การเชื่อมต่อคลาวด์และ VPC

เมื่อคุณสร้างระบบบนคลาวด์สาธารณะ คุณไม่ได้รับเพียงเซิร์ฟเวอร์ แต่ยังได้รับเครือข่ายด้วย VPC (คลาวด์ส่วนตัวเสมือน) คือส่วนที่แยกออกเชิงตรรกะภายในคลาวด์ของผู้ให้บริการ ซึ่งคุณใช้วางทรัพยากรต่าง ๆ เปรียบเสมือนเครือข่ายส่วนตัวของคุณที่อยู่ในศูนย์ข้อมูลของผู้อื่น

ผู้เช่ารายอื่นใช้ฮาร์ดแวร์จริงชุดเดียวกัน แต่ VPC ของคุณจะแยกการรับส่งข้อมูลและการกำหนดที่อยู่ออกจากผู้ใช้อื่นทั้งหมด

คุณกำหนด VPC ด้วย ช่วงที่อยู่ IP ส่วนตัวโดยใช้สัญกรณ์ CIDR (การกำหนดเส้นทางระหว่างโดเมนแบบไร้คลาส) เช่น 10.0.0.0/16 บล็อกนี้จะกลายเป็นพื้นที่ที่อยู่สำหรับทรัพยากรทั้งหมดที่คุณเปิดใช้งานภายใน VPC

เช่นเดียวกับเครือข่ายภายในองค์กร คุณเลือกช่วงที่อยู่ส่วนตัว (10.x, 172.16-31.x หรือ 192.168.x) เพื่อให้ VPC เชื่อมต่อกับเครือข่ายสำนักงานของคุณได้อย่างราบรื่นในภายหลัง โดยไม่เกิดความขัดแย้งของที่อยู่

ภายใน VPC คุณจะแบ่งออกเป็น เครือข่ายย่อย ซึ่งเป็นช่วงที่อยู่ขนาดเล็กกว่า และโดยทั่วไปจะจับคู่กับโซนความพร้อมใช้งาน (ศูนย์ข้อมูลที่แยกจากกัน) เพื่อเพิ่มความทนทาน

• เครือข่ายย่อยสาธารณะ: ทรัพยากรในส่วนนี้เข้าถึงอินเทอร์เน็ตได้
• เครือข่ายย่อยส่วนตัว: ทรัพยากรไม่มีเส้นทางไปอินเทอร์เน็ตโดยตรง เหมาะสำหรับฐานข้อมูล

การวางเซิร์ฟเวอร์เว็บไว้ในเครือข่ายย่อยสาธารณะและฐานข้อมูลไว้ในเครือข่ายย่อยส่วนตัว เป็นการออกแบบที่พบได้ทั่วไปและมีความปลอดภัย

เกตเวย์อินเทอร์เน็ตเชื่อมต่อ VPC กับอินเทอร์เน็ตสาธารณะ ทำให้เครือข่ายย่อยสาธารณะสามารถรับส่งข้อมูลขาเข้าและขาออกได้ ส่วนเกตเวย์ NATช่วยให้ทรัพยากรในเครือข่ายย่อยส่วนตัวเชื่อมต่อออกไปยังอินเทอร์เน็ตได้ (เช่น เพื่อรับการอัปเดต) โดยไม่อนุญาตให้มีการเชื่อมต่อขาเข้าที่ไม่ได้ร้องขอ

การจับคู่ดังกล่าวช่วยให้เซิร์ฟเวอร์แบ็กเอนด์ได้รับแพตช์และเรียกใช้บริการภายนอกได้ ขณะเดียวกันก็ยังซ่อนจากอินเทอร์เน็ต นี่เป็นรูปแบบสำคัญของการรักษาความปลอดภัยบนคลาวด์

เครือข่ายย่อยแต่ละแห่งใช้ตารางเส้นทางเพื่อบอกว่าการรับส่งข้อมูลควรไปที่ใด เส้นทางที่ชี้ 0.0.0.0/0 (ปลายทางทั้งหมด) ไปยังเกตเวย์อินเทอร์เน็ตจะทำให้เครือข่ายย่อยเป็นเครือข่ายสาธารณะ ส่วนการชี้ไปยังเกตเวย์ NAT จะทำให้เครือข่ายย่อยยังคงเป็นเครือข่ายส่วนตัว

ตารางเส้นทางเป็นวิธีที่คลาวด์จำลองการตัดสินใจด้านการกำหนดเส้นทางแบบดั้งเดิมด้วยซอฟต์แวร์ เส้นทางที่กำหนดค่าผิดเป็นสาเหตุทั่วไปที่ทำให้ทรัพยากรบนคลาวด์เชื่อมต่ออินเทอร์เน็ตหรือเชื่อมต่อระหว่างกันไม่ได้

ชั้นไฟร์วอลล์สองชั้นช่วยปกป้องการรับส่งข้อมูลของ VPC:

• กลุ่มความปลอดภัย: ไฟร์วอลล์แบบมีสถานะที่ผูกกับอินสแตนซ์แต่ละรายการ หากอนุญาตให้ส่งข้อมูลออก ระบบจะอนุญาตการตอบกลับเข้ามาโดยอัตโนมัติ
• รายการควบคุมการเข้าถึงเครือข่าย (NACL): กฎแบบไร้สถานะในระดับเครือข่ายย่อย ซึ่งกรองการรับส่งข้อมูลทั้งสองทิศทาง

