Защита пиринга VPC и Transit Gateway

Рабочие нагрузки часто распределены между несколькими VPC, которым необходимо обмениваться данными. AWS предлагает два основных способа их соединения: пиринг VPC и Transit Gateway. Каждый из них создаёт новые пути между сетями, поэтому каждый необходимо настраивать внимательно, чтобы не открыть больший доступ, чем предусмотрено.

Пиринговое подключение VPC связывает два VPC, позволяя ресурсам обмениваться данными с использованием частных IP-адресов, как будто они находятся в одной сети. Пиринг устанавливает связь один к одному и использует магистральную сеть AWS, а не публичный интернет. Трафик остаётся частным, но доступность по-прежнему контролируется маршрутами и правилами безопасности.

Ключевой факт: пиринг VPC не является транзитивным. Если VPC A связан пирингом с B, а B — с C, VPC A не может подключиться к C через B. Для каждой пары требуется отдельное пиринговое подключение. Отсутствие транзитивности ограничивает случайное разрастание сети, но делает управление множеством VPC с помощью одного лишь пиринга сложным.

Само по себе пиринговое подключение не предоставляет доступ; необходимо добавить маршруты с обеих сторон и разрешить трафик с помощью групп безопасности и NACL. Добавляйте маршруты только для конкретных CIDR, которым требуется обмен данными, а не для всего VPC, чтобы межсетевой доступ оставался максимально ограниченным.

AWS Transit Gateway (TGW) — это региональный узел, соединяющий множество VPC и локальных сетей через единый шлюз. Вместо запутанной сети пиринговых подключений каждый VPC один раз подключается к TGW, который выполняет маршрутизацию между ними. Для крупных сред такой подход масштабируется значительно лучше, чем полносвязный пиринг.

У Transit Gateway есть собственные таблицы маршрутизации, которые управляют тем, какие подключения могут обмениваться данными. Связывая подключения с определёнными таблицами маршрутизации TGW и распространяя только выбранные маршруты, Вы можете сегментировать сеть: разрешать обмен данными между одними VPC и изолировать другие — централизованно.

Сегментация таблиц маршрутизации TGW позволяет создавать зоны безопасности: например, подключить рабочие и разрабатываемые VPC к одному TGW, но разместить их в отдельных доменах маршрутизации, чтобы они не могли обращаться друг к другу. Такой централизованный контроль проще, чем поддержание изоляции во множестве отдельных пиринговых подключений.

Вы можете направлять межсетевой трафик между VPC и исходящий трафик через центральный VPC проверки, подключённый к TGW и использующий сетевой экран AWS. Весь трафик между сегментами проходит проверку, что создаёт единую точку контроля для применения и регистрации политики во всей сети.

Основной риск как пиринга, так и TGW — создание непредусмотренного подключения. Слишком широкие маршруты или неосторожное распространение записей таблиц маршрутизации могут разрешить взаимодействие сред, которые должны оставаться разделёнными. Регулярно проверяйте таблицы маршрутизации TGW и маршруты пиринга, чтобы убедиться, что существуют только предусмотренные пути.

И пиринг, и TGW требуют, чтобы между подключаемыми VPC были непересекающиеся диапазоны CIDR, поскольку маршрутизация опирается на уникальные адреса. Это ещё одна причина заранее тщательно планировать адресное пространство: перекрывающиеся диапазоны блокируют подключение и впоследствии вынуждают использовать сложные обходные решения.

Используйте пиринг VPC для небольшого числа VPC, которым нужны простые, прямые и недорогие подключения. Используйте Transit Gateway, если у Вас много VPC, требуется централизованная сегментация и проверка или необходимо подключить локальные сети через VPN или AWS Direct Connect. В любом случае ограничивайте доступ узкими маршрутами и проверяйте, что непредусмотренные пути не открыты.

Примените знания о пиринге и Transit Gateway.

Пиринг VPC обеспечивает частное соединение двух VPC, но не является транзитивным и требует маршрутов и правил безопасности с обеих сторон. Transit Gateway — это региональный узел, соединяющий множество VPC и локальных сетей; у него есть собственные таблицы маршрутизации для сегментации и централизованной проверки через VPC с сетевым экраном. Для обоих вариантов требуются непересекающиеся CIDR; проверяйте маршруты, чтобы предотвращать непредусмотренные пути между средами.