Connectivité cloud et VPC

Lorsque vous construisez une infrastructure dans le nuage public, vous n’obtenez pas seulement des serveurs, mais aussi un réseau. Un VPC (nuage privé virtuel) est une section logiquement isolée du nuage d’un fournisseur, dans laquelle vous placez vos ressources. C’est votre réseau privé dans le centre de données de quelqu’un d’autre.

D’autres locataires partagent le même matériel physique, mais votre VPC sépare votre trafic et votre adressage de ceux de tous les autres.

Vous définissez votre VPC avec une plage d’adresses IP privée au moyen de la notation CIDR (routage inter-domaines sans classe), par exemple 10.0.0.0/16. Ce bloc devient l’espace d’adressage de toutes les ressources que vous lancez à l’intérieur.

Comme dans un réseau sur site, vous choisissez des plages privées (10.x, 172.16-31.x ou 192.168.x) afin que le VPC puisse ensuite se connecter facilement au réseau de votre bureau sans conflits d’adresses.

À l’intérieur d’un VPC, vous découpez des sous-réseaux, c’est-à-dire des plages d’adresses plus petites qui correspondent généralement à des zones de disponibilité (des centres de données distincts) afin d’assurer la résilience.

• Sous-réseaux publics : les ressources qui s’y trouvent peuvent accéder à Internet.
• Sous-réseaux privés : les ressources ne disposent d’aucune route directe vers Internet, ce qui convient particulièrement aux bases de données.

Placer les serveurs web dans des sous-réseaux publics et les bases de données dans des sous-réseaux privés constitue une architecture courante et sécurisée.

Une passerelle Internet connecte un VPC à Internet public, offrant aux sous-réseaux publics un accès entrant et sortant. Une passerelle NAT permet aux ressources des sous-réseaux privés d’accéder à Internet (pour les mises à jour) sans autoriser les connexions entrantes non sollicitées.

Cette association permet aux serveurs dorsaux de rester à jour et de communiquer vers l’extérieur tout en restant invisibles depuis Internet, un principe essentiel de la sécurité cloud.

Chaque sous-réseau utilise une table de routage qui indique où diriger le trafic. Une route qui dirige 0.0.0.0/0 (toutes les destinations) vers une passerelle Internet rend un sous-réseau public ; une route qui le dirige vers une passerelle NAT le maintient privé.

Les tables de routage permettent au cloud de reproduire les décisions de routage traditionnelles dans un logiciel. Des routes mal configurées empêchent souvent les ressources cloud d’accéder à Internet ou de communiquer entre elles.

Deux couches de pare-feu protègent le trafic du VPC :

• Groupes de sécurité : pare-feu à état associés à chaque instance ; si vous autorisez le trafic sortant, les réponses entrantes sont automatiquement autorisées.
• NACL (listes de contrôle d’accès réseau) : règles sans état au niveau du sous-réseau, qui filtrent le trafic dans les deux directions.

Ensemble, ils vous permettent de contrôler précisément les ports et les sources qui peuvent atteindre vos ressources cloud.

L’appairage de VPC connecte deux VPC afin que les ressources puissent communiquer à l’aide d’adresses privées, comme si elles se trouvaient sur un même réseau. Il est utile pour relier des environnements, des équipes ou des régions de manière privée, sans faire transiter le trafic par Internet public.

L’appairage n’est pas transitif : si le VPC A est appairé avec B et que B est appairé avec C, A ne peut toujours pas atteindre C directement. Chaque liaison doit être créée explicitement.

Pour les trafics importants ou sensibles, les fournisseurs proposent des connexions privées dédiées, comme AWS Direct Connect ou Azure ExpressRoute, qui contournent entièrement Internet public. Elles offrent une latence faible et régulière, une large bande passante et une meilleure sécurité qu’un chemin passant par Internet.

Les entreprises les utilisent lorsque la fiabilité et les performances prévisibles vers le cloud sont essentielles à leur activité, en acceptant le coût supplémentaire d’une liaison garantie.

Une option courante et moins coûteuse est le VPN de site à site : un tunnel chiffré passant par Internet public et reliant le réseau de votre bureau à votre VPC. Le trafic est protégé par le chiffrement (souvent IPsec) lorsqu’il traverse Internet.

Cette solution est moins chère et plus rapide à mettre en place qu’une liaison dédiée, mais ses performances dépendent d’Internet public plutôt que d’un chemin privé garanti.

Les VPC montrent que la mise en réseau dans le cloud reste de la mise en réseau. Vous concevez des sous-réseaux, écrivez des tables de routage, appliquez des pare-feu et connectez des sites, le tout dans un logiciel via une console ou une API. Les concepts familiers d’adressage IP, de routage et de segmentation correspondent directement aux constructions cloud.

Un technicien réseau qui comprend les sous-réseaux et le routage comprend déjà la majeure partie de ce qu’exige un VPC.

Un VPC vous fournit un espace d’adresses privé divisé en sous-réseaux publics et privés, reliés par des tables de routage aux passerelles Internet et NAT, et protégés par des groupes de sécurité et des NACL. Vous reliez les VPC par appairage et vous connectez vos bureaux au moyen de VPN de site à site ou de liaisons dédiées, recréant entièrement dans le cloud un réseau d’entreprise complet.

Un VPC est votre réseau privé isolé dans le cloud, défini par une plage d’adresses CIDR et divisé en sous-réseaux publics et privés. Les tables de routage dirigent le trafic vers les passerelles Internet et NAT, tandis que les groupes de sécurité et les NACL le filtrent. Vous connectez les VPC par appairage et vous les atteignez via des VPN de site à site ou des liaisons dédiées.