อินเทอร์เน็ต NAT และเกตเวย์ขาออก

ซับเน็ตจะเป็นสาธารณะหรือส่วนตัวขึ้นอยู่กับว่าเส้นทางการรับส่งข้อมูลสามารถไปถึงเกตเวย์ใด AWS มีเกตเวย์หลายประเภท ซึ่งแต่ละประเภทควบคุมทิศทางการเข้าถึงอินเทอร์เน็ตที่แตกต่างกัน การทำความเข้าใจเกตเวย์เหล่านี้ช่วยให้คุณอนุญาตการเชื่อมต่อเท่าที่แต่ละระดับต้องการและไม่มากไปกว่านั้น

เกตเวย์อินเทอร์เน็ต (IGW) เป็นองค์ประกอบที่ปรับขนาดในแนวนอนและมีความพร้อมใช้งานสูง ช่วยให้ VPC สื่อสารกับอินเทอร์เน็ตได้ทั้งสองทิศทาง ซับเน็ตที่มีเส้นทางไปยัง IGW จะเป็นซับเน็ตสาธารณะ ทรัพยากรยังต้องมี IP สาธารณะหรือ Elastic IP จึงจะสามารถเข้าถึงได้จากอินเทอร์เน็ตผ่านเกตเวย์นี้

เกตเวย์ NAT (Network Address Translation) ช่วยให้ทรัพยากรในซับเน็ตส่วนตัวสร้างการเชื่อมต่อขาออกไปยังอินเทอร์เน็ตเพื่อรับการอัปเดตหรือเรียก API ได้ ขณะเดียวกันก็ปิดกั้นการเชื่อมต่อขาเข้าที่เริ่มจากภายนอก เกตเวย์นี้อยู่ในซับเน็ตสาธารณะและมอบสิทธิ์ให้อินสแตนซ์ส่วนตัวเข้าถึงอินเทอร์เน็ตโดยไม่ทำให้อินสแตนซ์เหล่านั้นถูกเข้าถึงจากอินเทอร์เน็ตได้

เกตเวย์ NAT เป็นหัวใจของรูปแบบที่เชื่อมต่อได้แต่ยังเป็นส่วนตัว อินสแตนซ์สามารถดาวน์โหลดแพตช์และเรียกใช้ API ภายนอกได้ แต่ไม่สามารถถูกเข้าถึงจากอินเทอร์เน็ต การส่งข้อมูลขาออกทางเดียวนี้ตรงกับความต้องการทั่วไปของระดับแอปพลิเคชันและข้อมูล โดยสร้างสมดุลระหว่างการใช้งานกับการแยกออกจากกัน

เกตเวย์ NAT อยู่ใน AZ เดียว เพื่อความยืดหยุ่น ให้ติดตั้งเกตเวย์ NAT หนึ่งรายการต่อ Availability Zone และกำหนดเส้นทางจากซับเน็ตส่วนตัวของแต่ละ AZ ไปยัง NAT ใน AZ เดียวกัน วิธีนี้หลีกเลี่ยงจุดล้มเหลวเพียงจุดเดียวและทำให้การรับส่งข้อมูลอยู่ภายใน AZ ซึ่งช่วยเพิ่มทั้งความน่าเชื่อถือและประสิทธิภาพด้านต้นทุน

สำหรับ IPv6 สิ่งที่เทียบเท่ากับ NAT คือเกตเวย์อินเทอร์เน็ตสำหรับขาออกเท่านั้น เกตเวย์นี้อนุญาตการรับส่งข้อมูล IPv6 ขาออกจากทรัพยากรส่วนตัว พร้อมป้องกันไม่ให้อินเทอร์เน็ตเริ่มการเชื่อมต่อ IPv6 ขาเข้าได้ ที่อยู่ IPv6 สามารถกำหนดเส้นทางได้ทั่วโลก ดังนั้นเกตเวย์นี้จึงมอบการป้องกันแบบขาออกเท่านั้นเช่นเดียวกับที่ NAT มอบให้กับ IPv4

