การรักษาความปลอดภัย VPC Peering และ Transit Gateway

เวิร์กโหลดมักกระจายอยู่ในหลาย VPC ที่ต้องสื่อสารกัน AWS มีวิธีหลักสองแบบในการเชื่อมต่อ ได้แก่ การทำเพียร์ VPCและทรานซิตเกตเวย์ แต่ละวิธีสร้างเส้นทางใหม่ระหว่างเครือข่าย ดังนั้นจึงต้องกำหนดค่าอย่างรอบคอบเพื่อไม่ให้เปิดการเข้าถึงเกินกว่าที่ตั้งใจ

การเชื่อมต่อแบบเพียร์ของ VPCเชื่อม VPC สองแห่งเข้าด้วยกัน ทำให้ทรัพยากรสื่อสารกันโดยใช้ IP ส่วนตัวเสมือนอยู่ในเครือข่ายเดียวกัน การทำเพียร์เป็นความสัมพันธ์แบบหนึ่งต่อหนึ่งและใช้โครงข่ายหลักของ AWS โดยไม่ผ่านอินเทอร์เน็ตสาธารณะ ทราฟฟิกยังคงเป็นส่วนตัว แต่คุณยังควบคุมการเข้าถึงได้ด้วยเส้นทางและกฎความปลอดภัย

ข้อเท็จจริงสำคัญคือ การทำเพียร์ VPC ไม่ส่งต่อโดยอัตโนมัติ หาก VPC A ทำเพียร์กับ B และ B ทำเพียร์กับ C, A จะเข้าถึง C ผ่าน B ไม่ได้ แต่ละคู่ต้องมีการเชื่อมต่อแบบเพียร์ของตนเอง ลักษณะที่ไม่ส่งต่อโดยอัตโนมัตินี้ช่วยจำกัดการขยายตัวโดยไม่ตั้งใจ แต่ทำให้การจัดการเครือข่ายหลาย VPC ด้วยการทำเพียร์เพียงอย่างเดียวมีความซับซ้อน

การเชื่อมต่อแบบเพียร์เพียงอย่างเดียวไม่ได้ให้สิทธิ์เข้าถึงใด ๆ คุณต้องเพิ่มเส้นทางทั้งสองฝั่งและอนุญาตทราฟฟิกด้วยกลุ่มความปลอดภัยและ NACL เพิ่มเส้นทางเฉพาะ CIDR ที่จำเป็นต้องสื่อสารกัน ไม่ใช่ทั้ง VPC เพื่อให้ช่องทางข้าม VPC แคบที่สุดเท่าที่ทำได้

ทรานซิตเกตเวย์ของ AWS (TGW)คือศูนย์กลางระดับภูมิภาคที่เชื่อมต่อ VPC หลายแห่งและเครือข่ายภายในองค์กรผ่านเกตเวย์เดียว แทนที่จะมีการเชื่อมต่อแบบเพียร์ที่ยุ่งเหยิง แต่ละ VPC จะเชื่อมต่อกับ TGW เพียงครั้งเดียว จากนั้น TGW จะกำหนดเส้นทางระหว่างกัน วิธีนี้รองรับการขยายตัวได้ดีกว่าการทำเพียร์แบบเชื่อมต่อทุกคู่สำหรับสภาพแวดล้อมขนาดใหญ่

ทรานซิตเกตเวย์มีตารางเส้นทางของตนเอง ซึ่งควบคุมว่าอะไรจะเข้าถึงอะไรได้บ้าง การเชื่อมโยงการเชื่อมต่อเข้ากับตารางเส้นทาง TGW ที่กำหนดและเผยแพร่เฉพาะเส้นทางที่เลือกไว้ ช่วยให้คุณแบ่งส่วนเครือข่าย อนุญาตให้ VPC บางแห่งสื่อสารกันและแยก VPC อื่น ๆ ออกจากกันได้จากศูนย์กลาง

