Design av offentliga och privata subnät

En Virtual Private Cloud (VPC) är ert logiskt isolerade nätverk i AWS. I det delar ni ut subnät, alltså IP-adressintervall som hör till en enda Availability Zone. Hur ni delar upp en VPC i subnät är det första och viktigaste säkerhetsbeslutet, eftersom det avgör vad som kan nå vad.

Ett publikt subnät har en route till en internetgateway, så resurser i det kan nås från och nå internet. Ett privat subnät har ingen direkt route till internet. Skillnaden avgörs helt av routingtabellen, inte av någon egenskap hos själva subnätet.

Endast resurser som måste vara exponerade mot internet hör hemma i publika subnät: lastbalanserare, NAT-gateways och bastion-alternativ. Genom att hålla detta lager litet minskar ni attackytan. Applikationsservrar och databaser ska aldrig placeras i ett publikt subnät där internet kan nå dem direkt.

Placera applikationsservrar, databaser och interna tjänster i privata subnät. De kan fortfarande leverera trafik via en lastbalanserare i det publika subnätet och nå internet för uppdateringar via NAT, men de kan aldrig adresseras direkt utifrån, vilket kraftigt minskar exponeringen.

En vanlig säker layout använder tre lager: ett publikt subnät för lastbalanserare, ett privat appsubnät för beräkning och ett privat datasubnät för databaser. Trafiken flödar inåt lager för lager, och varje lager accepterar endast anslutningar från lagret framför det.

För resiliens bör ni replikera subnät över flera Availability Zones (AZ:er). Ett par med ett publikt och ett privat subnät i varje AZ gör att lastbalanserare och arbetsbelastningar överlever förlusten av en zon. Detta är en metod för hög tillgänglighet som även stöder säkra och redundanta designer.

Planera era CIDR-block så att subnäten inte överlappar och så att ni lämnar utrymme för tillväxt. Genomtänkta intervall utan överlapp gör routing, peering och referenser till säkerhetsregler tydligare. Överlappande CIDR-intervall mellan VPC:er hindrar senare peering och försvårar anslutningar, så planera adressutrymmet medvetet från början.

Subnätsdesign är en säkerhetskontroll eftersom den låter er isolera känsliga arbetsbelastningar. Ett datasubnät utan internetroute och utan inkommande väg annat än från applagret är strukturellt skyddat, även innan ni lägger till säkerhetsgrupper. Arkitekturen, inte bara reglerna, upprätthåller denna gräns.

Subnät definierar var nätverks-ACL:er gäller, eftersom NACL:er kopplas till subnätets gräns. Genom att kombinera väl utformade subnät med NACL:er på subnätsnivå och säkerhetsgrupper på resursnivå får ni den skiktade nätverksmodell med defense in depth som SCS-C02-examen förväntar sig.

Det klassiska misstaget är att placera en databas i ett publikt subnät eller att av bekvämlighet ge privata instanser publika IP-adresser. Båda alternativen exponerar resurser som bör förbli interna. Utgå från privat placering och motivera uttryckligen varje resurs i ett publikt subnät.

En genomtänkt subnätsdesign är grunden för en säker VPC. Genom att separera internetanslutna resurser från interna resurser och omfatta flera AZ:er bygger ni in isolering och resiliens i själva nätverket, den grund som gateways, routingtabeller och brandväggar sedan bygger vidare på.

En VPC delas upp i subnät som är knutna till Availability Zones. Ett subnät är publikt endast när dess routingtabell når en internetgateway; annars är det privat. Placera endast lastbalanserare och NAT i publika subnät och håll app- och datalagren privata. Använd ett mönster med flera lager över flera AZ:er och planerade CIDR-intervall utan överlapp, så att isolering byggs in i själva arkitekturen.