public vs. private subnet
expressãonuvem
A divisão básica da VPC: sub-redes públicas roteiam ao internet gateway e podem ser alcançadas; privadas saem via NAT e não podem.
Balanceadores no público, cargas no privado: o padrão por trás da maioria das arquiteturas de referência.
Em redes de nuvem, uma sub-rede pública tem rota para um gateway de internet e uma privada não tem, e essa única diferença de roteamento é a distinção inteira. Não é sobre endereços, e um recurso numa sub-rede privada pode ter um endereço perfeitamente comum que simplesmente não tem caminho para fora.
O padrão que isso produz é a arquitetura de referência habitual: balanceadores na sub-rede pública, servidores de aplicação e bancos de dados em sub-redes privadas, e acesso de saída para a camada privada por um gateway NAT que permite egresso sem permitir entrada. Esse arranjo faz com que um servidor de aplicação comprometido não possa ser alcançado diretamente da internet, mesmo que esteja escutando.
Dois erros se repetem o bastante para merecer nome. Um recurso colocado numa sub-rede privada com endereço público anexado não é privado, porque o que importa é a rota, e alguém vai supor que o endereço implica isolamento. E o caminho de saída é frequentemente esquecido na modelagem de ameaças: uma sub-rede privada com egresso irrestrito permite ao atacante exfiltrar dados e alcançar a infraestrutura de comando livremente, então o controle que importa muitas vezes está na saída, e não na entrada.