VPC Mimarisi ve CIDR Blokları

Amazon Virtual Private Cloud (VPC), bir AWS Bölgesi içinde tanımlayıp denetlediğiniz, mantıksal olarak yalıtılmış özel bir ağdır. Her AWS hesabında her Bölge için varsayılan bir VPC (CIDR 172.31.0.0/16) bulunur; ancak üretim mimarilerinde her zaman özel VPC'ler kullanılır. Bir VPC, kendi Bölgesindeki tüm Kullanılabilirlik Alanlarına yayılır ve IP adresleme, alt ağlar, yönlendirme tabloları, internet ağ geçitleri ve güvenlik üzerinde tam denetim sağlar. Bir VPC içindeki kaynaklar, bağlantıyı açıkça yapılandırmadığınız sürece diğer VPC'lerden ve internetten yalıtılır.

CIDR (Sınıfsız Alanlar Arası Yönlendirme) bloğu, x.x.x.x/prefix biçimini kullanarak bir VPC'nin veya subnet'in IP adresi aralığını tanımlar. Prefix uzunluğu, aralıkta kaç IP adresi bulunduğunu belirler: /16 = 65.536 adres, /24 = 256 adres, /28 = 16 adres (AWS'teki minimum subnet boyutu). VPC'ler için AWS, /16'dan (en büyük) /28'e (en küçük) kadar CIDR bloklarına izin verir. Şu özelliklere sahip bir VPC CIDR seçin: (1) şirket içi ağlarla çakışmamalı (gelecekteki VPN/Direct Connect bağlantıları için), (2) planlanan subnet'ler için yeterince büyük olmalı ve (3) özel RFC 1918 adres alanını kullanmalı (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16).

Bir subnet, tek bir Kullanılabilirlik Alanında bulunan VPC IP adresi aralığının bir bölümüdür. Subnet'ler genel (internet ağ geçidine giden bir rotası vardır) veya özel (doğrudan internet rotası yoktur) olarak sınıflandırılır. Tipik üç katmanlı bir mimari için en iyi uygulama, en az üç subnet katmanı oluşturmaktır: genel (yük dengeleyiciler, sıçrama sunucuları), özel-uygulama (EC2 bulut sunucuları, ECS görevleri) ve özel-veri (RDS, ElastiCache). Yüksek kullanılabilirlik için her katmanı en az iki AZ'ye çoğaltın.

İki AZ ve üç katman genelinde 10.0.0.0/16 CIDR'ına sahip bir VPC için yaygın bir CIDR tasarımı şöyledir: Genel AZ-a: 10.0.1.0/24; Genel AZ-b: 10.0.2.0/24; Özel-Uygulama AZ-a: 10.0.10.0/24; Özel-Uygulama AZ-b: 10.0.11.0/24; Özel-Veri AZ-a: 10.0.20.0/24; Özel-Veri AZ-b: 10.0.21.0/24. Bu yerleşim, tüm CIDR şemasını yeniden planlamadan AZ-c subnet'leri (10.0.3.0/24, 10.0.12.0/24, 10.0.22.0/24) eklemenize olanak tanır. Tasarımınızı her zaman büyümeyi göz önünde bulundurarak yapın.

AWS, her subnet'teki ilk dört ve son IP adresini ayırır. 10.0.1.0/24 subnet'i için: 10.0.1.0 (ağ), 10.0.1.1 (VPC yönlendiricisi), 10.0.1.2 (DNS/DHCP), 10.0.1.3 (gelecekte kullanım) ve 10.0.1.255 (yayın). Bir /24 subnet'inde toplam 256 IP bulunur; 5 ayrılmış IP çıkarıldığında 251 kullanılabilir IP kalır. Minimum boyut olan /28 subnet'inde 16 IP bulunur; 5'i çıkarıldığında 11'i kullanılabilir. Bu durum, dağıtmayı planladığınız kaynakların (VPC kullanan EC2 bulut sunucuları, Lambda işlevleri vb.) sayısına göre subnet boyutunu belirlerken önemlidir.