เมื่อใช้ร่วมกัน คุณจะควบคุมได้อย่างแม่นยำว่าพอร์ตและแหล่งที่มาใดบ้างที่สามารถเข้าถึงทรัพยากรบนคลาวด์ของคุณ

การเชื่อมต่อ VPC แบบเพียร์เชื่อมต่อ VPC สองแห่งเข้าด้วยกัน ทำให้ทรัพยากรสามารถสื่อสารกันโดยใช้ที่อยู่ส่วนตัวได้เสมือนอยู่ในเครือข่ายเดียวกัน เหมาะสำหรับการเชื่อมโยงสภาพแวดล้อม ทีม หรือภูมิภาคต่าง ๆ แบบส่วนตัว โดยไม่ต้องให้การรับส่งข้อมูลผ่านอินเทอร์เน็ตสาธารณะ

การเชื่อมต่อแบบเพียร์ไม่สามารถส่งต่อโดยอัตโนมัติได้ กล่าวคือ หาก VPC A เชื่อมต่อแบบเพียร์กับ B และ B เชื่อมต่อแบบเพียร์กับ C แล้ว A ก็ยังไม่สามารถเข้าถึง C ได้โดยตรง ต้องสร้างลิงก์แต่ละรายการอย่างชัดเจน

สำหรับการรับส่งข้อมูลปริมาณมากหรือข้อมูลอ่อนไหว ผู้ให้บริการมีการเชื่อมต่อส่วนตัวเฉพาะ เช่น AWS Direct Connect หรือ Azure ExpressRoute ซึ่งข้ามอินเทอร์เน็ตสาธารณะทั้งหมด การเชื่อมต่อเหล่านี้ให้เวลาแฝงต่ำที่สม่ำเสมอ แบนด์วิดท์สูง และความปลอดภัยดีกว่าเส้นทางผ่านอินเทอร์เน็ต

องค์กรใช้การเชื่อมต่อเหล่านี้เมื่อความน่าเชื่อถือและประสิทธิภาพที่คาดการณ์ได้ในการเชื่อมต่อคลาวด์มีความสำคัญต่อภารกิจ โดยยอมรับค่าใช้จ่ายเพิ่มเติมเพื่อให้ได้ลิงก์ที่รับประกันได้

ตัวเลือกทั่วไปที่มีค่าใช้จ่ายต่ำกว่าคือ VPN ระหว่างสถานที่ ซึ่งเป็นอุโมงค์เข้ารหัสผ่านอินเทอร์เน็ตสาธารณะสำหรับเชื่อมโยงเครือข่ายสำนักงานกับ VPC การรับส่งข้อมูลได้รับการปกป้องด้วยการเข้ารหัส (มักใช้ IPsec) ขณะเดินทางผ่านอินเทอร์เน็ต

ตัวเลือกนี้มีราคาถูกกว่าและตั้งค่าได้เร็วกว่าวงจรเชื่อมต่อเฉพาะ แต่ประสิทธิภาพขึ้นอยู่กับอินเทอร์เน็ตสาธารณะ ไม่ใช่เส้นทางส่วนตัวที่รับประกันได้

VPC พิสูจน์ให้เห็นว่าเครือข่ายบนคลาวด์ยังคงเป็นการทำงานด้านเครือข่าย คุณออกแบบเครือข่ายย่อย เขียนตารางเส้นทาง ใช้ไฟร์วอลล์ และเชื่อมต่อสถานที่ต่าง ๆ เพียงแต่ทำทั้งหมดผ่านซอฟต์แวร์ด้วยคอนโซลหรือ API แนวคิดคุ้นเคยอย่างการกำหนดที่อยู่ IP การกำหนดเส้นทาง และการแบ่งส่วน ล้วนสอดคล้องโดยตรงกับองค์ประกอบของคลาวด์

ช่างเทคนิคเครือข่ายที่เข้าใจเครือข่ายย่อยและการกำหนดเส้นทางอยู่แล้ว ย่อมเข้าใจสิ่งที่ VPC ต้องการเกือบทั้งหมด

VPC มอบพื้นที่ที่อยู่ส่วนตัวให้คุณ โดยแบ่งเป็นเครือข่ายย่อยสาธารณะและส่วนตัว เชื่อมโยงด้วยตารางเส้นทางไปยังเกตเวย์อินเทอร์เน็ตและเกตเวย์ NAT และปกป้องด้วยกลุ่มความปลอดภัยและรายการควบคุมการเข้าถึงเครือข่าย (NACL) คุณเชื่อมโยง VPC ด้วยการเชื่อมต่อแบบเพียร์ และเชื่อมต่อกับสำนักงานผ่าน VPN ระหว่างสถานที่หรือวงจรเฉพาะ ทำให้สามารถจำลองเครือข่ายองค์กรเต็มรูปแบบไว้บนคลาวด์ทั้งหมด

VPC คือเครือข่ายส่วนตัวแบบแยกออกจากกันของคุณบนคลาวด์ กำหนดด้วยช่วงที่อยู่ CIDR และแบ่งเป็นเครือข่ายย่อยสาธารณะและส่วนตัว ตารางเส้นทางจะกำหนดเส้นทางการรับส่งข้อมูลไปยังเกตเวย์อินเทอร์เน็ตและเกตเวย์ NAT ขณะที่กลุ่มความปลอดภัยและรายการควบคุมการเข้าถึงเครือข่าย (NACL)จะกรองข้อมูล คุณเชื่อมต่อ VPC ด้วยการเชื่อมต่อแบบเพียร์ และเข้าถึงผ่านVPN ระหว่างสถานที่หรือวงจรเฉพาะ