Conectividade em Nuvem e VPCs

Quando você cria recursos na nuvem pública, não obtém apenas servidores: obtém também uma rede. Uma VPC (Nuvem Privada Virtual) é uma seção logicamente isolada da nuvem de um provedor, na qual você coloca seus recursos. Ela é sua rede privada no data center de outra pessoa.

Outros locatários compartilham o mesmo hardware físico, mas sua VPC mantém seu tráfego e seu endereçamento separados dos demais.

Você define sua VPC com um intervalo de endereços IP privado usando a notação CIDR (Roteamento Interdomínios sem Classes), como 10.0.0.0/16. Esse bloco se torna o espaço de endereçamento de todos os recursos que você iniciar dentro dele.

Assim como em uma rede local, você escolhe intervalos privados (10.x, 172.16-31.x ou 192.168.x) para que a VPC possa se conectar posteriormente à rede do seu escritório sem conflitos de endereços.

Dentro de uma VPC, você cria sub-redes, intervalos de endereços menores que normalmente correspondem a zonas de disponibilidade (data centers separados) para aumentar a resiliência.

• Sub-redes públicas: os recursos aqui podem acessar a internet.
• Sub-redes privadas: os recursos não têm uma rota direta para a internet, sendo ideais para bancos de dados.

Colocar servidores web em sub-redes públicas e bancos de dados em sub-redes privadas é um projeto comum e seguro.

Um gateway de internet conecta uma VPC à internet pública, proporcionando acesso de entrada e saída às sub-redes públicas. Um gateway NAT permite que recursos de sub-redes privadas acessem a internet (para atualizações), sem permitir conexões de entrada não solicitadas.

Essa combinação mantém os servidores de back-end atualizados e capazes de fazer conexões externas, enquanto permanecem ocultos da internet — um padrão fundamental de segurança na nuvem.

Cada sub-rede usa uma tabela de rotas que informa para onde o tráfego deve ir. Uma rota que aponta 0.0.0.0/0 (todos os destinos) para um gateway de internet torna a sub-rede pública; apontá-la para um gateway NAT a mantém privada.

As tabelas de rotas são como a nuvem reproduz as decisões de roteamento tradicionais em software. Rotas configuradas incorretamente são um motivo comum para que os recursos da nuvem não consigam acessar a internet ou uns aos outros.

Duas camadas de firewall protegem o tráfego da VPC:

• Grupos de segurança: firewalls com estado associados a cada instância; se o tráfego de saída for permitido, as respostas de entrada serão permitidas automaticamente.
• NACLs (listas de controle de acesso à rede): regras sem estado no nível da sub-rede que filtram o tráfego em ambas as direções.

Juntos, eles permitem controlar exatamente quais portas e origens podem alcançar seus recursos na nuvem.

A interconexão de VPCs conecta duas VPCs para que os recursos possam se comunicar usando endereços privados, como se estivessem em uma única rede. Ela é útil para conectar ambientes, equipes ou regiões de forma privada, sem que o tráfego atravesse a internet pública.

A interconexão não é transitiva: se a VPC A estiver conectada à B, e B estiver conectada à C, A ainda não poderá alcançar C diretamente. Cada conexão deve ser feita explicitamente.

Para tráfego intenso ou sensível, os provedores oferecem conexões privadas dedicadas, como AWS Direct Connect ou Azure ExpressRoute, que ignoram completamente a internet pública. Elas proporcionam latência baixa e consistente, alta largura de banda e mais segurança do que uma rota pela internet.

As empresas usam essas conexões quando a confiabilidade e o desempenho previsível com a nuvem são essenciais para a operação, aceitando o custo adicional de um enlace garantido.

Uma opção comum e mais econômica é uma VPN entre locais: um túnel criptografado pela internet pública que conecta a rede do seu escritório à sua VPC. O tráfego é protegido por criptografia (geralmente IPsec) ao atravessar a internet.

É mais barata e rápida de configurar do que um circuito dedicado, embora o desempenho dependa da internet pública, e não de uma rota privada garantida.

As VPCs comprovam que a rede na nuvem ainda é uma rede. Você projeta sub-redes, escreve tabelas de rotas, aplica firewalls e conecta locais, tudo por software usando um console ou uma API. Os conceitos familiares de endereçamento IP, roteamento e segmentação correspondem diretamente às construções da nuvem.

Um técnico de redes que entende sub-redes e roteamento já entende a maior parte do que uma VPC exige.

Uma VPC fornece um espaço de endereços privado dividido em sub-redes públicas e privadas, conectadas por tabelas de rotas a gateways de internet e gateways NAT e protegidas por grupos de segurança e NACLs. Você conecta VPCs por interconexão e conecta-se aos seus escritórios por VPNs entre locais ou circuitos dedicados, recriando uma rede empresarial completa inteiramente na nuvem.

Teste seus conhecimentos sobre VPCs.

Uma VPC é sua rede privada isolada na nuvem, definida por um intervalo de endereços CIDR e dividida em sub-redes públicas e privadas. As tabelas de rotas direcionam o tráfego para gateways de internet e gateways NAT, enquanto os grupos de segurança e as NACLs o filtram. Você conecta VPCs por interconexão e acessa-as por VPNs entre locais ou circuitos dedicados.