Güvenlik Denetimleri Olarak Yönlendirme Tabloları

route table, bir alt ağdan gelen ağ trafiğinin nereye yönlendirileceğini belirleyen kurallar kümesidir. Route table'lar bağlantının ötesinde bir security control görevi görür: bir alt ağın hangi hedeflere ulaşabileceğini denetleyerek, herhangi bir güvenlik duvarı kuralına bakılmadan önce nelerin mümkün olduğunu belirlersiniz.

Her yol, bir destination CIDR'ı internet ağ geçidi, NAT ağ geçidi, eşleme bağlantısı veya transit ağ geçidi gibi bir target ile eşleştirir. AWS, her paket için most specific matching route yolunu kullanır. VPC CIDR'ı için yerel yol her zaman bulunur ve kaldırılamaz.

Bir internet gateway'e giden yolun bulunması veya bulunmaması, bir alt ağı genel ya da özel yapan unsurdur. Bu yolu kaldırmak, alt ağı anında özel hâle getirir. Bu nedenle internet erişimine maruz kalmayı gerçekten belirleyen, alt ağ ayarları değil route table'lardır.

Her alt ağ tam olarak one route table ile ilişkilendirilir; ancak bir route table birçok alt ağa hizmet verebilir. Açıkça ilişkilendirilmemiş alt ağlar, VPC'nin main route table'ını kullanır. Genel ve özel alt ağları ayrı route table'larda tutmak, erişim kurallarını açık ve denetlenebilir hâle getirir.

Bir veri alt ağını yalıtmak için ona, yalnızca yerel VPC yolunu içeren ve no internet or NAT route at all barındıran bir route table atayın. Böyle bir alt ağ VPC içinde iletişim kurabilir; ancak her iki yönde de internete giden bir yolu yoktur. Bu, yalıtımı yalnızca güvenlik duvarı kurallarına güvenmek yerine yapısal olarak uygular.

S3 veya DynamoDB için bir gateway VPC endpoint oluşturduğunuzda AWS, ilgili route table'lara endpoint'e giden bir yol ekler. Bu, söz konusu AWS hizmeti trafiğini internet yerine özel endpoint üzerinden yönlendirir; böylece yapılan yönlendirme değişikliği özel erişimi hem etkinleştirir hem de güvenli hâle getirir.

Route table'lar, trafiği VPC'den çıkmadan önce through an inspection appliance or AWS Network Firewall üzerinden geçmeye zorlayabilir. Bir alt ağın dışa çıkışını doğrudan NAT'a değil, güvenlik duvarı endpoint'ine yönlendirerek her dışa giden paketin denetlenmesini garanti edersiniz. Böylece yönlendirme, güvenlik kontrollerinin nerede yapılacağını uygular.

Başka bir VPC'ye ulaşmak için bir yolun peering connection veya transit gateway'e işaret etmesi gerekir. Bu yolun eklenmemesi ağları ayrı tutar. Gereğinden geniş yollar eklemek ortamlar arasında istemeden yollar açabileceğinden, yol girdileri gerçekten amaçladığınız bağlantı kadar belirli olmalıdır.

Özel olması gereken bir katmanda 0.0.0.0/0'ı internet ağ geçidine göndermek gibi aşırı izin verici bir yol, o katmanı fark edilmeden genel hâle getirir. Route table'ları unexpected internet or cross-VPC routes açısından denetlemek, bir VPC'nin güvenliğini sağlamanın önemli bir parçasıdır.

Yönlendirmeyi NACL'ler ve security group'larla birleştirin: route table'lar what paths exist sorusunu, NACL'ler ve security group'lar ise bu yollarda what traffic is allowed sorusunu yanıtlar. Hedefe giden bir yol yoksa, güvenlik duvarı kurallarından bağımsız olarak hedefe erişilemez; bu da yönlendirmeyi ağ denetiminin en dış katmanı yapar.

Route table'ları bilinçli bir güvenlik sınırı olarak değerlendirin. Bunları genel ve özel ağları tanımlamak, hassas alt ağları yalıtmak, trafiği denetimden geçirmek ve VPC'ler arası erişimi kontrol etmek için kullanın. Yolları istenmeyen güzergâhlar açısından incelemek, güvenlik duvarı kurallarını incelemek kadar önemlidir.

Route table güvenliğiyle ilgili akıl yürütmeyi uygulayın.

Route tables, hedef CIDR'larını hedeflerle eşleştirir ve most specific match kuralını kullanır; yerel VPC yolu her zaman bulunur. İnternet ağ geçidi yolunu kullanarak define public versus private ayrımını yapar, hassas alt ağları (yalnızca yerel yol), VPC endpoints veya inspection firewalls üzerinden yönlendirilen trafiği yalıtır ve eşleme ya da transit yolları aracılığıyla VPC'ler arası erişimi kontrol ederler. İstenmeyen internet veya VPC'ler arası yolları denetleyin.