Gateways de Internet, NAT e Saída

As sub-redes se tornam públicas ou privadas com base nos gateways que o tráfego delas pode alcançar. A AWS fornece vários tipos de gateway, cada um controlando uma direção diferente do acesso à Internet. Entendê-los permite autorizar exatamente a conectividade necessária para cada camada, e nada além disso.

Um gateway da Internet (IGW) é um componente com escalabilidade horizontal e alta disponibilidade que permite a comunicação bidirecional entre uma VPC e a Internet. Uma sub-rede com uma rota para o IGW é pública. Os recursos também precisam de um IP público ou de um IP elástico para serem acessíveis pela Internet por meio dele.

Um gateway NAT (conversão de endereços de rede) permite que recursos em sub-redes privadas façam conexões de saída para a Internet, para atualizações ou chamadas de API, enquanto bloqueia conexões de entrada iniciadas externamente. Ele fica em uma sub-rede pública e fornece acesso à Internet para instâncias privadas sem torná-las acessíveis pela Internet.

O gateway NAT é essencial para o padrão privado, mas conectado: as instâncias podem baixar correções e chamar APIs externas, mas não podem ser alcançadas pela Internet. Essa saída unidirecional é exatamente o que as camadas de aplicações e dados normalmente precisam, equilibrando funcionalidade e isolamento.

Um gateway NAT reside em uma única AZ. Para obter resiliência, implante um gateway NAT por zona de disponibilidade e roteie as sub-redes privadas de cada AZ para o NAT local. Isso evita um ponto único de falha e mantém o tráfego dentro da AZ, melhorando tanto a confiabilidade quanto o custo.

Para IPv6, o equivalente ao NAT é o gateway da Internet somente de saída. Ele permite tráfego IPv6 de saída proveniente de recursos privados, impedindo que a Internet inicie conexões IPv6 de entrada. Os endereços IPv6 são roteáveis globalmente; portanto, esse gateway fornece a proteção somente de saída que o NAT oferece para IPv4.

Para acessar serviços AWS sem nenhum caminho pela Internet, use endpoints da VPC. Gateways de endpoint (para S3 e DynamoDB) e endpoints de interface (PrivateLink) permitem que instâncias privadas chamem APIs da AWS pela rede AWS. Isso mantém o tráfego privado e pode eliminar a necessidade de um gateway NAT para saída destinada somente à AWS.

Todo caminho de saída é uma possível rota de exfiltração. Prefira endpoints da VPC em vez de NAT para a Internet ao acessar serviços AWS e combine o NAT com a filtragem de domínios do AWS Network Firewall quando for necessária uma saída ampla para a Internet. Minimizar e inspecionar a saída é um princípio fundamental de fortalecimento.

Associe o gateway à necessidade: IGW para acesso público e bidirecional à internet; NAT para acesso privado somente de saída em IPv4; IGW somente de saída para acesso privado somente de saída em IPv6; VPC endpoints para acesso privado aos serviços da AWS. Escolher corretamente é uma situação frequente em exames.

Os gateways NAT geram cobranças por hora e pelo processamento de dados. Portanto, encaminhar o tráfego da AWS por endpoints pode reduzir os custos e melhorar a segurança ao mesmo tempo. O design mais seguro muitas vezes também é o mais econômico: há menos exposição à internet e menos dinheiro gasto para transportar tráfego pelo NAT.

Os gateways moldam a conectividade da sua VPC. Use um IGW apenas para a camada pública mínima, NAT ou IGW somente de saída para fornecer acesso seguro de saída às camadas privadas e VPC endpoints para manter o tráfego da AWS totalmente fora da internet. Essa conectividade controlada é essencial para uma VPC segura.

Escolha o gateway correto.

Um gateway da internet fornece acesso bidirecional à internet para sub-redes públicas; um gateway NAT fornece acesso somente de saída para sub-redes privadas IPv4; um gateway da internet somente de saída faz o mesmo para IPv6. Implante o NAT por AZ para obter resiliência. Use VPC endpoints (gateway e interface/PrivateLink) para acessar os serviços da AWS de forma privada, reduzindo tanto a superfície de saída quanto o custo do NAT.