Zabezpieczanie VPC Peering i Transit Gateway

Obciążenia często obejmują wiele VPC, które muszą się ze sobą komunikować. AWS oferuje dwa główne sposoby ich łączenia: VPC peering i Transit Gateway. Każdy z nich tworzy nowe ścieżki między sieciami, dlatego każdy należy starannie skonfigurować, aby nie otworzyć większego dostępu, niż zamierzono.

VPC peering connection łączy dwa VPC, dzięki czemu zasoby mogą komunikować się za pomocą prywatnych adresów IP tak, jakby znajdowały się w tej samej sieci. Peering jest relacją jeden do jednego i korzysta z szkieletu sieci AWS, nigdy z publicznego Internetu. Ruch pozostaje prywatny, ale nadal kontrolujesz dostępność za pomocą tras i reguł bezpieczeństwa.

Kluczowy fakt: VPC peering nie jest tranzytywny. Jeśli VPC A ma peering z B, a B ma peering z C, A nie może dotrzeć do C przez B. Każda para wymaga własnego połączenia peeringowego. Brak tranzytywności ogranicza przypadkowe rozrastanie się sieci, ale sprawia, że zarządzanie siatką wielu VPC wyłącznie za pomocą peeringu jest złożone.

Samo połączenie peeringowe nie zapewnia dostępu; trzeba dodać trasy po obu stronach i zezwolić na ruch za pomocą grup zabezpieczeń i NACL. Dodawaj trasy tylko dla konkretnych CIDR-ów, które muszą się komunikować, a nie dla całego VPC, aby ograniczyć otwarcie między VPC do niezbędnego minimum.

AWS Transit Gateway (TGW) to regionalny hub, który łączy wiele VPC i sieci lokalnych za pomocą jednej bramy. Zamiast plątaniny połączeń peeringowych każde VPC jest jednokrotnie dołączane do TGW, który kieruje ruch między nimi. W dużych środowiskach skaluje się to znacznie lepiej niż peering w pełnej siatce.

Transit Gateway ma własne tablice tras, które kontrolują, które dołączone sieci mogą uzyskiwać dostęp do których innych sieci. Powiązując dołączenia z określonymi tablicami tras TGW i propagując tylko wybrane trasy, można centralnie segmentować sieć, zezwalając na komunikację między niektórymi VPC i izolując pozostałe.

Segmentacja za pomocą tablic tras TGW pozwala tworzyć strefy bezpieczeństwa: na przykład produkcyjne i deweloperskie VPC mogą być dołączone do tego samego TGW, ale umieszczone w oddzielnych domenach routingu, aby nie mogły się wzajemnie osiągać. Taka centralna kontrola jest prostsza niż utrzymywanie izolacji w wielu pojedynczych połączeniach peeringowych.

Można kierować ruch między VPC i ruch wychodzący przez centralny VPC inspekcyjny dołączony do TGW, w którym działa AWS Network Firewall. Cały ruch między segmentami przechodzi przez inspekcję, zapewniając jeden punkt kontrolny do egzekwowania zasad i rejestrowania zdarzeń w całej sieci.

Głównym ryzykiem zarówno w przypadku peeringu, jak i TGW jest tworzenie niezamierzonej łączności. Zbyt szerokie trasy lub nieuważna propagacja tras w tablicach tras mogą umożliwić komunikację między środowiskami, które powinny pozostać oddzielone. Regularnie sprawdzaj tablice tras TGW i trasy peeringowe, aby potwierdzać, że istnieją wyłącznie zamierzone ścieżki.

Peering i TGW wymagają nienakładających się zakresów CIDR między połączonymi VPC, ponieważ routing opiera się na unikatowych adresach. To kolejny powód, aby z wyprzedzeniem starannie zaplanować przestrzeń adresową; nakładające się zakresy blokują łączność i później wymuszają stosowanie złożonych obejść.

Użyj VPC peering w przypadku kilku VPC, które wymagają prostych, bezpośrednich i niedrogich połączeń. Użyj Transit Gateway, gdy masz wiele VPC, potrzebujesz centralnej segmentacji i inspekcji lub łączysz sieci lokalne za pośrednictwem VPN lub AWS Direct Connect. W obu przypadkach kontroluj dostęp za pomocą wąskich tras i upewnij się, że nie zostały otwarte żadne niezamierzone ścieżki.

Zastosuj wiedzę o peeringu i Transit Gateway.

VPC peering prywatnie łączy dwa VPC, ale nie jest tranzytywny i wymaga tras oraz reguł bezpieczeństwa po obu stronach. Transit Gateway to regionalny hub łączący wiele VPC i sieci lokalnych, z własnymi tablicami tras do segmentacji oraz centralnej inspekcji za pośrednictwem VPC z zaporą. Oba rozwiązania wymagają nienakładających się CIDR-ów; audytuj trasy, aby zapobiegać niezamierzonym ścieżkom między środowiskami.