Molnanslutning och VPC

När ni bygger i det offentliga molnet får ni inte bara servrar, utan även ett nätverk. En VPC (Virtual Private Cloud) är en logiskt isolerad del av en molnleverantörs moln där ni placerar era resurser. Det är ert privata nätverk i någon annans datacenter.

Andra tenants delar samma fysiska hårdvara, men er VPC håller er trafik och adressering åtskilda från alla andra.

Ni definierar er VPC med ett privat IP-adressintervall enligt CIDR-notation (Classless Inter-Domain Routing), till exempel 10.0.0.0/16. Detta block blir adressutrymmet för alla resurser ni startar i det.

Precis som i ett lokalt nätverk väljer ni privata intervall (10.x, 172.16-31.x eller 192.168.x), så att VPC:n senare kan anslutas smidigt till kontorets nätverk utan adresskonflikter.

Inuti en VPC delar ni ut subnät, mindre adressintervall som vanligtvis motsvarar tillgänglighetszoner (separata datacenter) för ökad motståndskraft.

• Offentliga subnät: resurser här kan nå internet.
• Privata subnät: resurser saknar en direkt väg till internet och passar därför bra för databaser.

Att placera webbservrar i offentliga subnät och databaser i privata subnät är en vanlig och säker design.

En internet-gateway ansluter en VPC till det offentliga internet och ger publika subnät inkommande och utgående åtkomst. En NAT-gateway låter resurser i privata subnät ansluta till internet (för uppdateringar) utan att tillåta oönskade inkommande anslutningar.

Denna kombination håller backend-servrar uppdaterade och kapabla att ansluta utåt, samtidigt som de förblir dolda från internet – ett centralt mönster inom molnsäkerhet.

Varje subnät använder en routningstabell som anger vart trafiken ska skickas. En rutt som pekar 0.0.0.0/0 (alla destinationer) mot en internet-gateway gör ett subnät publikt; om den pekar mot en NAT-gateway förblir subnätet privat.

Routningstabeller är det sätt på vilket molnet återskapar traditionella routningsbeslut i programvara. Felkonfigurerade rutter är en vanlig orsak till att molnresurser inte kan nå internet eller varandra.

Två brandväggslager skyddar VPC-trafik:

• Security groups: tillståndsbevarande brandväggar som är kopplade till varje instans; om ni tillåter utgående trafik tillåts svar automatiskt tillbaka.
• NACLs (Network Access Control Lists): tillståndslösa regler på subnätsnivå som filtrerar trafik i båda riktningarna.

Tillsammans låter de er styra exakt vilka portar och källor som kan nå era molnresurser.

VPC-peering ansluter två VPC:er så att resurser kan kommunicera med privata adresser, som om de fanns i samma nätverk. Det är användbart för att privat länka samman miljöer, team eller regioner utan att trafiken passerar det offentliga internet.

Peering är inte transitivt: om VPC A har peering med B och B har peering med C kan A fortfarande inte nå C direkt. Varje länk måste skapas uttryckligen.

För omfattande eller känslig trafik erbjuder leverantörer dedikerade privata anslutningar, som AWS Direct Connect eller Azure ExpressRoute, som helt kringgår det offentliga internet. De ger jämn låg latens, hög bandbredd och bättre säkerhet än en internetanslutning.

Företag använder dessa när tillförlitlighet och förutsägbar prestanda mot molnet är verksamhetskritiska och accepterar den extra kostnaden för en garanterad länk.

Ett vanligt och billigare alternativ är en site-to-site VPN: en krypterad tunnel över det offentliga internet som kopplar ert kontorsnätverk till er VPC. Trafiken skyddas med kryptering (ofta IPsec) när den passerar internet.

Det är billigare och går snabbare att konfigurera än en dedikerad förbindelse, men prestandan beror på det offentliga internet i stället för en garanterad privat väg.

VPC:er visar att nätverk i molnet fortfarande är nätverk. Ni utformar subnät, skriver routningstabeller, tillämpar brandväggar och ansluter platser – allt i programvara via en konsol eller ett API. De välbekanta begreppen IP-adressering, routning och segmentering motsvaras direkt av konstruktioner i molnet.

En nätverkstekniker som förstår subnät och routning förstår redan det mesta som krävs för en VPC.

En VPC ger er ett privat adressutrymme som delas upp i publika och privata subnät, sammankopplade via routningstabeller med internet- och NAT-gateways och skyddade av security groups och NACL:er. Ni länkar samman VPC:er med peering och ansluter till era kontor via site-to-site VPN:er eller dedikerade förbindelser, vilket återskapar ett komplett företagsnätverk helt i molnet.

En VPC är ert isolerade privata nätverk i molnet, definierat av ett CIDR-adressintervall och uppdelat i publika och privata subnät. Routningstabeller styr trafiken till internet- och NAT-gateways, medan security groups och NACL:er filtrerar den. Ni ansluter VPC:er med peering och når dem via site-to-site VPN:er eller dedikerade förbindelser.