VPC-arkitektur og CIDR-blokker

En Amazon Virtual Private Cloud (VPC) er et logisk isolert privat nettverk i en AWS Region som du definerer og kontrollerer. Hver AWS-konto leveres med en standard-VPC (CIDR 172.31.0.0/16) i hver Region, men produksjonsarkitekturer bruker alltid egendefinerte VPC-er. En VPC omfatter alle Availability Zones i Regionen og gir deg full kontroll over IP-adressering, delnett, rutetabeller, internet gateways og sikkerhet. Ressurser i en VPC er isolert fra andre VPC-er og fra internett, med mindre du konfigurerer tilkobling eksplisitt.

En CIDR (Classless Inter-Domain Routing)-blokk definerer IP-adresseområdet til en VPC eller et delnett ved hjelp av formatet x.x.x.x/prefix. Prefikslengden bestemmer hvor mange IP-adresser området inneholder: /16 = 65 536 adresser, /24 = 256 adresser, /28 = 16 adresser (minste delnettstørrelse i AWS). For VPC-er tillater AWS CIDR-blokker fra /16 (størst) til /28 (minst). Velg en VPC-CIDR som: (1) ikke overlapper med lokale nettverk (for fremtidig VPN/Direct Connect), (2) er stor nok for de planlagte delnettene, og (3) bruker privat RFC 1918-adresseområde (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16).

Et delnett er et segment av IP-adresseområdet til en VPC som finnes i én enkelt Availability Zone. Delnett klassifiseres som offentlige (har en rute til en internet gateway) eller private (ingen direkte rute til internett). Anbefalt praksis for en typisk arkitektur med tre nivåer er å opprette minst tre delnettnivåer – public (lastbalanserere, bastion-verter), private-app (EC2-instanser, ECS-oppgaver) og private-data (RDS, ElastiCache) – og replikere hvert nivå på tvers av minst to AZ-er for høy tilgjengelighet.

En vanlig CIDR-utforming for en VPC med CIDR 10.0.0.0/16 på tvers av to AZ-er og tre nivåer er: Public AZ-a: 10.0.1.0/24; Public AZ-b: 10.0.2.0/24; Private-App AZ-a: 10.0.10.0/24; Private-App AZ-b: 10.0.11.0/24; Private-Data AZ-a: 10.0.20.0/24; Private-Data AZ-b: 10.0.21.0/24. Denne layouten gir rom for å legge til delnett for AZ-c (10.0.3.0/24, 10.0.12.0/24, 10.0.22.0/24) uten å planlegge hele CIDR-oppsettet på nytt. Planlegg alltid med tanke på videre vekst.

AWS reserverer de fire første og den siste IP-adressen i hvert delnett. For et 10.0.1.0/24-delnett gjelder dette: 10.0.1.0 (nettverk), 10.0.1.1 (VPC-ruter), 10.0.1.2 (DNS/DHCP), 10.0.1.3 (fremtidig bruk) og 10.0.1.255 (kringkasting). Et /24-delnett har totalt 256 IP-adresser, hvorav 5 er reserverte, altså 251 som kan brukes. Et /28-delnett (minimumsstørrelsen) har 16 IP-adresser, hvorav 5 er reserverte, altså 11 som kan brukes. Dette er viktig når du dimensjonerer delnett ut fra antallet ressurser (EC2-instanser, Lambda-funksjoner med VPC og så videre) du planlegger å distribuere.

Du kan legge til opptil fire sekundære CIDR-blokker i en eksisterende VPC uten å opprette den på nytt. Dette er nyttig når den primære CIDR-blokken er oppbrukt (alle subnett er fulle), eller når du trenger å legge til adresseplass fra et annet RFC 1918-område for et spesifikt bruksområde, for eksempel nettverkstilkobling for Kubernetes-pods. De sekundære CIDR-blokkene er underlagt visse begrensninger – du kan for eksempel ikke legge til en overlappende CIDR-blokk, og enkelte offentlige områder som ikke er RFC 1918-områder, kan ikke brukes. Planlegg størrelsen på VPC-ens CIDR-blokk nøye fra starten for å minimere behovet for sekundære CIDR-blokker.

