VPC 기본 경로 용도 점검

설명

0.0.0.0/0와 ::/0는 더 구체적인 경로와 일치하지 않는 트래픽의 목적지를 정합니다. 기본 경로 자체가 모든 트래픽을 허용하는 규칙은 아니며, NAT 게이트웨이도 흔히 기본 경로의 대상으로 사용합니다.

잠재적 영향

의도와 다른 게이트웨이로 연결하면 불필요한 외부 통신 경로가 생기거나 필요한 연결이 끊어질 수 있습니다.

해결 방법

서브넷의 용도에 맞는 경로 대상과 목적지를 선택하세요. 허용할 트래픽은 보안 그룹과 네트워크 ACL에서 제어하고 필요한 기본 경로를 일괄 제거하지 마세요.

예시

외부 통신용 기본 경로와 특정 사설 대역으로 가는 경로를 비교합니다. 용도가 다른 예시이며, 두 번째가 항상 더 안전한 것은 아닙니다. 참조한 라우트 테이블과 게이트웨이·연결은 별도로 구성하세요.

변경 전

yaml

Resources:
  PublicRoute1:
    Type: AWS::EC2::Route
    Properties:
      RouteTableId: !Ref PublicRouteTable
      DestinationCidrBlock: 0.0.0.0/0
      NatGatewayId: !Ref NatGateway

  PublicRoute2:
    Type: AWS::EC2::Route
    Properties:
      RouteTableId: !Ref PublicRouteTable
      DestinationIpv6CidrBlock: ::/0
      EgressOnlyInternetGatewayId: !Ref EgressOnlyInternetGateway

변경 후

yaml

Resources:
  PublicRoute1:
    Type: AWS::EC2::Route
    Properties:
      RouteTableId: !Ref PublicRouteTable
      DestinationCidrBlock: 172.16.0.0/24
      TransitGatewayId: !Ref TransitGateway