Подключение к облаку и VPC

Создавая инфраструктуру в публичном облаке, Вы получаете не только серверы, но и сеть. VPC (виртуальное частное облако) — это логически изолированный раздел облака поставщика, в котором размещаются Ваши ресурсы. Это Ваша частная сеть в центре обработки данных, принадлежащем другому владельцу.

Другие арендаторы используют то же физическое оборудование, но VPC отделяет Ваш трафик и адресацию от всех остальных.

Вы определяете VPC с помощью частного диапазона IP-адресов, используя обозначение CIDR (бесклассовую маршрутизацию между доменами), например 10.0.0.0/16. Этот блок становится адресным пространством всех ресурсов, которые Вы запускаете внутри VPC.

Как и в локальной сети, выбирайте частные диапазоны (10.x, 172.16-31.x или 192.168.x), чтобы впоследствии VPC можно было без конфликтов адресов подключить к офисной сети.

Внутри VPC можно выделить подсети — меньшие диапазоны адресов, которые обычно соответствуют зонам доступности (отдельным центрам обработки данных) для повышения отказоустойчивости.

• Публичные подсети: размещённые здесь ресурсы могут выходить в интернет.
• Частные подсети: у ресурсов нет прямого маршрута в интернет; это оптимальный вариант для баз данных.

Размещение веб-серверов в публичных подсетях, а баз данных — в частных является распространённой безопасной схемой.

Интернет-шлюз подключает VPC к общедоступному интернету, предоставляя общедоступным подсетям входящий и исходящий доступ. Шлюз NAT позволяет ресурсам в частной подсети обращаться к интернету (например, за обновлениями), не разрешая нежелательные входящие подключения.

Такая комбинация позволяет серверным компонентам оставаться обновлёнными и обращаться к внешним ресурсам, оставаясь скрытыми от интернета. Это один из ключевых шаблонов безопасности в облаке.

Каждая подсеть использует таблицу маршрутизации, которая указывает, куда направлять трафик. Маршрут к 0.0.0.0/0 (всем назначениям) через интернет-шлюз делает подсеть общедоступной, а маршрут через шлюз NAT сохраняет её частной.

Таблицы маршрутизации позволяют воспроизвести в облаке традиционные решения о маршрутизации с помощью программных средств. Неправильно настроенные маршруты часто становятся причиной того, что облачные ресурсы не могут подключиться к интернету или друг к другу.

Трафик VPC защищают два уровня брандмауэров:

• Группы безопасности: брандмауэры с отслеживанием состояния, подключённые к каждому экземпляру; если разрешить исходящий трафик, ответный трафик автоматически разрешается обратно.
• Списки управления доступом к сети: правила без отслеживания состояния на уровне подсети, фильтрующие трафик в обоих направлениях.

Вместе они позволяют точно контролировать, какие порты и источники могут обращаться к облачным ресурсам.

Пиринговое подключение VPC соединяет две VPC, чтобы ресурсы могли обмениваться данными с использованием частных адресов, как будто они находятся в одной сети. Это удобно для частного соединения сред, команд или регионов без прохождения трафика через общедоступный интернет.

Пиринг не является транзитивным: если VPC A соединена пирингом с B, а B — с C, A всё равно не может напрямую обращаться к C. Каждое соединение необходимо создавать явно.

Для интенсивного или чувствительного к защите трафика провайдеры предлагают выделенные частные подключения, например AWS Direct Connect или Azure ExpressRoute, которые полностью обходят общедоступный интернет. Они обеспечивают стабильную малую задержку, высокую пропускную способность и лучшую безопасность по сравнению с интернет-маршрутом.

Компании используют такие подключения, когда надёжность и предсказуемая производительность облака критически важны для бизнеса, принимая дополнительные расходы ради гарантированного соединения.

Распространённый и более доступный вариант — VPN между площадками: зашифрованный туннель через общедоступный интернет, соединяющий офисную сеть с VPC. При прохождении через интернет трафик защищается шифрованием (часто IPsec).

Такое решение дешевле и быстрее настраивается, чем выделенный канал, однако его производительность зависит от общедоступного интернета, а не от гарантированного частного маршрута.

VPC показывают, что сетевые технологии в облаке остаются сетевыми технологиями. Вы проектируете подсети, создаёте таблицы маршрутизации, применяете брандмауэры и соединяете площадки — просто программными средствами через консоль или API. Знакомые концепции IP-адресации, маршрутизации и сегментации напрямую соответствуют облачным конструкциям.

Специалист по сетям, понимающий подсети и маршрутизацию, уже знает большую часть того, что требуется для работы с VPC.

VPC предоставляет частное адресное пространство, разделённое на общедоступные и частные подсети, соединённые таблицами маршрутизации с интернет-шлюзами и шлюзами NAT и защищённые группами безопасности и списками управления доступом к сети. Вы соединяете VPC с помощью пиринга, а офисы подключаете через VPN между площадками или выделенные каналы, полностью воссоздавая корпоративную сеть в облаке.

Проверьте свои знания о VPC.

VPC — это изолированная частная сеть в облаке, определяемая диапазоном адресов CIDR и разделённая на общедоступные и частные подсети. Таблицы маршрутизации направляют трафик к интернет-шлюзам и шлюзам NAT, а группы безопасности и списки управления доступом к сети фильтруют его. Вы соединяете VPC с помощью пиринга и подключаетесь к ним через VPN между площадками или выделенные каналы.