Интернет, NAT и шлюзы исходящего трафика

Подсети становятся публичными или частными в зависимости от того, к каким шлюзам может направляться их трафик. AWS предоставляет несколько типов шлюзов, каждый из которых управляет отдельным направлением доступа в интернет. Понимание их назначения позволяет разрешить каждому уровню только необходимое соединение и ничего сверх этого.

Интернет-шлюз (IGW) — это горизонтально масштабируемый компонент с высокой доступностью, который обеспечивает двусторонний обмен данными между VPC и интернетом. Подсеть с маршрутом к IGW является публичной. Чтобы ресурсы были доступны из интернета через этот шлюз, им также нужен публичный или эластичный IP-адрес.

Шлюз NAT (преобразования сетевых адресов) позволяет ресурсам частной подсети устанавливать исходящие соединения с интернетом для получения обновлений или вызова API, блокируя при этом входящие соединения, инициированные извне. Он размещается в публичной подсети и предоставляет частным экземплярам доступ в интернет, не делая их доступными из интернета.

Шлюз NAT — ключевой элемент схемы «частные, но подключённые»: экземпляры могут загружать исправления и вызывать внешние API, но к ним нельзя обратиться из интернета. Такой односторонний исходящий доступ — именно то, что обычно требуется уровням приложений и данных, поскольку он сочетает функциональность с изоляцией.

Шлюз NAT находится в одной AZ. Для повышения устойчивости разверните по одному шлюзу NAT в каждой зоне доступности и направьте частные подсети каждой AZ к локальному NAT. Это устраняет единую точку отказа и сохраняет трафик внутри AZ, повышая надёжность и снижая затраты.

Для IPv6 аналогом NAT служит интернет-шлюз только для исходящего трафика. Он разрешает исходящий трафик IPv6 от частных ресурсов, предотвращая инициирование входящих соединений IPv6 из интернета. Адреса IPv6 маршрутизируются глобально, поэтому этот шлюз обеспечивает для IPv6 такую же защиту только исходящего доступа, какую NAT предоставляет для IPv4.

Чтобы обращаться к сервисам AWS без какого-либо пути через интернет, используйте конечные точки VPC. Шлюзовые конечные точки (для S3 и DynamoDB) и интерфейсные конечные точки (PrivateLink) позволяют частным экземплярам вызывать API AWS через сеть AWS. Трафик остаётся частным, а потребность в шлюзе NAT для исходящего доступа только к AWS может исчезнуть.

Каждый исходящий путь может стать каналом утечки данных. Для сервисов AWS отдавайте предпочтение конечным точкам VPC вместо NAT-доступа в интернет, а при необходимости широкого исходящего доступа в интернет используйте NAT вместе с фильтрацией доменов AWS Network Firewall. Минимизация и проверка исходящего трафика — основной принцип усиления защиты.

Подбирайте шлюз под задачу: IGW — для публичного двустороннего доступа в интернет; NAT — для исходящего доступа только по IPv4 из частных подсетей; egress-only IGW — для исходящего доступа только по IPv6 из частных подсетей; конечные точки VPC — для частного доступа к сервисам AWS. Правильный выбор — частый сценарий на экзамене.

За шлюзы NAT взимается почасовая плата и плата за обработку данных, поэтому маршрутизация трафика AWS через конечные точки вместо них одновременно снижает стоимость и повышает безопасность. Наиболее безопасная архитектура часто оказывается и более экономичной: меньше открытого доступа в интернет и меньше затрат на передачу трафика через NAT.

Шлюзы определяют подключение Вашего VPC. Используйте IGW только для минимального публичного уровня, NAT или egress-only IGW — чтобы предоставить частным уровням безопасный исходящий доступ, а конечные точки VPC — чтобы полностью исключить передачу трафика AWS через интернет. Такое контролируемое подключение имеет ключевое значение для безопасности VPC.

Выберите подходящий шлюз.

Шлюз интернета предоставляет публичным подсетям двусторонний доступ в интернет; шлюз NAT предоставляет частным подсетям IPv4 только исходящий доступ; шлюз интернета только для исходящего трафика делает то же самое для IPv6. Разворачивайте NAT в каждой AZ для повышения отказоустойчивости. Используйте конечные точки VPC (шлюзовые и интерфейсные/PrivateLink) для частного доступа к сервисам AWS, уменьшая как поверхность исходящего доступа, так и затраты на NAT.