AWS - VPC Prefix lists 管理 CIDR blocks
VPC Prefix lists
利用 VPC Prefix Lists 來集中管理 多個 CIDR 網段 (CIDR blocks)，
讓你在跨帳號、跨 VPC、甚至跨區部署時，更輕鬆地維護 IP 白名單或網段規則。
VPC Managed Prefix List
是一種可以 集中定義與管理一組 CIDR 網段（IP 範圍） 的 AWS 資源，
並可被 多個 VPC、Security Group、Route Table、Network Firewall 等共同引用。
為甚麼要 Prefix List?
沒有 Prefix List 的情況下：
- 你可能在不同帳號 / VPC 重複維護相同的 CIDR (例：公司內網、合作夥伴 IP)
- 每個 Security Group 都要手動改 IP → 容易出錯
- CIDR 變更時要逐一更新 N 個地方
Prefix List 解決了這個痛點：
- 集中管理
- 跨帳號共用
- 自動同步更新
Prefix List 的類型
| 類型 | 說明 |
|---|---|
| AWS-managed prefix list | 由 AWS 提供並自動更新（例如：S3、CloudFront、DynamoDB 端點 IP） |
| Customer-managed prefix list | 由你自訂（可跨帳號共用與引用） |
Prefix List 在哪裡可以用？
| 服務 | 用途 |
|---|---|
| Security Group | 用 Prefix List 定義允許的來源 IP 範圍 |
| Network ACL (NACL) | 用於 CIDR 白名單控制 |
| Route Table | 將流量導向特定網段（例如 TGW、VPN） |
| AWS Network Firewall | 定義允許/阻擋的 IP 範圍 |
| AWS Transit Gateway (TGW) | 匯總多個子網段的路由目標 |
| VPC Peering | 控制可互通的網段範圍 |
使用場景
| 使用情境 | 解法 |
|---|---|
| 🧱 有多個帳號共用相同白名單 | 用 Prefix List + Resource Access Manager (RAM) 共用 |
| 🧠 管理 CloudFront / S3 IP | 使用 AWS-managed Prefix List |
| 🔄 CIDR 常變動 | 只要更新 Prefix List，一次套用到所有資源 |
| 🔒 需要集中控管安全組規則 | Prefix List + AWS Config / Control Tower |
| 🌐 多區網路路由設計 | Prefix List + Transit Gateway Route Table |
Reference
- AWS - Consolidate and manage network CIDR blocks with managed prefix lists
