Conectividad en la nube y VPC

Cuando crea recursos en la nube pública, no obtiene únicamente servidores: también obtiene una red. Una VPC (nube privada virtual) es una sección lógicamente aislada de la nube de un proveedor donde coloca sus recursos. Es su red privada en el centro de datos de otra persona.

Otros inquilinos comparten el mismo hardware físico, pero su VPC mantiene su tráfico y su direccionamiento separados de los de los demás.

Define su VPC con un rango de direcciones IP privadas mediante la notación CIDR (enrutamiento entre dominios sin clases), como 10.0.0.0/16. Este bloque se convierte en el espacio de direcciones de todos los recursos que implemente en ella.

Al igual que en una red local, elige rangos privados (10.x, 172.16-31.x o 192.168.x) para que la VPC pueda conectarse posteriormente a la red de su oficina sin conflictos de direcciones.

Dentro de una VPC puede crear subredes, rangos de direcciones más pequeños que normalmente se asignan a zonas de disponibilidad (centros de datos independientes) para aumentar la resiliencia.

• Subredes públicas: los recursos ubicados aquí pueden acceder a internet.
• Subredes privadas: los recursos no tienen una ruta directa a internet, por lo que son ideales para bases de datos.

Colocar los servidores web en subredes públicas y las bases de datos en subredes privadas es un diseño habitual y seguro.

Un gateway de Internet conecta una VPC a Internet público y proporciona acceso entrante y saliente a las subredes públicas. Un gateway NAT permite que los recursos de las subredes privadas accedan a Internet (por ejemplo, para obtener actualizaciones) sin permitir conexiones entrantes no solicitadas.

Esta combinación mantiene los servidores de backend actualizados y capaces de realizar conexiones salientes, a la vez que permanecen ocultos de Internet: un patrón clave de seguridad en la nube.

Cada subred utiliza una tabla de enrutamiento que indica adónde debe dirigirse el tráfico. Una ruta que apunta 0.0.0.0/0 (todos los destinos) a un gateway de Internet convierte una subred en pública; si apunta a un gateway NAT, la mantiene privada.

Las tablas de enrutamiento permiten reproducir en software las decisiones de enrutamiento tradicionales. Las rutas mal configuradas son un motivo frecuente por el que los recursos en la nube no pueden acceder a Internet o comunicarse entre sí.

Dos capas de firewall protegen el tráfico de la VPC:

• Grupos de seguridad: firewalls con estado asociados a cada instancia; si permite el tráfico saliente, las respuestas entrantes se permiten automáticamente.
• NACL (Network Access Control Lists): reglas sin estado en el nivel de subred que filtran el tráfico en ambas direcciones.

Juntos permiten controlar exactamente qué puertos y orígenes pueden acceder a sus recursos en la nube.

La interconexión de VPC conecta dos VPC para que los recursos puedan comunicarse mediante direcciones privadas, como si estuvieran en una sola red. Es útil para vincular de forma privada entornos, equipos o regiones sin que el tráfico atraviese Internet público.

La interconexión no es transitiva: si la VPC A está interconectada con B y B está interconectada con C, A no puede acceder directamente a C. Cada enlace debe establecerse de forma explícita.

Para tráfico intenso o confidencial, los proveedores ofrecen conexiones privadas dedicadas, como AWS Direct Connect o Azure ExpressRoute, que evitan por completo Internet público. Proporcionan una latencia baja y constante, un gran ancho de banda y mayor seguridad que una ruta a través de Internet.

Las empresas las utilizan cuando la fiabilidad y el rendimiento predecible hacia la nube son fundamentales para su actividad, y aceptan el coste adicional de un enlace garantizado.

Una opción habitual y más económica es una VPN de sitio a sitio: un túnel cifrado a través de Internet público que conecta la red de su oficina con su VPC. El tráfico está protegido mediante cifrado (a menudo IPsec) mientras atraviesa Internet.

Es más barata y rápida de configurar que un circuito dedicado, aunque el rendimiento depende de Internet público y no de una ruta privada garantizada.

Las VPC demuestran que las redes en la nube siguen siendo redes. Usted diseña subredes, escribe tablas de enrutamiento, aplica firewalls y conecta sitios, solo que lo hace mediante software a través de una consola o una API. Los conceptos conocidos de direccionamiento IP, enrutamiento y segmentación se corresponden directamente con las construcciones de la nube.

Un técnico de redes que entiende las subredes y el enrutamiento ya comprende la mayor parte de lo que requiere una VPC.

Una VPC le proporciona un espacio de direcciones privado dividido en subredes públicas y privadas, conectadas mediante tablas de enrutamiento con gateways de Internet y gateways NAT, y protegidas por grupos de seguridad y NACL. Puede vincular las VPC mediante interconexión y conectarse a sus oficinas a través de VPN de sitio a sitio o circuitos dedicados, recreando una red empresarial completa en la nube.

Compruebe sus conocimientos sobre las VPC.

Una VPC es su red privada aislada en la nube, definida por un rango de direcciones CIDR y dividida en subredes públicas y privadas. Las tablas de enrutamiento dirigen el tráfico a los gateways de Internet y NAT, mientras que los grupos de seguridad y las NACL lo filtran. Puede conectar las VPC mediante interconexión y acceder a ellas a través de VPN de sitio a sitio o circuitos dedicados.