Protegendo o Emparelhamento de VPCs e o Transit Gateway

As cargas de trabalho frequentemente abrangem várias VPCs que precisam se comunicar. A AWS oferece duas formas principais de conectá-las: emparelhamento de VPC e Transit Gateway. Cada uma cria novos caminhos entre redes e, por isso, deve ser configurada cuidadosamente para evitar a abertura de mais acesso do que o pretendido.

Uma conexão de emparelhamento de VPC conecta duas VPCs para que os recursos se comuniquem usando IPs privados como se estivessem na mesma rede. O emparelhamento é uma relação entre dois pontos e usa a rede principal da AWS, nunca a internet pública. O tráfego permanece privado, mas você ainda controla a alcançabilidade com rotas e regras de segurança.

Um fato crucial: o emparelhamento de VPC não é transitivo. Se a VPC A tem emparelhamento com B e B tem emparelhamento com C, A não pode alcançar C por meio de B. Cada par precisa de sua própria conexão de emparelhamento. Essa ausência de transitividade limita a expansão acidental, mas torna complexas de gerenciar, usando apenas emparelhamento, as malhas com muitas VPCs.

Uma conexão de emparelhamento, por si só, não concede acesso; você precisa adicionar rotas nos dois lados e permitir o tráfego com grupos de segurança e NACLs. Adicione rotas apenas para os CIDRs específicos que precisam se comunicar, e não para a VPC inteira, para manter a abertura entre VPCs o mais restrita possível.

O AWS Transit Gateway (TGW) é um hub regional que conecta muitas VPCs e redes locais por meio de um único gateway. Em vez de uma confusão de conexões de emparelhamento, cada VPC se conecta uma vez ao TGW, que faz o roteamento entre elas. Ele oferece uma escalabilidade muito maior que o emparelhamento em malha completa para ambientes grandes.

O Transit Gateway tem suas próprias tabelas de rotas, que controlam quais anexos podem alcançar quais destinos. Ao associar anexos a tabelas de rotas específicas do TGW e propagar apenas as rotas selecionadas, você pode segmentar a rede, permitindo que algumas VPCs se comuniquem e isolando outras, tudo de forma centralizada.

A segmentação das tabelas de rotas do TGW permite criar zonas de segurança. Por exemplo, as VPCs de produção e desenvolvimento podem se conectar ao mesmo TGW, mas ser colocadas em domínios de rota separados para não alcançarem umas às outras. Esse controle central é mais simples que manter o isolamento em muitas conexões individuais de emparelhamento.

Você pode direcionar o tráfego entre VPCs e o tráfego de saída por uma VPC central de inspeção conectada ao TGW e executando o AWS Network Firewall. Todo o tráfego entre segmentos passa pela inspeção, fornecendo um único ponto de estrangulamento para aplicar e registrar políticas em toda a rede.

O principal risco tanto do emparelhamento quanto do TGW é criar conectividade não intencional. Rotas amplas demais ou a propagação descuidada de tabelas de rotas podem permitir que ambientes alcancem outros que deveriam permanecer separados. Revise regularmente as tabelas de rotas do TGW e as rotas de emparelhamento para confirmar que existem apenas os caminhos pretendidos.

O emparelhamento e o TGW exigem intervalos de CIDR não sobrepostos entre as VPCs conectadas, pois o roteamento depende de endereços exclusivos. Esse é outro motivo para planejar cuidadosamente o espaço de endereçamento desde o início: intervalos sobrepostos bloqueiam a conectividade e obrigam à adoção de soluções alternativas complexas posteriormente.

Use o emparelhamento de VPC para algumas VPCs que precisam de conexões simples, diretas e de baixo custo. Use o Transit Gateway quando tiver muitas VPCs, precisar de segmentação e inspeção centralizadas ou conectar redes locais por meio de VPN ou AWS Direct Connect. Em qualquer caso, controle o alcance com rotas restritas e confirme que nenhum caminho não intencional foi aberto.

Aplique seus conhecimentos sobre emparelhamento e Transit Gateway.

O emparelhamento de VPC conecta duas VPCs de forma privada, mas não é transitivo e exige rotas e regras de segurança nos dois lados. O Transit Gateway é um hub regional que conecta muitas VPCs e redes locais, com suas próprias tabelas de rotas para segmentação e inspeção central por meio de uma VPC de firewall. Ambos exigem CIDRs não sobrepostos; audite as rotas para impedir caminhos não intencionais entre ambientes.