Cloud-Konnektivität und VPCs

Wenn Sie in der Public Cloud etwas aufbauen, erhalten Sie nicht nur Server, sondern auch ein Netzwerk. Eine VPC (Virtual Private Cloud) ist ein logisch isolierter Bereich in der Cloud eines Anbieters, in dem Sie Ihre Ressourcen platzieren. Sie ist Ihr privates Netzwerk im Rechenzentrum eines anderen.

Andere Tenants nutzen dieselbe physische Hardware, aber Ihre VPC hält Ihren Datenverkehr und Ihre Adressierung von allen anderen getrennt.

Sie definieren Ihre VPC mit einem privaten IP-Adressbereich in CIDR-Notation (Classless Inter-Domain Routing), beispielsweise 10.0.0.0/16. Dieser Block bildet den Adressraum für alle Ressourcen, die Sie darin starten.

Wie in einem lokalen Netzwerk wählen Sie private Bereiche (10.x, 172.16-31.x oder 192.168.x), damit sich die VPC später ohne Adresskonflikte mit Ihrem Büronetzwerk verbinden lässt.

Innerhalb einer VPC teilen Sie Subnetze ab, also kleinere Adressbereiche, die für höhere Ausfallsicherheit typischerweise Verfügbarkeitszonen (separate Rechenzentren) zugeordnet werden.

• Öffentliche Subnetze: Ressourcen darin können das Internet erreichen.
• Private Subnetze: Ressourcen haben keine direkte Route ins Internet und eignen sich ideal für Datenbanken.

Webserver in öffentlichen Subnetzen und Datenbanken in privaten Subnetzen zu platzieren, ist ein gängiges und sicheres Design.

Ein Internet-Gateway verbindet eine VPC mit dem öffentlichen Internet und ermöglicht öffentlichen Subnetzen eingehenden und ausgehenden Datenverkehr. Ein NAT-Gateway ermöglicht Ressourcen in privaten Subnetzen, Verbindungen zum Internet aufzubauen (etwa für Updates), ohne unaufgeforderte eingehende Verbindungen zuzulassen.

Diese Kombination sorgt dafür, dass Backend-Server aktuell bleiben und ausgehende Verbindungen herstellen können, während sie vor dem Internet verborgen bleiben – ein wichtiges Muster für die Sicherheit in der Cloud.

Jedes Subnetz verwendet eine Routingtabelle, die festlegt, wohin der Datenverkehr weitergeleitet wird. Eine Route, die 0.0.0.0/0 (alle Ziele) an ein Internet-Gateway weiterleitet, macht ein Subnetz öffentlich. Wird der Datenverkehr an ein NAT-Gateway weitergeleitet, bleibt das Subnetz privat.

Routingtabellen bilden die traditionellen Routingentscheidungen in der Cloud per Software nach. Falsch konfigurierte Routen sind ein häufiger Grund dafür, dass Cloud-Ressourcen das Internet oder einander nicht erreichen können.

Zwei Firewall-Ebenen schützen den Datenverkehr in der VPC:

• Security Groups: Zustandsbehaftete Firewalls, die an jede Instanz angehängt sind. Wenn Sie ausgehenden Datenverkehr zulassen, werden die Antworten automatisch wieder zugelassen.
• NACLs (Network Access Control Lists): Zustandslose Regeln auf Subnetzebene, die den Datenverkehr in beide Richtungen filtern.

Zusammen ermöglichen sie Ihnen, genau zu steuern, welche Ports und Quellen Ihre Cloud-Ressourcen erreichen können.

VPC-Peering verbindet zwei VPCs, sodass Ressourcen über private Adressen kommunizieren können, als befänden sie sich in einem gemeinsamen Netzwerk. Das ist nützlich, um Umgebungen, Teams oder Regionen privat miteinander zu verbinden, ohne dass der Datenverkehr das öffentliche Internet durchquert.

Peering ist nicht transitiv: Wenn VPC A mit B und B mit C per Peering verbunden ist, kann A C trotzdem nicht direkt erreichen. Jede Verbindung muss ausdrücklich eingerichtet werden.

Für umfangreichen oder vertraulichen Datenverkehr bieten Provider dedizierte private Verbindungen wie AWS Direct Connect oder Azure ExpressRoute an, die das öffentliche Internet vollständig umgehen. Sie bieten konsistente niedrige Latenz, hohe Bandbreite und mehr Sicherheit als eine Verbindung über das Internet.

Unternehmen nutzen diese Verbindungen, wenn Zuverlässigkeit und planbare Leistung für die Cloud geschäftskritisch sind, und nehmen dafür die zusätzlichen Kosten einer garantierten Verbindung in Kauf.

Eine gängige, kostengünstigere Option ist ein Site-to-Site-VPN: ein verschlüsselter Tunnel über das öffentliche Internet, der Ihr Büronetzwerk mit Ihrer VPC verbindet. Der Datenverkehr wird beim Durchqueren des Internets durch Verschlüsselung (häufig IPsec) geschützt.

Ein solches VPN lässt sich günstiger und schneller einrichten als eine dedizierte Leitung. Die Leistung hängt jedoch vom öffentlichen Internet und nicht von einer garantierten privaten Verbindung ab.

VPCs zeigen, dass die Vernetzung in der Cloud weiterhin Vernetzung ist. Sie entwerfen Subnetze, erstellen Routingtabellen, wenden Firewalls an und verbinden Standorte – all das per Software über eine Konsole oder API. Die vertrauten Konzepte der IP-Adressierung, des Routings und der Segmentierung werden direkt auf Cloud-Konstrukte übertragen.

Eine Netzwerkfachkraft, die Subnetze und Routing versteht, kennt bereits den größten Teil dessen, was für eine VPC erforderlich ist.

Eine VPC stellt Ihnen einen privaten Adressraum bereit, der in öffentliche und private Subnetze aufgeteilt und über Routingtabellen mit Internet- und NAT-Gateways verbunden ist. Security Groups und NACLs schützen ihn. Sie verbinden VPCs per Peering und Ihre Büros über Site-to-Site-VPNs oder dedizierte Leitungen und bilden so ein vollständiges Unternehmensnetzwerk vollständig in der Cloud nach.

Testen Sie Ihr Wissen über VPCs.

Eine VPC ist Ihr isoliertes privates Netzwerk in der Cloud. Es wird durch einen CIDR-Adressbereich definiert und in öffentliche und private Subnetze aufgeteilt. Routingtabellen leiten den Datenverkehr an Internet- und NAT-Gateways weiter, während Security Groups und NACLs ihn filtern. Sie verbinden VPCs per Peering und greifen über Site-to-Site-VPNs oder dedizierte Leitungen darauf zu.