Genel ve Özel Alt Ağ Tasarımı

Sanal Özel Bulut (VPC), AWS içindeki mantıksal olarak yalıtılmış ağınızdır. Bunun içinde, tek bir Kullanılabilirlik Alanına bağlı IP adresi aralıkları olan alt ağlar oluşturursunuz. Bir VPC'yi alt ağlara nasıl böldüğünüz, neyin neye ulaşabileceğini belirlediği için ilk ve en önemli güvenlik kararıdır.

Genel bir alt ağın internet ağ geçidine giden bir rotası vardır; bu nedenle içindeki kaynaklara internetten ulaşılabilir ve bu kaynaklar internete ulaşabilir. Özel bir alt ağın doğrudan internet rotası yoktur. Bu ayrım, alt ağın herhangi bir özelliğiyle değil, tamamen rota tablosuyla tanımlanır.

Yalnızca internetle iletişim kurması gereken kaynaklar genel alt ağlarda bulunmalıdır: yük dengeleyiciler, NAT ağ geçitleri ve bastion alternatifleri. Bu katmanı asgari düzeyde tutmak saldırı yüzeyini küçültür. Uygulama sunucuları ve veritabanları, internetin kendilerine doğrudan ulaşabileceği genel bir alt ağda asla bulunmamalıdır.

Uygulama sunucularını, veritabanlarını ve dahili hizmetleri özel alt ağlara yerleştirin. Bunlar, genel alt ağdaki bir yük dengeleyici üzerinden trafiğe hizmet vermeye ve güncellemeler için NAT aracılığıyla internete ulaşmaya devam edebilir; ancak dışarıdan hiçbir zaman doğrudan adreslenemezler. Böylece maruz kalma büyük ölçüde azaltılır.

Yaygın ve güvenli bir yerleşim üç katman kullanır: yük dengeleyiciler için genel alt ağ, işlem kaynakları için özel uygulama alt ağı ve veritabanları için özel veri alt ağı. Trafik katman katman içeriye doğru akar ve her katman yalnızca kendisinden önce gelen katmandan bağlantı kabul eder.

Dayanıklılık için alt ağları birden çok Kullanılabilirlik Alanına (AZ'ler) çoğaltın. Her AZ'de bir genel ve özel alt ağ çifti bulunması, yük dengeleyicilerin ve iş yüklerinin bir alanın kaybına dayanmasını sağlar. Bu, güvenli ve yedekli tasarımları da destekleyen yüksek kullanılabilirlik uygulamasıdır.

CIDR bloklarınızı alt ağlar çakışmayacak ve büyümeye yer bırakacak şekilde planlayın. Düşünülerek seçilmiş, çakışmayan aralıklar yönlendirmeyi, eşlemeyi ve güvenlik kuralı başvurularını daha anlaşılır hâle getirir. VPC'ler arasındaki çakışan CIDR'ler daha sonra eşlemeyi engeller ve bağlantıyı karmaşıklaştırır; bu nedenle adres alanını en baştan bilinçli biçimde planlayın.

Alt ağ tasarımı bir güvenlik denetimidir; çünkü hassas iş yüklerini yalıtmanıza olanak tanır. İnternet rotası olmayan ve uygulama katmanı dışındaki hiçbir yerden gelen trafiğe izin vermeyen bir veri alt ağı, güvenlik grupları eklenmeden önce bile yapısal olarak korunur. Bu sınırı yalnızca kurallar değil, mimari uygular.

Alt ağlar, ağ ACL'lerinin nerede uygulanacağını belirler; çünkü NACL'ler alt ağ sınırına bağlanır. İyi tasarlanmış alt ağları alt ağ düzeyindeki NACL'ler ve kaynak düzeyindeki güvenlik gruplarıyla birlikte kullanmak, SCS-C02 sınavının beklediği katmanlı ve derinlemesine savunma ağ modelini sağlar.

Klasik hata, bir veritabanını genel bir alt ağa yerleştirmek veya kolaylık amacıyla özel bulut sunucularına genel IP'ler vermektir. Her iki yaklaşım da dahili kalması gereken kaynakları açığa çıkarır. Varsayılan olarak özel yerleşimi tercih edin ve genel alt ağdaki her kaynağı açıkça gerekçelendirin.

Sağlam alt ağ tasarımı, güvenli bir VPC'nin omurgasıdır. İnternete açık kaynakları dahili kaynaklardan ayırıp AZ'lere yayılarak yalıtımı ve dayanıklılığı doğrudan ağa yerleştirirsiniz. Ağ geçitleri, rota tabloları ve güvenlik duvarları da bu temel üzerine kurulur.

Alt ağ tasarımıyla ilgili akıl yürütme becerinizi uygulayın.

Bir VPC, Kullanılabilirlik Alanlarına bağlı alt ağlara bölünür. Bir alt ağ, yalnızca rota tablosu internet ağ geçidine ulaştığında genel olur; aksi hâlde özeldir. Genel alt ağlarda yalnızca yük dengeleyicileri ve NAT'ı tutun; uygulama ve veri katmanlarını özel alt ağlara yerleştirin. Yalıtımın mimarinin kendisine yerleşmesi için planlanmış ve çakışmayan CIDR'lerle birden çok AZ'ye yayılan çok katmanlı bir model kullanın.