İnternet Ağ Geçidi ve Yönlendirme Tabloları

Internet Gateway (IGW), VPC'niz ile internet arasındaki iletişimi sağlayan, yatay olarak ölçeklenen, yedekli ve yüksek kullanılabilirlikli bir VPC bileşenidir. Genel IPv4 adreslerine sahip örnekler için Network Address Translation (NAT) gerçekleştirir; giden trafikte özel IP'lerini Elastic IP'lerine veya otomatik atanan genel IP'lerine dönüştürür, gelen trafikte ise bu dönüşümü tersine çevirir. Her VPC için bir IGW bulunur. VPC'nize IGW bağlamak örneklere otomatik olarak internet erişimi sağlamaz; ayrıca Route Tables'ı güncellemeniz ve örneklerin genel IP'lere sahip olduğundan emin olmanız gerekir.

Bir Route Table, bir subnet'ten veya Gateway'den gelen ağ trafiğinin nereye yönlendirileceğini belirleyen kurallar (route'lar) kümesidir. Her VPC'de, farklı bir Route Table'ı bir subnet ile açıkça ilişkilendirmediğiniz sürece tüm subnet'lerin varsayılan olarak kullandığı bir ana Route Table bulunur. Route'ların bir hedefi (CIDR bloğu) ve bir target'ı (local, internet gateway, NAT gateway, eşleme bağlantısı vb.) vardır. Birden çok route bir paketin hedefiyle eşleştiğinde en özel route (en uzun ön ek eşleşmesi) seçilir.

Bir subnet, kendisiyle ilişkilendirilmiş Route Table'da 0.0.0.0/0 (tüm internet trafiği) için Internet Gateway'i gösteren bir route varsa public kabul edilir. Bir subnet'i public hale getirmenin üç adımı vardır: (1) 0.0.0.0/0 → IGW route'una sahip özel bir Route Table oluşturmak; (2) Route Table'ı subnet ile ilişkilendirmek; ve (3) subnet'te genel IPv4'ün otomatik atanmasını etkinleştirmek; böylece burada başlatılan örneklere otomatik olarak genel IP atanır. Bu üç adım birlikte çalışan bir public subnet oluşturur.

Her Route Table, VPC içindeki tüm kaynaklar arasındaki iletişimi sağlayan bir local route (örneğin, 10.0.0.0/16 → local) içerir. Bu route silinemez veya değiştirilemez. VPC'nin herhangi bir subnet'indeki örneklerin hiçbir Gateway üzerinden geçmeden özel IP adreslerini kullanarak birbiriyle iletişim kurmasını sağlar. VPC'nin CIDR aralığı içindeki hedeflere yönelik trafikte local route, tüm özel route'lara göre her zaman önceliklidir.

Bir paket bir Route Table'daki birden çok route ile eşleşebildiğinde AWS, en özel ön eke (eşleşen en uzun ön eke) sahip route'u seçer. Örneğin, 10.0.0.0/8 → peering ve 10.1.0.0/16 → VPN route'larına sahipseniz 10.1.0.5 hedefine giden bir paket her ikisiyle de eşleşir; ancak /16 route'u daha özeldir (ön eki daha uzundur) ve öncelik kazanır. Route'ların ön ek uzunluğu aynıysa daha özel Gateway türleri önceliklidir: local > VGW propagated > static. Peering, VPN ve DX bağlantıları içeren karmaşık ağları tasarlarken bunu anlamak önemlidir.

VPC'ler, IPv4'ün yanında IPv6 CIDR bloklarını (AWS tarafından sağlanan /56) da destekler. IPv6 internet erişiminde IGW hem IPv4'ü hem de IPv6'yı yönetir. Yalnızca IPv6 giden trafiği (örneklerin giden IPv6 bağlantılarını başlatmasına izin verip gelen bağlantıları engellemeyi) etkinleştirmek için Egress-Only Internet Gateway kullanın. Bu, IPv4 private subnet'ler için NAT gateway'e işlevsel olarak benzer ancak özellikle IPv6 içindir. Örnekleri gelen IPv6 bağlantılarına açıkta bırakmadan IPv6 giden erişimini etkinleştirmek için private subnet'lere ::/0 → eigw-xxxxxxxx route'unu ekleyin.