การแบ่งส่วนด้วยตารางเส้นทาง TGW ช่วยให้คุณสร้างโซนความปลอดภัยได้ ตัวอย่างเช่น VPC สำหรับระบบจริงและระบบพัฒนาจะเชื่อมต่อกับ TGW เดียวกัน แต่ถูกวางไว้ในโดเมนเส้นทางแยกกัน จึงเข้าถึงกันไม่ได้ การควบคุมจากศูนย์กลางนี้สะอาดกว่าการดูแลการแยกส่วนผ่านการเชื่อมต่อแบบเพียร์จำนวนมาก

คุณสามารถกำหนดเส้นทางทราฟฟิกระหว่าง VPC และทราฟฟิกขาออกผ่าน VPC ตรวจสอบส่วนกลางที่เชื่อมต่อกับ TGW และใช้งานไฟร์วอลล์เครือข่ายของ AWS ทราฟฟิกทั้งหมดระหว่างส่วนต่าง ๆ จะผ่านการตรวจสอบ ทำให้มีจุดควบคุมเดียวสำหรับบังคับใช้และบันทึกนโยบายทั่วทั้งเครือข่าย

ความเสี่ยงหลักของทั้งการทำเพียร์และ TGW คือการสร้างการเชื่อมต่อที่ไม่ได้ตั้งใจ เส้นทางที่กว้างเกินไปหรือการเผยแพร่รายการเส้นทางโดยไม่ระมัดระวังอาจทำให้สภาพแวดล้อมที่ควรแยกจากกันเข้าถึงกันได้ ตรวจสอบตารางเส้นทาง TGW และเส้นทางแบบเพียร์เป็นประจำเพื่อยืนยันว่ามีเฉพาะเส้นทางที่ตั้งใจไว้เท่านั้น

ทั้งการทำเพียร์และ TGW ต้องใช้ช่วง CIDR ที่ไม่ทับซ้อนกันระหว่าง VPC ที่เชื่อมต่อกัน เนื่องจากการกำหนดเส้นทางอาศัยที่อยู่ที่ไม่ซ้ำกัน นี่เป็นอีกเหตุผลที่ควรวางแผนพื้นที่ที่อยู่ล่วงหน้าอย่างรอบคอบ เพราะช่วงที่ทับซ้อนกันจะขัดขวางการเชื่อมต่อและบังคับให้ใช้วิธีแก้ปัญหาที่ซับซ้อนในภายหลัง

ใช้การทำเพียร์ VPCกับ VPC จำนวนน้อยที่ต้องการการเชื่อมต่อโดยตรง เรียบง่าย และมีต้นทุนต่ำ ใช้ทรานซิตเกตเวย์เมื่อมี VPC จำนวนมาก ต้องการการแบ่งส่วนและการตรวจสอบจากศูนย์กลาง หรือต้องเชื่อมต่อเครือข่ายภายในองค์กรผ่านVPN หรือการเชื่อมต่อโดยตรงของ AWS ไม่ว่าจะเลือกวิธีใด ให้ควบคุมการเข้าถึงด้วยเส้นทางที่แคบและยืนยันว่าไม่มีเส้นทางที่ไม่ได้ตั้งใจเปิดอยู่

การทำเพียร์ VPCเชื่อม VPC สองแห่งแบบส่วนตัว แต่ไม่ส่งต่อโดยอัตโนมัติ และต้องมีเส้นทางรวมถึงกฎความปลอดภัยทั้งสองฝั่ง ทรานซิตเกตเวย์เป็นศูนย์กลางระดับภูมิภาคที่เชื่อมต่อ VPC หลายแห่งและเครือข่ายภายในองค์กร พร้อมตารางเส้นทางของตนเองสำหรับการแบ่งส่วนและการตรวจสอบจากศูนย์กลางผ่าน VPC ไฟร์วอลล์ ทั้งสองวิธีต้องใช้CIDR ที่ไม่ทับซ้อนกัน ให้ตรวจสอบเส้นทางเพื่อป้องกันเส้นทางข้ามสภาพแวดล้อมที่ไม่ได้ตั้งใจ