Skytilkobling og VPC-er

Når De bygger i den offentlige skyen, får De ikke bare servere, men også et nettverk. En VPC (Virtual Private Cloud) er en logisk isolert del av leverandørens sky der De plasserer ressursene Deres. Det er Deres private nettverk i en annens datasenter.

Andre tenants deler den samme fysiske maskinvaren, men VPC-en holder trafikken og adresseringen Deres adskilt fra alle andre.

De definerer VPC-en med et privat IP-adresseområde ved hjelp av notasjon for CIDR (Classless Inter-Domain Routing), for eksempel 10.0.0.0/16. Denne blokken blir adresseområdet for alle ressursene De starter i den.

Akkurat som i et lokalt nettverk velger De private områder (10.x, 172.16-31.x eller 192.168.x), slik at VPC-en senere kan kobles sømløst til kontornettverket uten adressekonflikter.

Inne i en VPC deler De ut subnett, mindre adresseområder som vanligvis knyttes til tilgjengelighetssoner (separate datasentre) for bedre robusthet.

• Offentlige subnett: Ressurser her kan nå internett.
• Private subnett: Ressurser har ingen direkte rute til internett og egner seg godt for databaser.

Det er vanlig å plassere webservere i offentlige subnett og databaser i private subnett for å få en sikker utforming.

En internet gateway kobler en VPC til det offentlige internett og gir offentlige subnett tilgang både inn og ut. En NAT gateway lar ressurser i private subnett koble seg ut på internett (for oppdateringer) uten å tillate uoppfordrede innkommende tilkoblinger.

Denne kombinasjonen holder backend-servere oppdatert og i stand til å kommunisere ut, samtidig som de forblir skjult fra internett. Dette er et sentralt mønster innen skysikkerhet.

Hvert subnett bruker en rutingtabell som angir hvor trafikken skal sendes. En rute som peker 0.0.0.0/0 (alle destinasjoner) til en internet gateway, gjør et subnett offentlig. Hvis ruten peker til en NAT gateway, forblir subnettet privat.

Rutingtabeller er måten skyen gjenskaper tradisjonelle rutingavgjørelser i programvare på. Feilkonfigurerte ruter er en vanlig årsak til at skyressurser ikke får kontakt med internett eller med hverandre.

To brannmurlag beskytter VPC-trafikken:

• Sikkerhetsgrupper: tilstandsbevisste brannmurer som er knyttet til hver instans. Hvis De tillater utgående trafikk, tillates svar automatisk tilbake.
• NACL-er (Network Access Control Lists): tilstandsløse regler på subnettnivå som filtrerer trafikk i begge retninger.

Sammen lar de Dem styre nøyaktig hvilke porter og kilder som kan nå skyressursene Deres.

VPC-peering kobler sammen to VPC-er slik at ressurser kan kommunisere ved hjelp av private adresser, som om de var på samme nettverk. Dette er nyttig for å koble sammen miljøer, team eller regioner privat, uten at trafikken går over det offentlige internett.

Peering er ikke-transitivt: Hvis VPC A har peering med B, og B har peering med C, kan A fortsatt ikke nå C direkte. Hver kobling må opprettes uttrykkelig.

For omfattende eller sensitiv trafikk tilbyr leverandører dedikerte private forbindelser, som AWS Direct Connect eller Azure ExpressRoute, som omgår det offentlige internett fullstendig. De gir jevn lav latenstid, høy båndbredde og bedre sikkerhet enn en internettforbindelse.

Virksomheter bruker disse når pålitelighet og forutsigbar ytelse mot skyen er forretningskritisk, og aksepterer ekstrakostnaden for en garantert forbindelse.

Et vanlig alternativ med lavere kostnad er en site-to-site VPN: en kryptert tunnel over det offentlige internett som kobler kontornettverket Deres til VPC-en. Trafikken beskyttes med kryptering (ofte IPsec) når den krysser internett.

Dette er billigere og raskere å sette opp enn en dedikert forbindelse, men ytelsen avhenger av det offentlige internett i stedet for en garantert privat forbindelse.

VPC-er viser at nettverk i skyen fortsatt er nettverk. De utformer subnett, skriver rutingtabeller, bruker brannmurer og kobler sammen nettverk, bare i programvare via et konsollgrensesnitt eller et API. De velkjente konseptene IP-adressering, ruting og segmentering tilsvarer direkte konstruksjoner i skyen.

En nettverkstekniker som forstår subnett og ruting, forstår allerede det meste av det en VPC krever.

En VPC gir Dem et privat adresseområde som er delt inn i offentlige og private subnett, koblet sammen med rutingtabeller til internet- og NAT-gatewayer, og beskyttet av sikkerhetsgrupper og NACL-er. De kobler sammen VPC-er med peering og kobler til kontorene Deres via site-to-site VPN-er eller dedikerte forbindelser, slik at et komplett virksomhetsnettverk gjenskapes i skyen.

En VPC er et isolert privat nettverk i skyen, definert av et CIDR-adresseområde og delt inn i offentlige og private subnett. Rutingtabeller dirigerer trafikken til internet- og NAT-gatewayer, mens sikkerhetsgrupper og NACL-er filtrerer den. De kobler sammen VPC-er med peering og får tilgang til dem via site-to-site VPN-er eller dedikerte forbindelser.