Łączność z chmurą i VPC

Podczas budowania infrastruktury w chmurze publicznej otrzymują Państwo nie tylko serwery, ale także sieć. VPC (Virtual Private Cloud) to logicznie odizolowana część chmury dostawcy, w której umieszczają Państwo swoje zasoby. Jest to prywatna sieć w cudzym centrum danych.

Inni dzierżawcy współdzielą ten sam sprzęt fizyczny, ale Państwa VPC oddziela ruch i adresację od wszystkich pozostałych użytkowników.

VPC definiuje się za pomocą prywatnego zakresu adresów IP, korzystając z notacji CIDR (Classless Inter-Domain Routing), na przykład 10.0.0.0/16. Ten blok staje się przestrzenią adresową wszystkich zasobów uruchamianych wewnątrz VPC.

Podobnie jak w sieci lokalnej, wybierają Państwo prywatne zakresy (10.x, 172.16-31.x lub 192.168.x), aby VPC mogła później bezproblemowo połączyć się z siecią biurową, bez konfliktów adresów.

Wewnątrz VPC wydzielają Państwo podsieci — mniejsze zakresy adresów, które zazwyczaj odpowiadają strefom dostępności (oddzielnym centrom danych), zwiększając odporność rozwiązania.

• Podsieci publiczne: zasoby znajdujące się w tych podsieciach mogą łączyć się z internetem.
• Podsieci prywatne: zasoby nie mają bezpośredniej trasy do internetu, dlatego podsieci te idealnie nadają się dla baz danych.

Umieszczanie serwerów WWW w podsieciach publicznych, a baz danych w prywatnych, jest powszechnym i bezpiecznym rozwiązaniem.

Brama internetowa łączy VPC z publicznym internetem, zapewniając podsieciom publicznym dostęp przychodzący i wychodzący. Brama NAT pozwala zasobom w podsieciach prywatnych łączyć się z internetem (na przykład w celu pobierania aktualizacji), nie zezwalając jednocześnie na niezamówione połączenia przychodzące.

Takie połączenie pozwala serwerom zaplecza pozostawać zaktualizowanymi i nawiązywać połączenia wychodzące, a jednocześnie ukrywa je przed internetem. To jeden z kluczowych wzorców bezpieczeństwa w chmurze.

Każda podsieć korzysta z tabeli routingu, która określa, dokąd ma być kierowany ruch. Trasa kierująca 0.0.0.0/0 (wszystkie adresy docelowe) do bramy internetowej sprawia, że podsieć jest publiczna; skierowanie jej do bramy NAT pozwala zachować prywatny charakter podsieci.

Tabele routingu umożliwiają odtworzenie w chmurze tradycyjnych decyzji dotyczących routingu za pomocą oprogramowania. Błędnie skonfigurowane trasy są częstą przyczyną problemów z dostępem zasobów chmurowych do internetu lub do siebie nawzajem.

Ruch VPC chronią dwie warstwy zapór sieciowych:

• Grupy zabezpieczeń: zapory stanowe przypisane do poszczególnych instancji; jeśli zezwolą Państwo na ruch wychodzący, odpowiedzi zostaną automatycznie dopuszczone z powrotem.
• NACL (Network Access Control Lists): bezstanowe reguły na poziomie podsieci, które filtrują ruch w obu kierunkach.

Razem pozwalają precyzyjnie kontrolować, które porty i źródła mogą uzyskiwać dostęp do zasobów chmurowych.

Peering VPC łączy dwie sieci VPC, dzięki czemu zasoby mogą komunikować się za pomocą prywatnych adresów, tak jakby znajdowały się w jednej sieci. Jest przydatny do prywatnego łączenia środowisk, zespołów lub regionów bez przesyłania ruchu przez publiczny internet.

Peering nie jest tranzytywny: jeśli VPC A ma peering z VPC B, a VPC B ma peering z VPC C, VPC A nadal nie może bezpośrednio komunikować się z VPC C. Każde połączenie trzeba utworzyć jawnie.

W przypadku dużego natężenia ruchu lub przesyłania wrażliwych danych dostawcy oferują dedykowane połączenia prywatne, takie jak AWS Direct Connect lub Azure ExpressRoute, które całkowicie omijają publiczny internet. Zapewniają one stałe niskie opóźnienia, dużą przepustowość i większe bezpieczeństwo niż połączenie przez internet.

Przedsiębiorstwa korzystają z nich, gdy niezawodność i przewidywalna wydajność połączenia z chmurą mają krytyczne znaczenie dla działalności, akceptując dodatkowy koszt gwarantowanego łącza.

Popularnym i tańszym rozwiązaniem jest VPN site-to-site: zaszyfrowany tunel przez publiczny internet, łączący sieć biurową z VPC. Ruch jest chroniony szyfrowaniem (często IPsec) podczas przesyłania przez internet.

Takie rozwiązanie jest tańsze i szybsze we wdrożeniu niż dedykowane łącze, jednak jego wydajność zależy od publicznego internetu, a nie od gwarantowanej prywatnej trasy.

Sieci VPC pokazują, że sieci w chmurze nadal są sieciami. Projektują Państwo podsieci, tworzą tabele routingu, stosują zapory sieciowe i łączą lokalizacje — wszystko w oprogramowaniu, za pomocą konsoli lub interfejsu API. Znane pojęcia, takie jak adresowanie IP, routing i segmentacja, mają bezpośrednie odpowiedniki w konstrukcjach chmurowych.

Technik sieciowy, który rozumie podsieci i routing, zna już większość zagadnień wymaganych do pracy z VPC.

VPC zapewnia prywatną przestrzeń adresową podzieloną na podsieci publiczne i prywatne, połączone za pomocą tabel routingu z bramami internetowymi i bramami NAT oraz chronione przez grupy zabezpieczeń i NACL. Sieci VPC można łączyć za pomocą peeringu, a z biurami — przez sieci VPN site-to-site lub dedykowane łącza, odtwarzając w całości sieć przedsiębiorstwa w chmurze.

VPC to odizolowana prywatna sieć w chmurze, zdefiniowana przez zakres adresów CIDR i podzielona na publiczne i prywatne podsieci. Tabele routingu kierują ruch do bram internetowych i bram NAT, a grupy zabezpieczeń i NACL go filtrują. Sieci VPC można łączyć za pomocą peeringu i uzyskiwać do nich dostęp przez sieci VPN site-to-site lub dedykowane łącza.