VPC Eşlemesini ve Transit Gateway'i Güvenceye Alma

İş yükleri çoğu zaman iletişim kurması gereken birden çok VPC'ye yayılır. AWS bunları bağlamak için iki temel yol sunar: VPC peering ve Transit Gateway. Her biri ağlar arasında yeni yollar oluşturduğundan, amaçlanandan daha fazla erişim açmamak için her biri dikkatle yapılandırılmalıdır.

Bir VPC peering connection, iki VPC'yi bağlayarak kaynakların aynı ağdaymış gibi özel IP'ler kullanarak iletişim kurmasını sağlar. Peering bire bir ilişkidir ve hiçbir zaman genel interneti kullanmadan AWS omurgasından yararlanır. Trafik özel kalır; ancak erişilebilirliği yine de yollar ve güvenlik kurallarıyla denetlersiniz.

Önemli bir nokta şudur: VPC peering is not transitive. VPC A, B ile; B de C ile peering yapıyorsa A, B üzerinden C'ye ulaşamaz. Her çiftin kendi peering bağlantısına ihtiyacı vardır. Bu geçişsiz yapı, kazara oluşan yayılmayı sınırlar; ancak yalnızca peering kullanıldığında çok sayıda VPC'den oluşan ağları yönetmeyi karmaşıklaştırır.

Bir peering bağlantısı tek başına erişim sağlamaz; her iki tarafa da routes eklemeniz ve trafiğe security groups and NACLs ile izin vermeniz gerekir. VPC'nin tamamı için değil, yalnızca iletişim kurması gereken belirli CIDR'lar için yollar ekleyerek VPC'ler arası açıklığı mümkün olduğunca dar tutun.

AWS Transit Gateway (TGW), birçok VPC'yi ve şirket içi ağı tek bir ağ geçidi üzerinden bağlayan bölgesel bir merkezdir. Birbirine dolanmış peering bağlantıları yerine her VPC TGW'ye bir kez bağlanır ve TGW bunlar arasında yönlendirme yapar. Büyük ortamlarda tam örgü peering'e göre çok daha iyi ölçeklenir.

Transit Gateway, hangi bağlantıların hangilerine ulaşabileceğini denetleyen kendi route tables'ına sahiptir. Bağlantıları belirli TGW route table'larıyla ilişkilendirip yalnızca seçilen yolları yayarak ağı segment edebilir; böylece bazı VPC'lerin iletişim kurmasına izin verirken diğerlerini merkezi olarak yalıtabilirsiniz.

TGW route-table segmentasyonu, güvenlik bölgeleri oluşturmanızı sağlar: örneğin üretim ve geliştirme VPC'leri aynı TGW'ye bağlanabilir; ancak birbirlerine ulaşamamaları için ayrı yönlendirme alanlarına yerleştirilir. Bu merkezi denetim, birçok ayrı peering bağlantısı genelinde yalıtımı sürdürmekten daha temizdir.

VPC'ler arası ve dışa çıkış trafiğini, AWS Network Firewall çalıştıran ve TGW'ye bağlı central inspection VPC üzerinden yönlendirebilirsiniz. Segmentler arasındaki tüm trafik denetimden geçer; böylece tüm ağ genelinde ilkeleri uygulamak ve kaydetmek için tek bir darboğaz noktası elde edersiniz.

Hem peering hem de TGW için temel risk, unintended connectivity oluşturmaktır. Gereğinden geniş yollar veya dikkatsizce yapılan route-table yayılımı, ayrı kalması gereken ortamların birbirine ulaşmasına izin verebilir. Yalnızca amaçlanan yolların bulunduğunu doğrulamak için TGW route table'larını ve peering yollarını düzenli olarak inceleyin.

Hem peering hem de TGW, bağlı VPC'ler arasında non-overlapping CIDR ranges gerektirir; çünkü yönlendirme benzersiz adreslere dayanır. Bu, adres alanını en baştan dikkatle planlamanın başka bir nedenidir: çakışan aralıklar bağlantıyı engeller ve daha sonra karmaşık geçici çözümler gerektirir.

Basit, doğrudan ve düşük maliyetli bağlantılara ihtiyaç duyan birkaç VPC için VPC peering kullanın. Çok sayıda VPC'niz varsa, merkezi segmentasyon ve denetime ihtiyaç duyuyorsanız veya şirket içi ağları VPN or AWS Direct Connect üzerinden bağlıyorsanız Transit Gateway kullanın. Her iki durumda da erişimi dar yollarla denetleyin ve istenmeyen yolların açılmadığını doğrulayın.

VPC peering, iki VPC'yi özel olarak bağlar; ancak not transitive özelliğe sahiptir ve her iki tarafta da yollarla birlikte güvenlik kuralları gerektirir. Transit Gateway, birçok VPC'yi ve şirket içi ağı bağlayan bölgesel bir merkezdir; kendi route tables'ı sayesinde segmentation ve güvenlik duvarı VPC'si üzerinden merkezi denetim sağlar. Her ikisi de non-overlapping CIDRs gerektirir; istenmeyen ortamlar arası yolları önlemek için yolları denetleyin.