Шлюз NAT и частные подсети

Ресурсы в частных subnets имеют только частные IP-адреса и не имеют маршрута к Internet Gateway, поэтому не могут инициировать исходящие соединения с интернетом. Однако им часто нужно обращаться в интернет: загружать исправления для OS, получать образы Docker, вызывать сторонние API или обновлять программное обеспечение. Решение состоит в маршрутизации трафика частной subnet через устройство, имеющее доступ в интернет и выполняющее NAT (трансляцию сетевых адресов), скрывая частные IP-адреса за общедоступным IP-адресом. AWS предоставляет два варианта: NAT Gateway (управляемый) и самостоятельно управляемый NAT Instance (устаревший).

NAT Gateway — это полностью управляемый и высокодоступный сервис, позволяющий экземплярам в частных subnets инициировать исходящие соединения с интернетом и блокирующий непредусмотренный входящий трафик. Он находится в общедоступной subnet, имеет Elastic IP и автоматически масштабируется до пропускной способности 100 Гбит/с. Вам не требуется устанавливать исправления, масштабировать или управлять базовой инфраструктурой. NAT Gateway преобразует частный IP-адрес источника исходящих пакетов в собственный EIP, а затем возвращает ответы исходному частному IP-адресу.

После создания NAT Gateway добавьте маршрут в таблицу маршрутов приватной подсети: назначение 0.0.0.0/0 → идентификатор NAT Gateway. Это указывает всему трафику от экземпляров приватной подсети, направленному в интернет, проходить через NAT Gateway, который затем пересылает его через Internet Gateway в интернет. В таблице маршрутов по-прежнему остаётся локальный маршрут VPC (например, 10.0.0.0/16 → local) для внутреннего трафика. Без этой записи маршрута экземпляры приватной подсети не получат доступ в интернет, даже если NAT Gateway уже развёрнут.

NAT Gateway привязан к конкретной AZ — он обрабатывает только трафик из подсетей в той же AZ. Для обеспечения высокой доступности разверните по одному NAT Gateway в каждой AZ и создайте отдельные таблицы маршрутов приватных подсетей для каждой AZ: таблица маршрутов приватной подсети в AZ-a направляет 0.0.0.0/0 к NAT-GW в AZ-a, а таблица маршрутов приватной подсети в AZ-b — к NAT-GW в AZ-b. Это позволяет избежать платы за передачу данных между AZ и гарантирует, что при отказе AZ-a экземпляры в AZ-b (со своим NAT) продолжат иметь доступ в интернет.

NAT Instance — это самостоятельно управляемый экземпляр EC2, на котором запущен NAT AMI; это устаревший подход, применявшийся до появления NAT Gateway. Для NAT Instance необходимо: отключить проверку источника и назначения на экземпляре EC2, управлять пропускной способностью и масштабированием, устанавливать исправления для OS и самостоятельно обрабатывать сбои. Они дешевле при очень низкой пропускной способности и могут использоваться как бастионные узлы. NAT Gateway — рекомендуемый вариант для production: полностью управляемый сервис с автоматическим масштабированием, SLA доступности 99,99% в пределах AZ и без необходимости устанавливать исправления. На экзамене это сравнение традиционно часто проверяется.

Стоимость NAT Gateway состоит из двух компонентов: почасовой платы за каждый NAT Gateway (примерно 0,045 доллара в час в us-east-1, около 32 долларов в месяц) и платы за обработку данных за каждый GB (около 0,045 доллара за GB в us-east-1). Для рабочих нагрузок, передающих через NAT большие объёмы данных (например, загружающих большие образы контейнеров или выполняющих массовые скачивания), стоимость обработки данных может стать основной. Оптимизируйте расходы на NAT: направляйте трафик S3 и DynamoDB через VPC Gateway Endpoints (это полностью обходится без NAT и бесплатно), а вызовы API AWS — через VPC Interface Endpoints, а не через NAT.