VPC Peering oppretter en privat nettverkstilkobling mellom to VPC-er, slik at ressursene deres kan kommunisere ved hjelp av private IP-adresser. VPC-er med peering kan være i samme konto, i forskjellige kontoer eller til og med i forskjellige Regioner (peering på tvers av Regioner). Krav: CIDR-blokkene til de to VPC-ene må ikke overlappe. Begrensninger: peering er ikke-transitiv – hvis VPC-A har peering med VPC-B, og VPC-B har peering med VPC-C, kan ikke VPC-A kommunisere med VPC-C gjennom VPC-B. For full mesh-tilkobling mellom mange VPC-er bør De i stedet bruke AWS Transit Gateway.

AWS Transit Gateway (TGW) fungerer som et sentralt nettverkssenter – en skybasert ruter – som kobler sammen flere VPC-er, VPN-er og Direct Connect-tilkoblinger. I stedet for å opprette N*(N-1)/2 VPC-peering-tilkoblinger for et fullstendig mesh-nettverk med N VPC-er, kobler De hver VPC og tilkobling til Transit Gateway, som ruter trafikken mellom dem. TGW støtter rutetabeller som lar Dem kontrollere hvilke tilkoblinger som kan kommunisere med hverandre, slik at De kan segmentere nettverket (for eksempel isolere produksjons-VPC-er fra utviklings-VPC-er på samme TGW).

To DNS-innstillinger styrer navneoppløsning i en VPC. enableDnsSupport: når den er true (standard), bruker VPC-en den DNS-oppløseren AWS tilbyr på 169.254.169.253 eller den andre IP-adressen i VPC-ens CIDR-blokk (for eksempel 10.0.0.2 for 10.0.0.0/16). enableDnsHostnames: når den er true (må være aktivert for egendefinerte VPC-er, aktivert som standard for standard-VPC-en), får EC2-instanser i VPC-en DNS-vertsnavn som ip-10-0-1-15.ec2.internal. Begge må være aktivert for at Route 53 Private Hosted Zones skal fungere i VPC-en.

VPC Flow Logs registrerer metadata om nettverkstrafikk som går gjennom VPC-en – kilde- og destinasjons-IP, port, protokoll, overførte byte og om trafikken ble tillatt eller avvist. Flow Logs kan publiseres til CloudWatch Logs (for spørringer med Logs Insights) eller S3 (for analyse med Athena). De er svært nyttige for sikkerhetsforensikk (hvem koblet seg til hva), trafikkanalyse (identifisere trafikkflyter med høy båndbredde) og feilsøking (hvorfor ble en tilkobling avvist?). Flow Logs kan aktiveres på VPC-, subnett- eller individuelt ENI-nivå.

Før De oppretter en VPC, bør De planlegge for alle fremtidige behov for tilkobling: tilkobling til lokale datasentre (VPN eller Direct Connect) – sørg for at VPC-ens CIDR-blokk ikke overlapper med subnettene i det lokale nettverket; tilkobling mellom VPC-er (peering eller Transit Gateway) – planlegg CIDR-blokker som ikke overlapper, på tvers av alle VPC-er i organisasjonen; tilgang til AWS-tjenester (VPC-endepunkter for S3, DynamoDB og SSM, slik at trafikken ikke går via Internett); og dimensjonering av subnett – la det være nok reservekapasitet i hvert subnett for IP-adresser som brukes av EKS-pods, Lambda-funksjoner og Elastic Network Interfaces.

I denne leksjonen lærte De at en VPC er et logisk isolert nettverk i en Region, definert av en CIDR-blokk som De deler inn i offentlige og private subnett på tvers av AZ-er, at AWS reserverer 5 IP-adresser i hvert subnett, så De må alltid dimensjonere subnettene med dette fradraget i tankene, og at VPC Peering og Transit Gateway kobler VPC-er sammen privat, men CIDR-områdene må ikke overlappe. Neste tema er Internet Gateways og rutetabeller.