หากต้องการเข้าถึงบริการ AWS โดยไม่มีเส้นทางผ่านอินเทอร์เน็ต ให้ใช้ปลายทาง VPC ปลายทางเกตเวย์ (สำหรับ S3 และ DynamoDB) และปลายทางอินเทอร์เฟซ (PrivateLink) ช่วยให้อินสแตนซ์ส่วนตัวเรียกใช้ API ของ AWS ผ่านเครือข่าย AWS ได้ วิธีนี้ทำให้การรับส่งข้อมูลยังเป็นส่วนตัว และอาจไม่จำเป็นต้องใช้เกตเวย์ NAT สำหรับการส่งข้อมูลขาออกไปยังบริการของ AWS เท่านั้น

เส้นทางขาออกทุกเส้นทางอาจเป็นช่องทางในการลักลอบนำข้อมูลออกได้ ควรเลือกใช้ปลายทาง VPC แทน NAT ไปยังอินเทอร์เน็ตสำหรับบริการ AWS และใช้ NAT ร่วมกับการกรองโดเมนของ AWS Network Firewall เมื่อต้องการส่งข้อมูลขาออกไปยังอินเทอร์เน็ตในวงกว้าง การลดและตรวจสอบการส่งข้อมูลขาออกเป็นหลักการสำคัญของการเสริมความปลอดภัย

เลือกเกตเวย์ให้ตรงกับความต้องการ: IGW สำหรับอินเทอร์เน็ตสาธารณะแบบรับส่งข้อมูลได้ทั้งสองทิศทาง; NAT สำหรับการรับส่งข้อมูลขาออกเท่านั้นจาก IPv4 ส่วนตัว; egress-only IGW สำหรับการรับส่งข้อมูลขาออกเท่านั้นจาก IPv6 ส่วนตัว; และ ปลายทาง VPC สำหรับการเข้าถึงบริการของ AWS แบบส่วนตัว การเลือกให้ถูกต้องเป็นสถานการณ์ที่พบบ่อยในการสอบ

เกตเวย์ NAT มีค่าใช้บริการรายชั่วโมงและค่าประมวลผลข้อมูล ดังนั้นการใช้ ปลายทาง แทนการส่งข้อมูลของ AWS ผ่าน NAT จึงช่วยลดต้นทุนและเพิ่มความปลอดภัยได้พร้อมกัน การออกแบบที่ปลอดภัยที่สุดมักเป็นแบบที่กระชับที่สุดด้วย นั่นคือเปิดเผยต่ออินเทอร์เน็ตน้อยลงและเสียค่าใช้จ่ายในการส่งข้อมูลผ่าน NAT น้อยลง

เกตเวย์เป็นตัวกำหนดการเชื่อมต่อของ VPC ใช้ IGW เฉพาะกับชั้นสาธารณะที่จำเป็น ใช้ NAT หรือ egress-only IGW เพื่อให้ชั้นส่วนตัวเข้าถึงภายนอกได้อย่างปลอดภัย และใช้ปลายทาง VPC เพื่อให้การรับส่งข้อมูลของ AWS ไม่ผ่านอินเทอร์เน็ตเลย การควบคุมการเชื่อมต่อลักษณะนี้เป็นหัวใจสำคัญของ VPC ที่ปลอดภัย

เลือกเกตเวย์ให้ถูกต้อง

อินเทอร์เน็ตเกตเวย์ ให้ซับเน็ตสาธารณะเข้าถึงอินเทอร์เน็ตได้ทั้งสองทิศทาง ส่วน NAT เกตเวย์ ให้ซับเน็ต IPv4 ส่วนตัวเข้าถึงได้เฉพาะขาออก และ อินเทอร์เน็ตเกตเวย์แบบ egress-only ทำหน้าที่เดียวกันกับ IPv6 ให้ติดตั้ง NAT แยกตาม AZ เพื่อความทนทาน ใช้ ปลายทาง VPC (แบบเกตเวย์และแบบอินเทอร์เฟซ/PrivateLink) เพื่อเข้าถึงบริการของ AWS แบบส่วนตัว ซึ่งช่วยลดทั้งขอบเขตการรับส่งข้อมูลขาออกและต้นทุน NAT