Каковы причины использования частной подсети в aws vpc?

Question

Я пытаюсь оценить частные и общедоступные подсети при создании нового VPC. Является ли уединение от входящего трафика из Интернета единственной причиной для создания частной подсети? Эти моменты также необходимо учитывать при рассмотрении частной подсети.

1. Шлюз NAT платный - 0,045$/ час и 0,045 $ за ГБ переданных данных. Таким образом, есть стоимость рассмотрения. Мне понадобится NAT-шлюз для извлечения кода или обновления из Интернета.
2. Я должен иметь возможность защищать экземпляры в моих общедоступных подсетях, используя группы безопасности с различными уровнями строгости.
3. При запуске экземпляра я бы назначил публичный ip только тем экземплярам, ​​к которым я хочу получить доступ из-за пределов VPC.

Я прошел через этот вопрос, но он не решил мои сомнения в отношении вышеупомянутых пунктов. Любая помощь приветствуется.

Answer 1

Из 7 мер безопасности для защиты ваших серверов:

Изолированные среды исполнения

Как они повышают безопасность?

Изоляция ваших процессов в отдельных средах выполнения повышает вашу способность изолировать любые проблемы безопасности, которые могут возникнуть. Подобно тому, как переборки и отсеки могут помочь в устранении пробоин на корпусах, разделение отдельных компонентов может ограничить доступ злоумышленника к другим частям вашей инфраструктуры.

Итак, ИМХО, вам нужны частные подсети? Зависит. В производственной среде с публичными и частными службами, VPN, базами данных и т. Д. Да; но если у вас есть только один сервер, и вы не хотите иметь дело с настройкой сетевых ACL, маршрутизацией, NAT и т. д., возможно, вам будет достаточно общедоступной подсети с вашим сервером и хорошо настроенной группы безопасности.

Answer 2

Чтобы ответить на ваши вопросы:

1. Использовать экземпляр NAT (t2.small или же m3.medium) вместо шлюза NAT. Гораздо дешевле.
2. Зачем запускать их в общедоступной подсети, а затем настраивать группу безопасности, если нет необходимости принимать входящий интернет-трафик. В правилах SG всегда есть вероятность ошибиться и непреднамеренно разрешить вредоносный трафик. Даже если вы хотите принимать интернет-трафик, я предлагаю использовать обратный прокси, как haproxy
3. Затем запустите только эти экземпляры в публичной подсети или используйте обратный прокси

Частная подсеть - чрезвычайно полезная функция для защиты ваших экземпляров от DDoS, несанкционированного доступа и т. Д. Не пытайтесь обойти ее ради удобства.