Таблицы маршрутизации как средства безопасности

Таблица маршрутизации — это набор правил, определяющих, куда направляется сетевой трафик из подсети. Помимо обеспечения подключения, таблицы маршрутизации являются средством управления безопасностью: контролируя доступные подсети назначения, Вы определяете, что вообще возможно, ещё до применения любого правила сетевого экрана.

Каждый маршрут сопоставляет целевой CIDR с назначением, например со шлюзом интернета, шлюзом NAT, пиринговым подключением или транзитным шлюзом. AWS использует наиболее специфичный подходящий маршрут для каждого пакета. Локальный маршрут для CIDR VPC присутствует всегда и не может быть удалён.

Именно наличие или отсутствие маршрута к шлюзу интернета определяет, является ли подсеть публичной или частной. Удаление этого маршрута мгновенно превращает подсеть в частную. Поэтому истинным фактором доступности из интернета являются таблицы маршрутизации, а не настройки подсети.

Каждая подсеть связана ровно с одной таблицей маршрутизации, хотя одна таблица может обслуживать множество подсетей. Подсети без явно заданной связи используют главную таблицу маршрутизации VPC. Размещение публичных и частных подсетей в разных таблицах маршрутизации делает их правила доступа понятными и проверяемыми.

Чтобы изолировать подсеть данных, назначьте ей таблицу маршрутизации, в которой вообще нет маршрута в интернет или через NAT, а есть только локальный маршрут VPC. Такая подсеть может обмениваться данными внутри VPC, но не имеет пути в интернет ни в одном направлении, что обеспечивает структурную изоляцию, а не только опору на правила сетевого экрана.

Когда Вы создаёте шлюзовую конечную точку VPC для S3 или DynamoDB, AWS добавляет маршрут к конечной точке в соответствующие таблицы маршрутизации. Благодаря этому трафик к данному сервису AWS направляется через частную конечную точку, а не через интернет; такое изменение маршрутизации одновременно обеспечивает и защищает частный доступ.

Таблицы маршрутизации могут принудительно направлять трафик через устройство проверки или сетевой экран AWS перед выходом из VPC. Если направить исходящий трафик подсети к конечной точке сетевого экрана, а не напрямую к NAT, Вы гарантируете проверку каждого исходящего пакета. Таким образом, маршрутизация определяет, где выполняются проверки безопасности.

Чтобы подключиться к другому VPC, маршрут должен указывать на пиринговое подключение или транзитный шлюз. Отсутствие такого маршрута сохраняет разделение сетей. Слишком широкие маршруты могут непреднамеренно открыть пути между средами, поэтому записи маршрутов должны быть настолько конкретными, насколько это необходимо для задуманного подключения.

Слишком разрешающий маршрут, например направляющий 0.0.0.0/0 к шлюзу интернета в уровне, который должен быть частным, незаметно делает этот уровень публичным. Проверка таблиц маршрутизации на наличие непредусмотренных маршрутов в интернет или между VPC — важная часть защиты VPC.

Сочетайте маршрутизацию с NACL и группами безопасности: таблицы маршрутизации определяют, какие пути существуют, а NACL и группы безопасности — какой трафик разрешён на этих путях. Назначение без маршрута недоступно независимо от правил сетевого экрана, поэтому маршрутизация является внешним уровнем управления сетью.

Рассматривайте таблицы маршрутизации как осознанную границу безопасности. Используйте их, чтобы определить различия между публичными и частными подсетями, изолировать конфиденциальные подсети, направлять трафик через проверку и контролировать доступ между VPC. Проверка маршрутов на наличие непредусмотренных путей так же важна, как проверка правил сетевого экрана.

Таблицы маршрутизации сопоставляют целевые CIDR с назначениями и используют наиболее специфичное совпадение; локальный маршрут VPC присутствует всегда. Они определяют различия между публичными и частными подсетями через маршрут к шлюзу интернета, изолируют конфиденциальные подсети (только локальный маршрут), направляют трафик к конечным точкам VPC или сетевым экранам для проверки и контролируют доступ между VPC через пиринговые или транзитные маршруты. Проверяйте наличие непредусмотренных путей в интернет или между VPC.