Isolasi domain jaringan dengan men-deploy beban kerja di VPC terpisah, seperti jaringan kantor, pengujian, dan produksi atau plane layanan dan O&M.
Risiko keamanan
Domain jaringan yang berbeda memiliki tingkat keamanan dan persyaratan kontrol akses yang berbeda. Tanpa isolasi yang memadai, serangan dapat menyebar secara lateral dan menyebabkan akses tidak sah.
Sebagai contoh, jaringan kantor mengakses Internet dan lebih rentan terhadap virus. Jaringan produksi harus mengekspos layanan secara terkendali, dan mesin-mesinnya hanya boleh dimodifikasi melalui sistem O&M yang sah. Tanpa isolasi, virus dari komputer kantor dapat menyebar ke mesin produksi, dan komputer kantor dapat melewati sistem O&M yang sah untuk mengakses lingkungan produksi secara langsung.
Security group tidak cocok untuk mengisolasi domain jaringan. VPC secara alami terisolasi dengan ruang alamat independen, sehingga menghindari perencanaan alamat yang kompleks. Gunakan layanan seperti PrivateLink untuk akses lintas-VPC yang terbatas. Sebaliknya, membagi satu VPC menjadi beberapa domain jaringan memerlukan perencanaan alamat yang cermat—sumber daya dalam VPC yang sama dapat berkomunikasi secara bebas secara default, dan konfigurasi security group yang salah dapat dengan mudah menciptakan izin yang tidak disengaja.
Praktik terbaik
Isolasi VPC dan gunakan PrivateLink untuk akses lintas-VPC
PrivateLink memungkinkan akses layanan lintas-VPC melalui VIP layanan. Gambar berikut menunjukkan PrivateLink yang menghubungkan layanan di VPC1 ke layanan di VPC2. Lihat Akses instans CLB di VPC lain menggunakan PrivateLink.
Gunakan kebijakan endpoint PrivateLink untuk mengontrol entitas mana saja, seperti Pengguna RAM atau peran, yang dapat mengakses layanan melalui endpoint tersebut. Lihat Kebijakan endpoint.
Lampirkan security group ke endpoint PrivateLink untuk membatasi akses ke Alamat IP pribadi endpoint tersebut berdasarkan alamat IP atau security group tertentu. Lihat Tambahkan dan kelola security group.
Metode ini cocok untuk skenario yang melibatkan pihak yang tidak saling percaya—misalnya, VPC1 dan VPC2 dapat dimiliki oleh perusahaan yang berbeda.
Isolasi VPC dengan CEN dan Firewall VPC
Cloud Enterprise Network (CEN) menghubungkan VPC lintas wilayah dan akun dalam topologi hub-spoke, seperti yang ditunjukkan pada gambar berikut. Lihat Hubungkan VPC lintas wilayah dengan jaringan berbasis skenario.
Kebijakan routing CEN menyediakan kontrol akses kasar antar-VPC. Pada gambar sebelumnya, Anda dapat mengizinkan komunikasi antara VPC1 dan VPC3 serta antara VPC1 dan VPC2, tetapi memblokir komunikasi antara VPC2 dan VPC3.
Untuk kontrol akses di lapisan bisnis, konfigurasikan Firewall VPC untuk Router transit Edisi Dasar. Seperti yang ditunjukkan pada gambar berikut, Firewall VPC mengalihkan traffic di batas VPC dan menerapkan DPI, Aturan IPS, intelijen ancaman, pembenahan virtual, serta kebijakan kontrol akses untuk menyaring traffic antar-VPC dan memblokir akses tidak sah.