将路由表作为安全控制措施

路由表是一组规则，用于决定将来自子网的网络流量导向何处。路由表不仅负责连接，也是安全控制手段：通过控制子网能够访问哪些目标，您可以在任何防火墙规则生效之前，先决定哪些访问路径是可能的。

每条路由都会将一个目标 CIDR映射到一个目标对象，例如互联网网关、NAT 网关、对等连接或中转网关。AWS 会为每个数据包使用匹配的最具体路由。VPC CIDR 对应的本地路由始终存在，且无法删除。

是否存在指向互联网网关的路由，决定了子网是公共子网还是私有子网。删除该路由后，子网会立即变为私有子网。因此，真正决定互联网暴露情况的是路由表，而不是子网设置。

每个子网只能关联一个路由表，但一个路由表可以服务多个子网。未显式关联路由表的子网会使用 VPC 的主路由表。将公共子网和私有子网分别放在不同的路由表中，可以让访问规则更加清晰，也便于审计。

要隔离数据子网，请为其配置一个完全没有互联网或 NAT 路由的路由表，只保留本地 VPC 路由。这样的子网可以在 VPC 内通信，但在任何方向上都没有通往互联网的路径，从结构上实现隔离，而不是完全依赖防火墙规则。

为 S3 或 DynamoDB 创建网关 VPC 端点时，AWS 会在相关路由表中添加指向该端点的路由。这样，面向 AWS 服务的流量会通过私有端点而不是互联网传输；这一​​路由变更既启用了私有访问，也提高了安全性。

路由表可以强制流量在离开 VPC 前经过检查设备或 AWS 网络防火墙。将子网的出站流量路由到防火墙端点，而不是直接路由到 NAT，可以确保每个出站数据包都经过检查。因此，路由决定了安全检查发生的位置。

要访问另一个 VPC，路由必须指向对等连接或中转网关。省略该路由可以使网络彼此隔离。添加范围过大的路由可能会无意中打开环境之间的通路，因此路由条目应当与您真正需要的连接范围一样具体。

如果某个本应私有的层使用过于宽松的路由（例如将 0.0.0.0/0 发送到互联网网关），该层就会在不易察觉的情况下变为公共层。审计路由表，检查是否存在意外的互联网路由或跨 VPC 路由，是保护 VPC 安全的重要环节。

请将路由与网络 ACL 和安全组结合使用：路由表决定存在哪些路径，网络 ACL 和安全组决定这些路径上允许哪些流量。无论防火墙规则如何设置，没有路由的目标都无法访问，因此路由是网络控制的最外层。

请将路由表视为有意识设置的安全边界。使用路由表定义公共与私有、隔离敏感子网、引导流量经过检查，并控制跨 VPC 访问范围。检查路由中是否存在非预期路径，与检查防火墙规则同样重要。

运用路由表安全原则。

路由表将目标 CIDR 映射到目标对象，并采用最具体匹配；本地 VPC 路由始终存在。路由表通过互联网网关路由定义公共与私有，通过仅保留本地路由来隔离敏感子网，将流量导向VPC 端点或检查防火墙，并通过对等路由或中转路由控制跨 VPC 访问。请审计路由，防止出现非预期的互联网路径或跨 VPC 路径。