Архитектура VPC и блоки CIDR

Amazon Virtual Private Cloud (VPC) — это логически изолированная частная сеть в Region AWS, которую Вы определяете и контролируете. Каждая учётная запись AWS содержит VPC по умолчанию с CIDR 172.31.0.0/16 в каждом Region, однако в архитектурах для рабочей среды всегда используются пользовательские VPCs. VPC охватывает все Availability Zones в своём Region и предоставляет полный контроль над IP-адресацией, подсетями, таблицами маршрутизации, интернет-шлюзами и безопасностью. Ресурсы внутри VPC изолированы от других VPCs и интернета, если Вы явно не настроите подключение.

Блок CIDR (Classless Inter-Domain Routing) определяет диапазон IP-адресов VPC или подсети в формате x.x.x.x/prefix. Длина префикса определяет количество IP-адресов в диапазоне: /16 = 65 536 адресов, /24 = 256 адресов, /28 = 16 адресов (минимальный размер подсети в AWS). Для VPC AWS разрешает блоки CIDR от /16 (самый большой) до /28 (самый маленький). Выбирайте CIDR VPC так, чтобы он: (1) не пересекался с локальными сетями (для будущего VPN/Direct Connect), (2) был достаточно большим для запланированных подсетей и (3) использовал частное адресное пространство RFC 1918 (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16).

Подсеть — это сегмент диапазона IP-адресов VPC, расположенный в одной Availability Zone. Подсети делятся на общедоступные (имеют маршрут к интернет-шлюзу) и частные (не имеют прямого маршрута в интернет). Рекомендуемый подход для типичной трёхуровневой архитектуры: создать как минимум три уровня подсетей — public (балансировщики нагрузки, бастионные хосты), private-app (экземпляры EC2, задачи ECS) и private-data (RDS, ElastiCache) — и разместить каждый уровень как минимум в двух AZ для обеспечения высокой доступности.

Распространённая схема CIDR для VPC с CIDR 10.0.0.0/16, двумя AZ и тремя уровнями: Public AZ-a: 10.0.1.0/24; Public AZ-b: 10.0.2.0/24; Private-App AZ-a: 10.0.10.0/24; Private-App AZ-b: 10.0.11.0/24; Private-Data AZ-a: 10.0.20.0/24; Private-Data AZ-b: 10.0.21.0/24. Такая схема оставляет возможность добавить подсети AZ-c (10.0.3.0/24, 10.0.12.0/24, 10.0.22.0/24) без полного пересмотра схемы CIDR. Всегда проектируйте сеть с учётом будущего роста.

AWS резервирует первые четыре и последний IP-адрес в каждой подсети. Для подсети 10.0.1.0/24: 10.0.1.0 (сеть), 10.0.1.1 (маршрутизатор VPC), 10.0.1.2 (DNS/DHCP), 10.0.1.3 (для будущего использования) и 10.0.1.255 (Broadcast). Подсеть /24 содержит 256 IP-адресов, из которых 5 зарезервированы, то есть доступен 251 адрес. Подсеть /28 (минимальная) содержит 16 IP-адресов, из которых доступны 11. Это важно учитывать при выборе размера подсетей с расчётом на количество ресурсов (экземпляров EC2, функций Lambda с VPC и т. д.), которые Вы планируете развернуть.

В существующий VPC можно добавить до четырёх вторичных блоков CIDR, не создавая его заново. Это полезно, когда основной CIDR исчерпан (все subnets заполнены) или когда для конкретного сценария, например сетевого взаимодействия подов Kubernetes, требуется добавить адресное пространство из другого диапазона RFC 1918. На вторичные CIDR распространяются определённые ограничения: например, нельзя добавить перекрывающийся CIDR, а некоторые общедоступные диапазоны, не относящиеся к RFC 1918, использовать нельзя. Тщательно планируйте размер CIDR VPC заранее, чтобы свести потребность во вторичных CIDR к минимуму.

Пиринговое соединение VPC устанавливает частное сетевое соединение между двумя VPC, чтобы их ресурсы могли обмениваться данными, используя частные IP-адреса. Соединённые пирингом VPC могут находиться в одном аккаунте, в разных аккаунтах или даже в разных регионах (межрегиональный пиринг). Требование: CIDR двух VPC не должны перекрываться. Ограничение: пиринг не является транзитивным — если VPC-A соединён пирингом с VPC-B, а VPC-B — с VPC-C, VPC-A не сможет обмениваться данными с VPC-C через VPC-B. Для полносвязного соединения множества VPC используйте вместо этого AWS Transit Gateway.

AWS Transit Gateway (TGW) выступает в роли центрального сетевого узла — облачного маршрутизатора, который соединяет несколько VPC, VPN и подключений Direct Connect. Вместо создания N*(N-1)/2 пиринговых соединений VPC для полносвязной сети из N VPC вы подключаете каждый VPC и каждое соединение к Transit Gateway, который маршрутизирует трафик между ними. TGW поддерживает таблицы маршрутизации, позволяющие управлять тем, какие подключения могут обмениваться данными друг с другом, и тем самым сегментировать сеть (например, изолировать рабочие VPC от VPC разработки в одном TGW).

Разрешение имён в VPC контролируют две настройки DNS. enableDnsSupport: если задано значение true (по умолчанию), VPC использует предоставляемый AWS преобразователь DNS по адресу 169.254.169.253 или второй IP-адрес CIDR VPC (например, 10.0.0.2 для 10.0.0.0/16). enableDnsHostnames: если задано значение true (для пользовательских VPC параметр необходимо включить, а для VPC по умолчанию он включён), экземпляры EC2 в VPC получают имена хостов DNS, например ip-10-0-1-15.ec2.internal. Для работы частных размещённых зон Route 53 внутри VPC оба параметра должны быть включены.

Журналы потоков VPC записывают метаданные о сетевом трафике, проходящем через VPC: исходный и целевой IP-адреса, порт, протокол, объём переданных данных, а также сведения о том, был ли трафик разрешён или отклонён. Журналы потоков можно публиковать в журналы CloudWatch (для запросов с помощью Logs Insights) или в S3 (для анализа с помощью Athena). Они незаменимы при расследовании инцидентов безопасности (кто и к чему подключался), анализе трафика (для выявления потоков с высокой пропускной способностью) и устранении неполадок (почему соединение было отклонено?). Журналы потоков работают на уровне VPC, subnet или отдельного ENI.

Перед созданием VPC спланируйте все будущие потребности в подключениях: подключение к локальной сети (VPN или Direct Connect) — убедитесь, что CIDR VPC не перекрывается с subnets локальной сети; подключение между VPC (пиринг или Transit Gateway) — запланируйте неперекрывающиеся CIDR для всех VPC вашей организации; доступ к сервисам AWS (конечные точки VPC для S3, DynamoDB и SSM, чтобы трафик не проходил через интернет); и размер subnets — оставьте запас в каждой subnet для потребления IP-адресов подами EKS, функциями Lambda и эластичными сетевыми интерфейсами.

Проверьте, насколько хорошо вы усвоили концепции AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке вы узнали, что VPC — это логически изолированная сеть в регионе, определяемая блоком CIDR, который разделяется на общедоступные и частные subnets в разных зонах доступности; AWS резервирует 5 IP-адресов в каждой subnet, поэтому при расчёте размера subnets всегда учитывайте это уменьшение; а пиринг VPC и Transit Gateway обеспечивают частное соединение VPC, но диапазоны CIDR не должны перекрываться. Далее мы рассмотрим Internet Gateways и таблицы маршрутизации.