Проектирование публичных и частных подсетей

Виртуальное частное облако (VPC) — это логически изолированная сеть в AWS. Внутри неё Вы создаёте подсети — диапазоны IP-адресов, связанные с одной зоной доступности. Способ разделения VPC на подсети — первое и самое важное решение в области безопасности, поскольку он определяет, какие ресурсы могут обращаться к каким.

У публичной подсети есть маршрут к интернет-шлюзу, поэтому ресурсы в ней могут быть доступны из интернета и обращаться к нему. У частной подсети нет прямого маршрута в интернет. Это различие полностью определяется таблицей маршрутов, а не каким-либо свойством самой подсети.

В публичных подсетях должны находиться только ресурсы, которым необходимо взаимодействовать с интернетом: балансировщики нагрузки, шлюзы NAT и альтернативы бастионным узлам. Минимальный состав этого уровня уменьшает поверхность атаки. Серверы приложений и базы данных никогда не следует размещать в публичной подсети, где интернет может обращаться к ним напрямую.

Серверы приложений, базы данных и внутренние службы размещайте в частных подсетях. Они по-прежнему могут обслуживать трафик через балансировщик нагрузки в публичной подсети и обращаться в интернет за обновлениями через NAT, но извне к ним нельзя обратиться напрямую, что значительно уменьшает поверхность атаки.

Распространённая безопасная схема состоит из трёх уровней: публичная подсеть для балансировщиков нагрузки, частная подсеть приложений для вычислительных ресурсов и частная подсеть данных для баз данных. Трафик проходит внутрь уровень за уровнем, и каждый уровень принимает соединения только от расположенного перед ним уровня.

Для повышения устойчивости реплицируйте подсети в нескольких зонах доступности (AZ). Пара публичной и частной подсетей в каждой AZ позволяет балансировщикам нагрузки и рабочим нагрузкам пережить потерю одной зоны. Это практика обеспечения высокой доступности, которая также поддерживает безопасные резервированные схемы.

Планируйте свои блоки CIDR так, чтобы подсети не пересекались и оставалось место для роста. Продуманные непересекающиеся диапазоны упрощают маршрутизацию, пиринг и ссылки на правила безопасности. Пересекающиеся CIDR в разных VPC впоследствии блокируют пиринг и усложняют соединение, поэтому заранее тщательно планируйте адресное пространство.

Проектирование подсетей — это средство обеспечения безопасности, поскольку оно позволяет изолировать критически важные рабочие нагрузки. Подсеть данных без маршрута в интернет и без входящего пути, кроме пути от уровня приложений, структурно защищена ещё до добавления групп безопасности. Границу обеспечивает архитектура, а не только правила.

Подсети определяют, где применяются сетевые ACL, поскольку NACL подключаются на границе подсети. Сочетание грамотно спроектированных подсетей с NACL на уровне подсети и группами безопасности на уровне ресурсов создаёт многоуровневую сетевую модель с эшелонированной защитой, которую ожидает экзамен SCS-C02.

Классическая ошибка — разместить базу данных в публичной подсети или предоставить частным экземплярам публичные IP-адреса ради удобства. И то и другое открывает доступ к ресурсам, которые должны оставаться внутренними. По умолчанию выбирайте размещение в частной подсети и явно обосновывайте каждый ресурс в публичной подсети.

Грамотное проектирование подсетей — основа безопасности VPC. Отделяя ресурсы, доступные из интернета, от внутренних и распределяя их по AZ, Вы закладываете изоляцию и устойчивость в саму сеть — основу, на которой затем строятся шлюзы, таблицы маршрутов и межсетевые экраны.

VPC разделяется на подсети, связанные с зонами доступности. Подсеть является публичной только тогда, когда её таблица маршрутов ведёт к интернет-шлюзу; в противном случае она частная. Размещайте в публичных подсетях только балансировщики нагрузки и NAT, а уровни приложений и данных — в частных подсетях. Используйте многоуровневую схему в нескольких AZ с заранее спланированными непересекающимися CIDR, чтобы изоляция была заложена в саму архитектуру.