Экземпляры баз данных в приватных подсетях не должны направлять трафик через NAT Gateway — им не требуется самостоятельно инициировать подключения к интернету. Базам данных нужно только принимать подключения от уровня приложения (внутри VPC) и, возможно, обращаться к сервисам AWS, например S3 (для экспорта и импорта), через конечную точку VPC. Для установки исправлений и обновлений базы данных RDS является управляемым сервисом, поэтому применять исправления OS напрямую не нужно. Для самостоятельно управляемых баз данных на EC2 используйте Systems Manager Patch Manager: он может устанавливать исправления через SSM без доступа в интернет, если настроена конечная точка SSM VPC.

NAT Gateway обеспечивает отслеживаемую NAT-трансляцию только для исходящих подключений: он разрешает инициированные исходящие подключения и ответы на них, но блокирует все непредусмотренные входящие подключения. Это не брандмауэр: он не проверяет и не фильтрует содержимое трафика. Для фильтрации исходящего трафика (например, чтобы разрешить из приватных подсетей доступ только к определённым доменам или IP-адресам назначения) нужны дополнительные средства управления: AWS Network Firewall, развёрнутый в VPC, или стороннее устройство брандмауэра за Gateway Load Balancer. Группы безопасности и NACL по-прежнему применяются к экземплярам в приватных подсетях независимо от NAT.

Помимо публичных NAT Gateway (с EIP для доступа в интернет), AWS поддерживает приватные NAT Gateway без EIP. Приватные NAT Gateway используются для трансляции приватных IP-адресов при передаче трафика между VPC или между VPC и локальными сетями, когда диапазоны CIDR перекрываются. Например, если VPC-A (10.0.0.0/16) должна взаимодействовать с локальной сетью, которая также использует 10.0.0.0/16, приватный NAT Gateway в VPC-A преобразует исходные IP-адреса в неперекрывающийся диапазон, прежде чем направить трафик через Transit Gateway в локальную сеть.

Контролируйте состояние и производительность NAT Gateway с помощью метрик CloudWatch. Основные метрики: ActiveConnectionCount (текущее количество активных TCP-подключений через NAT), BytesInFromDestination / BytesInFromSource (передача данных в обоих направлениях), PacketDropCount (отброшенные пакеты — указывает на ограничения пропускной способности или ошибки) и ErrorPortAllocation (NAT исчерпал доступные порты; это может указывать на исчерпание портов из-за слишком большого количества подключений). Каждый NAT Gateway поддерживает до 55 000 одновременных подключений для каждого уникального назначения; сверх этого подключения могут отбрасываться.

Не всем рабочим нагрузкам в приватных подсетях нужен NAT Gateway. Учитывайте характер доступа: если экземплярам требуется взаимодействовать только с другими ресурсами VPC и сервисами AWS, доступными через конечные точки VPC (S3, DynamoDB, SSM, ECR, Secrets Manager), NAT Gateway можно полностью исключить, сэкономив около 32 долларов в месяц на каждую AZ и избежав платы за обработку данных. Это идеальный вариант для полностью приватных микросервисов, использующих VPC Interface Endpoints для доступа ко всем сервисам AWS. Проверьте каждый сервис, к которому обращаются экземпляры, и выясните, можно ли заменить NAT бесплатной Gateway Endpoint или платной Interface Endpoint.

Проверьте своё понимание концепций AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что NAT Gateway обеспечивает исходящий доступ в интернет для экземпляров приватной подсети, преобразуя их приватные IP-адреса в Elastic IP, в таблицу маршрутов приватной подсети необходимо добавить маршрут 0.0.0.0/0, указывающий на NAT Gateway, а также что для высокой доступности и предотвращения расходов на передачу данных между AZ следует разворачивать по одному NAT Gateway в каждой AZ. Далее мы сравним Network ACL и группы безопасности для многоуровневой защиты VPC.