Cloudconnectiviteit en VPC's

Wanneer je in de publieke cloud bouwt, krijg je niet alleen servers, maar ook een netwerk. Een VPC (Virtual Private Cloud) is een logisch geïsoleerd gedeelte van de cloud van een provider waarin je je bronnen plaatst. Het is je privénetwerk in het datacenter van iemand anders.

Andere tenants delen dezelfde fysieke hardware, maar je VPC houdt je verkeer en adressering gescheiden van die van alle anderen.

Je definieert je VPC met een privé IP-adresbereik in CIDR-notatie (Classless Inter-Domain Routing), zoals 10.0.0.0/16. Dit blok wordt de adresruimte voor alle bronnen die je erin start.

Net als bij een on-premises netwerk kies je privébereiken (10.x, 172.16-31.x of 192.168.x), zodat de VPC later zonder adresconflicten verbinding kan maken met je kantoornetwerk.

Binnen een VPC deel je subnetten af: kleinere adresbereiken die doorgaans aan beschikbaarheidszones (afzonderlijke datacenters) worden gekoppeld voor veerkracht.

• Publieke subnetten: bronnen hierin kunnen het internet bereiken.
• Privésubnetten: bronnen hebben geen directe route naar internet, wat ideaal is voor databases.

Webservers in publieke subnetten plaatsen en databases in privésubnetten is een veelgebruikt, veilig ontwerp.

Een internetgateway verbindt een VPC met het openbare internet, waardoor openbare subnetten inkomend en uitgaand verkeer krijgen. Met een NAT-gateway kunnen resources in private subnetten verbinding maken met het internet (bijvoorbeeld voor updates), zonder ongevraagde inkomende verbindingen toe te staan.

Dankzij deze combinatie blijven back-endservers bijgewerkt en kunnen ze verbindingen naar buiten maken, terwijl ze verborgen blijven voor het internet. Dit is een belangrijk patroon voor cloudbeveiliging.

Elk subnet gebruikt een routeringstabel die aangeeft waar verkeer naartoe moet. Als een route voor 0.0.0.0/0 (alle bestemmingen) naar een internetgateway verwijst, wordt een subnet openbaar; als de route naar een NAT-gateway verwijst, blijft het subnet privé.

Met routeringstabellen worden traditionele routeringsbeslissingen in de cloud nagebootst met software. Verkeerd geconfigureerde routes zijn een veelvoorkomende reden waarom cloudresources het internet of elkaar niet kunnen bereiken.

Twee firewalllagen beschermen VPC-verkeer:

• Beveiligingsgroepen: stateful firewalls die aan elke instantie zijn gekoppeld; als je uitgaand verkeer toestaat, worden antwoorden automatisch terug toegestaan.
• NACL's (Network Access Control Lists): stateless regels op subnetniveau die verkeer in beide richtingen filteren.

Samen kun je hiermee precies bepalen welke poorten en bronnen je cloudresources kunnen bereiken.

Met VPC-peering verbind je twee VPC's, zodat resources met privéadressen kunnen communiceren alsof ze zich op één netwerk bevinden. Dit is handig om omgevingen, teams of regio's privé met elkaar te verbinden zonder dat verkeer via het openbare internet gaat.

Peering is niet transitief: als VPC A een peeringverbinding met B heeft en B met C, kan A C nog steeds niet rechtstreeks bereiken. Elke verbinding moet expliciet worden gemaakt.

Voor veel of gevoelig verkeer bieden providers speciale privéverbindingen aan, zoals AWS Direct Connect of Azure ExpressRoute, die het openbare internet volledig omzeilen. Ze bieden een consistente lage latentie, hoge bandbreedte en betere beveiliging dan een internetverbinding.

Ondernemingen gebruiken deze verbindingen wanneer betrouwbaarheid en voorspelbare prestaties naar de cloud bedrijfskritisch zijn. Ze accepteren de extra kosten voor een gegarandeerde verbinding.

Een veelgebruikte optie met lagere kosten is een site-to-site-VPN: een versleutelde tunnel via het openbare internet die je kantoornetwerk met je VPC verbindt. Verkeer wordt tijdens het transport over het internet beschermd door versleuteling (vaak IPsec).

Deze optie is goedkoper en sneller in te stellen dan een speciale verbinding, maar de prestaties zijn afhankelijk van het openbare internet en niet van een gegarandeerde privéverbinding.

VPC's laten zien dat cloudnetwerken nog steeds netwerken zijn. Je ontwerpt subnetten, schrijft routeringstabellen, past firewalls toe en verbindt locaties, maar dan volledig met software via een console of API. De bekende concepten van IP-adressering, routering en segmentatie komen rechtstreeks terug in cloudconstructies.

Een netwerkbeheerder die subnetten en routering begrijpt, begrijpt al het grootste deel van wat een VPC vereist.

Een VPC biedt je een privéadresruimte die is opgesplitst in openbare en private subnetten. Routeringstabellen verbinden deze met internet- en NAT-gateways, terwijl beveiligingsgroepen en NACL's ze beschermen. Je verbindt VPC's met peering en maakt verbinding met je kantoren via site-to-site-VPN's of speciale verbindingen. Zo bouw je een volledig bedrijfsnetwerk na, volledig in de cloud.

Een VPC is je geïsoleerde privénetwerk in de cloud. Het wordt gedefinieerd door een CIDR-adresbereik en opgesplitst in openbare en private subnetten. Routeringstabellen sturen verkeer naar internet- en NAT-gateways, terwijl beveiligingsgroepen en NACL's het filteren. Je verbindt VPC's met peering en bereikt ze via site-to-site-VPN's of speciale verbindingen.