Gateway Route Tables, doğrudan bir Internet Gateway veya Virtual Private Gateway ile ilişkilendirilen (bir subnet ile değil) Route Tables'tır. gelen trafiğin yönlendirilmesini etkinleştirerek internetten VPC'ye gelen trafiği EC2 örneklerine ulaşmadan önce incelemenizi sağlar. Bu, gelen tüm trafiği görmek zorunda olan satır içi güvenlik araçları (IDS/IPS, güvenlik duvarı sanal araçları) için kullanılır: gelen trafiği bir Gateway Load Balancer uç noktasına göndermek üzere IGW Route Table'ını yapılandırın; bu uç nokta trafiği güvenlik araçlarına dağıtır ve incelemeden sonra araçlar trafiği hedef EC2 örneğine iletir.

Şirket içi bir ağı VPN veya Direct Connect üzerinden bağladığınızda, şirket içi route'lar route propagation aracılığıyla VPC Route Tables'ınıza otomatik olarak yayılabilir. Virtual Private Gateway (VGW) için Route Table'da yayılımı etkinleştirdiğinizde, şirket içi yönlendiricinizin BGP üzerinden duyurduğu tüm route'lar Route Table'da otomatik olarak görünür; manuel route girişi gerekmez. Bu özellik, şirket içi subnet'lerin değiştiği dinamik ortamlar için özellikle yararlıdır. Statik VPN bağlantılarında şirket içi CIDR route'larını manuel olarak eklersiniz.

En iyi uygulama, her katman için ayrı Route Tables oluşturmaktır: public subnet'ler için bir tane (IGW route'u ile), private uygulama subnet'leri için bir tane (NAT gateway route'u ile) ve private veri subnet'leri için bir tane (internet route'u yok, yalnızca VPC uç noktaları). Böylece hatalı yapılandırılmış bir güvenlik grubu giden trafiğe izin verse bile veri katmanındaki örnekler yanlışlıkla internete ulaşamaz; çünkü Route Table'ın dışarıya giden bir yolu yoktur. Route Tables'ı ayırmak, her katmandaki ağ erişim modellerini denetlemeyi de kolaylaştırır.

Bir S3 veya DynamoDB Gateway VPC Endpoint oluşturduğunuzda AWS, belirtilen Route Tables'a otomatik olarak bir route ekler. Bu route'un hedefi hizmetin yönetilen prefix list'i, target'ı ise VPC endpoint'idir. Bu route, söz konusu subnet'lerden S3 veya DynamoDB'ye giden trafiğin internet yerine AWS'nin özel ağı üzerinden ilerlemesini sağlar. Gateway endpoint'leri ücretsizdir ve örnekleriniz yoğun S3 trafiği oluşturuyorsa NAT gateway maliyetlerini önemli ölçüde azaltabilir. Üretim VPC'lerindeki private subnet Route Tables'a her zaman S3 ve DynamoDB Gateway endpoint'leri ekleyin.

Blackhole route, ulaşılamayan bir target'a sahip olan ve trafiği kasıtlı olarak düşürmek için kullanılan route'tur. AWS, bir route'un target'ı (örneğin bir VPN bağlantısı veya Transit Gateway bağlantısı) silindiğinde ancak route kaldığında blackhole route'ları oluşturur. Belirli IP aralıklarını VPC'nizin içinden engellemek için blackhole route'ları kasıtlı olarak da oluşturabilirsiniz. Bu, güvenlik gruplarından ve NACL'lerden farklı, ağ düzeyinde bir trafik denetimi mekanizmasıdır. AWS'de bir route'un başvurduğu endpoint veya Gateway kullanılamaz duruma geldiğinde blackhole route'ları konsolda görünür.

Bu dersteki AWS Solutions Architect (SAA-C03) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: Internet Gateway, VPC ile internet arasındaki iletişimi sağlar ve VPC'ye bağlanmalı, ayrıca 0.0.0.0/0 route'u ile bir subnet'in Route Table'ında belirtilmelidir; Route Tables, hedef-target çiftlerini ve en uzun ön ek eşleşmesi önceliğini kullanarak trafik yönünü denetler; ayrıca her subnet katmanı için ayrı Route Tables kullanmak, mimari yoluyla trafik yalıtımını zorunlu kılar. Sırada private subnet'lerin internet erişimi için NAT Gateways konusunu ele alacağız.