Ketersambungan Awan dan VPC

Apabila anda membina dalam awan awam, anda bukan sekadar memperoleh pelayan, malah rangkaian juga. VPC (Awan Persendirian Maya) ialah bahagian yang diasingkan secara logik dalam awan penyedia tempat anda menempatkan sumber. Ia merupakan rangkaian persendirian anda di pusat data milik pihak lain.

Penyewa lain berkongsi perkakasan fizikal yang sama, tetapi VPC anda memastikan trafik dan pengalamatan anda berasingan daripada semua pihak lain.

Anda mentakrifkan VPC dengan julat alamat IP persendirian menggunakan tatatanda CIDR (Penghalaan Antara Domain Tanpa Kelas), seperti 10.0.0.0/16. Blok ini menjadi ruang alamat untuk semua sumber yang anda lancarkan di dalamnya.

Sama seperti rangkaian di premis, anda memilih julat persendirian (10.x, 172.16-31.x atau 192.168.x) supaya VPC kemudiannya boleh bersambung dengan lancar kepada rangkaian pejabat anda tanpa konflik alamat.

Dalam VPC, anda membahagikan subnet, iaitu julat alamat yang lebih kecil dan biasanya dipetakan kepada zon ketersediaan (pusat data berasingan) untuk daya tahan.

• Subnet awam: sumber di sini boleh mencapai internet.
• Subnet persendirian: sumber tidak mempunyai laluan internet langsung dan sesuai untuk pangkalan data.

Meletakkan pelayan web dalam subnet awam dan pangkalan data dalam subnet persendirian ialah reka bentuk yang biasa dan selamat.

Gerbang internet menghubungkan VPC ke internet awam, lalu memberikan akses masuk dan keluar kepada subnet awam. Gerbang NAT membolehkan sumber dalam subnet peribadi mengakses internet (untuk kemas kini) tanpa membenarkan sambungan masuk yang tidak diminta.

Gandingan ini memastikan pelayan belakang sentiasa dikemas kini dan boleh membuat sambungan keluar, sambil kekal tersembunyi daripada internet—suatu corak keselamatan awan yang penting.

Setiap subnet menggunakan jadual laluan yang menentukan ke mana trafik perlu pergi. Laluan yang mengarahkan 0.0.0.0/0 (semua destinasi) ke gerbang internet menjadikan subnet itu awam; laluan yang mengarahkannya ke gerbang NAT mengekalkan subnet itu sebagai peribadi.

Jadual laluan ialah cara awan menghasilkan semula keputusan penghalaan tradisional dalam perisian. Laluan yang dikonfigurasikan dengan salah merupakan sebab lazim sumber awan tidak dapat mencapai internet atau satu sama lain.

Dua lapisan tembok api melindungi trafik VPC:

• Kumpulan keselamatan: tembok api berkeadaan yang dilampirkan pada setiap tika; jika anda membenarkan trafik keluar, balasan dibenarkan masuk semula secara automatik.
• NACL (Senarai Kawalan Akses Rangkaian): peraturan tanpa keadaan pada peringkat subnet yang menapis trafik dalam kedua-dua arah.

Secara bersama, kedua-duanya membolehkan anda mengawal dengan tepat port dan sumber yang boleh mencapai sumber awan anda.

Peering VPC menghubungkan dua VPC supaya sumber boleh berkomunikasi menggunakan alamat peribadi, seolah-olah berada dalam satu rangkaian. Ia berguna untuk menghubungkan persekitaran, pasukan atau rantau secara peribadi tanpa trafik merentasi internet awam.

Peering tidak bersifat transitif: jika VPC A membuat peering dengan B, dan B membuat peering dengan C, A masih tidak boleh mencapai C secara langsung. Setiap pautan mesti dibuat secara jelas.

Untuk trafik yang banyak atau sensitif, pembekal menawarkan sambungan peribadi khusus, seperti AWS Direct Connect atau Azure ExpressRoute, yang memintas internet awam sepenuhnya. Sambungan ini memberikan kependaman rendah yang konsisten, lebar jalur tinggi dan keselamatan yang lebih baik berbanding laluan internet.

Perusahaan menggunakan sambungan ini apabila kebolehpercayaan dan prestasi yang boleh dijangka ke awan amat penting kepada operasi, dengan menerima kos tambahan untuk mendapatkan pautan yang terjamin.

Pilihan biasa yang lebih murah ialah VPN tapak ke tapak: terowong yang disulitkan melalui internet awam untuk menghubungkan rangkaian pejabat anda ke VPC. Trafik dilindungi oleh penyulitan (selalunya IPsec) ketika merentasi internet.

Kaedah ini lebih murah dan lebih pantas untuk disediakan berbanding litar khusus, walaupun prestasinya bergantung pada internet awam dan bukannya laluan peribadi yang terjamin.

VPC membuktikan bahawa perangkaian awan masih merupakan perangkaian. Anda mereka bentuk subnet, menulis jadual laluan, menggunakan tembok api dan menghubungkan tapak, semuanya dalam perisian melalui konsol atau API. Konsep biasa seperti pengalamatan IP, penghalaan dan pembahagian rangkaian dipetakan secara langsung kepada binaan awan.

Juruteknik rangkaian yang memahami subnet dan penghalaan sudah memahami kebanyakan perkara yang diperlukan oleh VPC.

VPC menyediakan ruang alamat peribadi yang dibahagikan kepada subnet awam dan peribadi, disambungkan melalui jadual laluan kepada gerbang internet dan NAT, serta dilindungi oleh kumpulan keselamatan dan NACL. Anda menghubungkan VPC dengan peering dan menyambung ke pejabat melalui VPN tapak ke tapak atau litar khusus, lalu menghasilkan semula rangkaian perusahaan lengkap sepenuhnya dalam awan.

VPC ialah rangkaian peribadi terpencil anda dalam awan, yang ditentukan oleh julat alamat CIDR dan dibahagikan kepada subnet awam dan peribadi. Jadual laluan mengarahkan trafik kepada gerbang internet dan NAT, manakala kumpulan keselamatan dan NACL menapisnya. Anda menghubungkan VPC dengan peering dan mencapainya melalui VPN tapak ke tapak atau litar khusus.