الاتصال بالسحابة وVPCs

عندما تنشئون موارد في السحابة العامة، لا تحصلون على خوادم فحسب، بل على شبكة أيضًا. إن VPC (السحابة الخاصة الافتراضية) قسم معزول منطقيًا من سحابة المزود، تضعون فيه مواردكم. إنها شبكتكم الخاصة في مركز بيانات يملكه طرف آخر.

يتشارك المستأجرون الآخرون الأجهزة الفعلية نفسها، لكن VPC الخاصة بكم تُبقي حركة المرور والعناوين منفصلة عن الجميع.

تعرّفون VPC باستخدام نطاق عناوين IP خاص وفق تدوين CIDR (التوجيه بين النطاقات غير الصنفية)، مثل 10.0.0.0/16. وتصبح هذه الكتلة مساحة العناوين لجميع الموارد التي تشغّلونها داخلها.

وكما هي الحال في الشبكة المحلية، تختارون نطاقات خاصة (10.x أو 172.16-31.x أو 192.168.x) حتى تتمكن VPC لاحقًا من الاتصال بشبكة مكتبكم بسلاسة ومن دون تعارض في العناوين.

تقتطعون داخل VPC شبكات فرعية، وهي نطاقات عناوين أصغر ترتبط عادةً بمناطق التوافر (مراكز بيانات منفصلة) لتحقيق المرونة.

• الشبكات الفرعية العامة: يمكن للموارد الموجودة فيها الوصول إلى الإنترنت.
• الشبكات الفرعية الخاصة: لا تملك الموارد فيها مسارًا مباشرًا إلى الإنترنت، ولذلك فهي مثالية لقواعد البيانات.

يُعد وضع خوادم الويب في شبكات فرعية عامة وقواعد البيانات في شبكات فرعية خاصة تصميمًا شائعًا وآمنًا.

تربط بوابة الإنترنت شبكة VPC بالإنترنت العام، ما يوفّر للشبكات الفرعية العامة وصولًا واردًا وصادرًا. وتتيح بوابة NAT للموارد الموجودة في الشبكات الفرعية الخاصة الوصول إلى الإنترنت (لتنزيل التحديثات مثلًا) من دون السماح باتصالات واردة غير مطلوبة.

يحافظ هذا الاقتران على تحديث خوادم الواجهة الخلفية وقدرتها على الاتصال بالخارج، مع إبقائها مخفية عن الإنترنت؛ وهذا نمط أساسي من أنماط الأمان السحابي.

تستخدم كل شبكة فرعية جدول توجيه يحدد وجهة حركة المرور. ويؤدي توجيه العنوان 0.0.0.0/0 (جميع الوجهات) إلى بوابة إنترنت إلى جعل الشبكة الفرعية عامة، بينما يؤدي توجيهه إلى بوابة NAT إلى إبقائها خاصة.

تتيح جداول التوجيه للسحابة إعادة تطبيق قرارات التوجيه التقليدية برمجيًا. وتُعد المسارات التي تم إعدادها بشكل غير صحيح سببًا شائعًا لعدم قدرة موارد السحابة على الوصول إلى الإنترنت أو إلى بعضها بعضًا.

تحمي طبقتان من جدران الحماية حركة المرور في VPC:

• مجموعات الأمان: جدران حماية تتابعية مرتبطة بكل مثيل؛ فإذا سمحت بحركة المرور الصادرة، يُسمح بالردود الواردة تلقائيًا.
• NACLs (قوائم التحكم في الوصول إلى الشبكة): قواعد غير تتابعية على مستوى الشبكة الفرعية، ترشّح حركة المرور في الاتجاهين.

وتتيحان معًا التحكم بدقة في المنافذ والمصادر التي يمكنها الوصول إلى مواردك السحابية.

يربط تناظر VPC بين شبكتي VPC بحيث تتمكن الموارد من التواصل باستخدام عناوين خاصة، كما لو كانت على شبكة واحدة. ويفيد ذلك في الربط الخاص بين البيئات أو الفرق أو المناطق، من دون عبور حركة المرور عبر الإنترنت العام.

تناظر VPC غير انتقالي: فإذا كان VPC A متناظرًا مع B، وكان B متناظرًا مع C، فلن يتمكن A من الوصول إلى C مباشرة. يجب إنشاء كل رابط صراحةً.

بالنسبة إلى حركة المرور الكثيفة أو الحساسة، يوفّر مقدمو الخدمات اتصالات خاصة مخصصة، مثل AWS Direct Connect أو Azure ExpressRoute، تتجاوز الإنترنت العام بالكامل. وتوفّر هذه الاتصالات زمن استجابة منخفضًا وثابتًا، وعرض نطاق مرتفعًا، وأمانًا أفضل من مسار الإنترنت.

تستخدم المؤسسات هذه الاتصالات عندما تكون الموثوقية والأداء المتوقع مع السحابة أمرين حاسمين للأعمال، مع قبول التكلفة الإضافية مقابل رابط مضمون.

يُعد VPN من موقع إلى موقع خيارًا شائعًا وأقل تكلفة: نفقًا مشفرًا عبر الإنترنت العام يربط شبكة مكتبك بشبكة VPC. وتحمي التشفيرات حركة المرور (وغالبًا باستخدام IPsec) أثناء عبورها الإنترنت.

وهو أرخص وأسرع في الإعداد من دائرة مخصصة، إلا أن الأداء يعتمد على الإنترنت العام بدلًا من مسار خاص مضمون.

تثبت شبكات VPC أن الشبكات السحابية لا تزال شبكات. فأنت تصمم الشبكات الفرعية، وتكتب جداول التوجيه، وتطبّق جدران الحماية، وتربط المواقع، لكنك تنفذ ذلك كله برمجيًا من خلال وحدة تحكم أو واجهة API. وتنتقل المفاهيم المألوفة، مثل عنونة IP والتوجيه والتقسيم، مباشرةً إلى مكوّنات السحابة.

وفني الشبكات الذي يفهم الشبكات الفرعية والتوجيه يفهم بالفعل معظم ما تتطلبه شبكة VPC.

تمنحك شبكة VPC مساحة عناوين خاصة مقسّمة إلى شبكات فرعية عامة وخاصة، وتربط بينها جداول توجيه تصلها ببوابات الإنترنت وNAT، وتحميها مجموعات الأمان وNACLs. ويمكنك ربط شبكات VPC بالتناظر والاتصال بمكاتبك عبر شبكات VPN من موقع إلى موقع أو دوائر مخصصة، وبذلك تعيد إنشاء شبكة مؤسسية كاملة داخل السحابة.

اختبر معرفتك بشبكات VPC.

شبكة VPC هي شبكتك الخاصة المعزولة في السحابة، ويحددها نطاق عناوين CIDR وتُقسّم إلى شبكات فرعية عامة وخاصة. وتوجّه جداول التوجيه حركة المرور إلى بوابات الإنترنت وNAT، بينما ترشّحها مجموعات الأمان وNACLs. وتربط شبكات VPC باستخدام التناظر وتصل إليها عبر شبكات VPN من موقع إلى موقع أو دوائر مخصصة.