İnternet, NAT ve Çıkış Ağ Geçitleri

Alt ağlar, trafiğin ulaşabildiği ağ geçitlerine göre genel veya özel hâle gelir. AWS, her biri internet erişiminin farklı bir yönünü denetleyen çeşitli ağ geçidi türleri sunar. Bunları anlamak, her katmanın gereksinim duyduğu bağlantıya tam olarak izin vermenizi ve fazlasına izin vermemenizi sağlar.

Bir internet ağ geçidi (IGW), VPC ile internet arasında iki yönlü iletişime izin veren, yatay olarak ölçeklenen ve yüksek kullanılabilirliğe sahip bir bileşendir. IGW'ye rotası olan bir alt ağ geneldir. Kaynakların bu ağ geçidi üzerinden internetten erişilebilir olması için ayrıca genel IP veya Elastic IP'ye ihtiyacı vardır.

Bir NAT (Ağ Adresi Çevirisi) ağ geçidi, özel alt ağlardaki kaynakların güncellemeler veya API çağrıları için internete giden bağlantılar kurmasını sağlar; dışarıdan başlatılan gelen bağlantıları ise engeller. Genel bir alt ağda bulunur ve özel bulut sunucularına internet erişimi sağlarken onları internetten erişilebilir hâle getirmez.

NAT ağ geçidi, özel ancak bağlantılı modelin anahtarıdır: bulut sunucuları yamaları indirebilir ve harici API'leri çağırabilir ancak internete açık değildir. Bu tek yönlü çıkış, işlevsellik ile yalıtımı dengeleyerek uygulama ve veri katmanlarının genellikle ihtiyaç duyduğu şeyi sağlar.

Bir NAT ağ geçidi tek bir AZ'de bulunur. Dayanıklılık için her Kullanılabilirlik Alanına bir NAT ağ geçidi dağıtın ve her AZ'deki özel alt ağları yerel NAT'ına yönlendirin. Bu, tek hata noktasını ortadan kaldırır ve trafiği AZ içinde tutarak hem güvenilirliği hem de maliyet verimliliğini artırır.

IPv6 için NAT'ın karşılığı yalnızca çıkışa izin veren internet ağ geçididir. Özel kaynaklardan giden IPv6 trafiğine izin verirken internetin gelen IPv6 bağlantılarını başlatmasını önler. IPv6 adresleri genel olarak yönlendirilebilir olduğundan bu ağ geçidi, NAT'ın IPv4 için sağladığı yalnızca giden korumayı IPv6 için sunar.

AWS hizmetlerine herhangi bir internet yolu olmadan ulaşmak için VPC uç noktalarını kullanın. Ağ geçidi uç noktaları (S3 ve DynamoDB için) ile arayüz uç noktaları (PrivateLink), özel bulut sunucularının AWS API'lerini AWS ağı üzerinden çağırmasını sağlar. Bu, trafiği özel tutar ve yalnızca AWS'ye giden trafik için NAT ağ geçidi gereksinimini ortadan kaldırabilir.

Her giden yol, olası bir veri sızdırma rotasıdır. AWS hizmetleri için NAT üzerinden internete çıkış yerine VPC uç noktalarını tercih edin ve geniş internet çıkışı gerektiğinde NAT'ı AWS Network Firewall alan adı filtrelemesiyle birlikte kullanın. Giden trafiği en aza indirmek ve incelemek, temel bir sağlamlaştırma ilkesidir.

İhtiyaca uygun ağ geçidini seçin: genel, çift yönlü internet için IGW; yalnızca dışarı doğru bağlantı sağlayan özel IPv4 için NAT; yalnızca dışarı doğru bağlantı sağlayan özel IPv6 için egress-only IGW; özel AWS hizmeti erişimi için VPC endpoints. Doğru seçimi yapmak sınavlarda sık karşılaşılan bir senaryodur.

NAT ağ geçitleri saatlik ve veri işleme ücretlerine tabi olduğundan, AWS trafiğini bunun yerine endpoints üzerinden yönlendirmek maliyeti düşürürken güvenliği de artırabilir. En güvenli tasarım çoğu zaman daha yalın olan tasarımdır: internete daha az maruz kalınır ve trafiği NAT üzerinden geçirmek için daha az ödeme yapılır.

Ağ geçitleri VPC bağlantınızı şekillendirir. Yalnızca en küçük genel katman için IGW kullanın; özel katmanlara güvenli dışa doğru erişim sağlamak için NAT veya egress-only IGW kullanın; AWS trafiğini tamamen internetten uzak tutmak için VPC endpoints kullanın. Bu kontrollü bağlantı, güvenli bir VPC'nin temel unsurlarındandır.

Doğru ağ geçidini seçin.

internet gateway, genel alt ağlara çift yönlü internet erişimi sağlar; NAT gateway, özel IPv4 alt ağlarına outbound-only erişim sağlar; egress-only internet gateway ise IPv6 için aynı işlevi görür. Dayanıklılık için NAT'ı per AZ dağıtın. AWS hizmetlerine özel olarak erişmek ve hem dışa veri çıkışı yüzeyini hem de NAT maliyetini azaltmak için VPC endpoints (gateway and interface/PrivateLink) kullanın.