utrzymuje ruch w obrębie strefy, poprawiając zarówno niezawodność, jak i koszty.

W przypadku IPv6 odpowiednikiem NAT jest egress-only internet gateway. Zezwala ona na wychodzący ruch IPv6 z prywatnych zasobów, jednocześnie uniemożliwiając internetowi inicjowanie przychodzących połączeń IPv6. Adresy IPv6 są globalnie routowalne, dlatego ta brama zapewnia ochronę tylko dla ruchu wychodzącego, którą NAT zapewnia w przypadku IPv4.

Aby uzyskiwać dostęp do usług AWS bez żadnej ścieżki internetowej, należy używać VPC endpoints. Gateway endpoints (dla S3 i DynamoDB) oraz interface endpoints (PrivateLink) pozwalają prywatnym instancjom wywoływać API AWS przez sieć AWS. Dzięki temu ruch pozostaje prywatny i można zrezygnować z bramy NAT na potrzeby ruchu wychodzącego wyłącznie do usług AWS.

Każda ścieżka wychodząca może stać się drogą eksfiltracji danych. W przypadku usług AWS należy preferować VPC endpoints zamiast NAT-to-internet, a gdy wymagany jest szeroki dostęp do internetu, połączyć NAT z filtrowaniem domen przez AWS Network Firewall. Ograniczanie i kontrolowanie ruchu wychodzącego to podstawowa zasada hardeningu.

Dopasuj bramę do potrzeby: IGW w przypadku publicznego, dwukierunkowego dostępu do Internetu; NAT w przypadku prywatnego ruchu wychodzącego tylko dla IPv4; egress-only IGW w przypadku prywatnego ruchu wychodzącego tylko dla IPv6; VPC endpoints w przypadku prywatnego dostępu do usług AWS. Wybór właściwego rozwiązania to częsty scenariusz egzaminacyjny.

Bramy NAT wiążą się z opłatami godzinowymi i opłatami za przetwarzanie danych, dlatego kierowanie ruchu AWS przez endpoints zamiast przez nie może jednocześnie obniżyć koszty i poprawić bezpieczeństwo. Najbezpieczniejsza architektura jest często również oszczędniejsza: zapewnia mniejszą ekspozycję na Internet i niższe koszty przesyłania ruchu przez NAT.

Bramy kształtują łączność w VPC. Należy używać IGW tylko dla minimalnej warstwy publicznej, NAT lub egress-only IGW do zapewnienia prywatnym warstwom bezpiecznego dostępu wychodzącego oraz VPC endpoints, aby całkowicie wyeliminować Internet z ruchu do usług AWS. Taka kontrolowana łączność ma kluczowe znaczenie dla bezpieczeństwa VPC.

internet gateway zapewnia podsieciom publicznym dwukierunkowy dostęp do Internetu, a NAT gateway zapewnia prywatnym podsieciom IPv4 dostęp wychodzący בלבד; egress-only internet gateway zapewnia to samo dla IPv6. Należy wdrażać NAT per AZ w celu zapewnienia odporności. Używaj VPC endpoints (gateway and interface/PrivateLink), aby uzyskiwać prywatny dostęp do usług AWS, zmniejszając zarówno powierzchnię ruchu wychodzącego, jak i koszty NAT.