Ofis, test ve üretim ağları veya hizmet ile operasyon yönetimi (O&M) düzlemleri gibi iş yüklerini ayrı VPC'lere dağıtarak ağ alanlarını yalıtır.
Güvenlik riskleri
Farklı ağ alanlarının güvenlik düzeyleri ve erişim kontrolü gereksinimleri değişir. Uygun yalıtım olmadığında saldırılar yatay olarak yayılabilir ve yetkisiz erişimler oluşabilir.
Örneğin, ofis ağı İnternet'e erişir ve virüslere karşı daha savunmasızdır. Üretim ağı ise hizmetleri kontrollü bir şekilde sunmalı ve makineler yalnızca yetkili O&M sistemleri üzerinden değiştirilmelidir. Yalıtım bulunmadığında ofis bilgisayarındaki bir virüs üretim makinelerine bulaşabilir; ayrıca ofis bilgisayarları yetkili sistemleri atlayarak üretime doğrudan erişebilir.
Güvenlik grupları ağ alanlarını yalıtmak için uygun değildir. VPC'ler bağımsız adres alanlarıyla doğal olarak yalıtılmıştır ve karmaşık adres planlamasını ortadan kaldırır. Sınırlı VPC'ler arası erişim için PrivateLink gibi hizmetleri kullanın. Buna karşılık, tek bir VPC'yi ağ alanlarına bölmek dikkatli adres planlaması gerektirir; aynı VPC içindeki kaynaklar varsayılan olarak serbestçe iletişim kurabilir ve yanlış yapılandırılmış güvenlik grubu kuralları kolaylıkla istenmeyen izinlere yol açabilir.
En iyi uygulamalar
VPC'leri yalıtın ve VPC'ler arası erişim için PrivateLink kullanın
PrivateLink, hizmet VIP'si aracılığıyla VPC'ler arası hizmet erişimini sağlar. Aşağıdaki şekil, VPC1'deki bir hizmetin VPC2'deki bir hizmete PrivateLink ile bağlandığını gösterir. Bkz. PrivateLink kullanarak başka bir VPC'deki CLB örneğine erişin.
Bir uç nokta üzerinden hangi varlıkların (RAM kullanıcıları veya rolleri gibi) hizmetlere erişebileceğini denetlemek için PrivateLink uç nokta ilkelerini kullanın. Bkz. Uç nokta ilkeleri.
Belirli IP adresleri veya güvenlik grupları tarafından uç noktanın özel IP adresine erişimi kısıtlamak için PrivateLink uç noktasına bir güvenlik grubu ekleyin. Bkz. Güvenlik grupları ekleyin ve yönetin.
Bu yöntem, güvenilmeyen tarafların söz konusu olduğu senaryolar için uygundur; örneğin VPC1 ve VPC2 farklı şirketlere ait olabilir.
CEN ve VPC güvenlik duvarı ile VPC'leri yalıtın
Cloud Enterprise Network (CEN), aşağıdaki şekilde gösterildiği gibi hub-and-spoke topolojisinde bölgeler ve hesaplar arasında VPC'leri birbirine bağlar. Bkz. Senaryo tabanlı ağ ile bölgeler arasında VPC'leri bağlayın.
CEN yönlendirme ilkeleri, VPC'ler arasında kaba granüler erişim denetimi sağlar. Önceki şekilde VPC1 ile VPC3 ve VPC1 ile VPC2 arasındaki iletişime izin verirken VPC2 ile VPC3 arasındaki iletişimi engelleyebilirsiniz.
İş katmanı erişim denetimi için Temel Sürüm aktarma yönlendiricisi için VPC güvenlik duvarı yapılandırın. Aşağıdaki şekilde gösterildiği gibi VPC güvenlik duvarı, trafiği VPC sınırında yönlendirir ve VPC'ler arası trafiği filtreleyip yetkisiz erişimi engellemek amacıyla DPI, IPS kuralları, tehdit istihbaratı, sanal yamalama ve erişim kontrolü ilkelerini uygular.