Mevcut bir VPC'ye yeniden oluşturmadan en fazla dört ikincil CIDR bloğu ekleyebilirsiniz. Bu, birincil CIDR'niz tükendiğinde (tüm subnet'ler dolu olduğunda) veya Kubernetes pod ağ iletişimi gibi belirli bir kullanım amacı için farklı bir RFC 1918 aralığından adres alanı eklemeniz gerektiğinde yararlıdır. İkincil CIDR'ler belirli kısıtlamalara tabidir; örneğin, çakışan bir CIDR ekleyemezsiniz ve RFC 1918 kapsamına girmeyen bazı genel aralıklar kullanılamaz. İkincil CIDR ihtiyacını en aza indirmek için VPC CIDR boyutunu başlangıçta dikkatlice planlayın.

VPC Peering, iki VPC arasında kaynaklarının özel IP adreslerini kullanarak iletişim kurmasını sağlayan özel bir ağ bağlantısı oluşturur. Eşlenmiş VPC'ler aynı hesapta, farklı hesaplarda veya hatta farklı Regions'larda (bölgeler arası eşleme) bulunabilir. Gereksinim: iki VPC'nin CIDR'leri çakışmamalıdır. Kısıtlama: eşleme geçişli değildir; VPC-A, VPC-B ile ve VPC-B, VPC-C ile eşlenmişse VPC-A, VPC-B üzerinden VPC-C ile iletişim kuramaz. Birçok VPC arasında tam örgü bağlantısı için bunun yerine AWS Transit Gateway kullanın.

AWS Transit Gateway (TGW), birden çok VPC'yi, VPN'yi ve Direct Connect bağlantısını birbirine bağlayan merkezi bir ağ merkezi, yani bulut yönlendiricisi görevi görür. N adet VPC'den oluşan tam bir örgü için N*(N-1)/2 VPC eşleme bağlantısı oluşturmak yerine her VPC'yi ve bağlantıyı Transit Gateway'e bağlarsınız; Transit Gateway de bunlar arasındaki trafiği yönlendirir. TGW, hangi bağlantıların birbiriyle iletişim kurabileceğini denetlemenizi sağlayan RouteTables'ı destekler. Böylece ağ segmentasyonu etkinleştirilir (örneğin, aynı TGW üzerindeki üretim VPC'lerini geliştirme VPC'lerinden yalıtabilirsiniz).

Bir VPC'de ad çözümlemesini iki DNS ayarı denetler. enableDnsSupport: true olduğunda (varsayılan), VPC AWS tarafından sağlanan DNS çözümleyicisini 169.254.169.253 adresinde veya VPC CIDR'sinin ikinci IP adresinde (örneğin 10.0.0.0/16 için 10.0.0.2) kullanır. enableDnsHostnames: true olduğunda (özel VPC'lerde etkinleştirilmelidir; varsayılan VPC'de varsayılan olarak açıktır), VPC'deki EC2 örneklerine ip-10-0-1-15.ec2.internal gibi DNS ana bilgisayar adları atanır. Route 53 Private Hosted Zones'ın VPC içinde çalışması için her iki ayarın da etkin olması gerekir.

VPC Flow Logs, VPC'nizden geçen ağ trafiğiyle ilgili meta verileri kaydeder: kaynak ve hedef IP, bağlantı noktası, protokol, aktarılan bayt sayısı ve trafiğin kabul edilip edilmediği. Flow Logs, sorgulama için CloudWatch Logs'a (Logs Insights ile) veya analiz için S3'e (Athena ile) yayımlanabilir. Güvenlik adli incelemeleri (kimin neye bağlandığını belirleme), trafik analizi (yüksek bant genişlikli akışları belirleme) ve sorun giderme (bir bağlantının neden reddedildiğini bulma) için son derece değerlidir. Flow Logs, VPC, subnet veya tek tek ENI düzeyinde çalışır.

Bir VPC oluşturmadan önce gelecekteki tüm bağlantı gereksinimlerini planlayın: şirket içi bağlantı (VPN veya Direct Connect)—VPC CIDR'sinin şirket içi subnet'lerle çakışmadığından emin olun; VPC'ler arası bağlantı (eşleme veya Transit Gateway)—kuruluşunuzdaki tüm VPC'ler için çakışmayan CIDR'ler planlayın; AWS hizmetlerine erişim (trafiğin internet üzerinden geçmesini önlemek için S3, DynamoDB ve SSM'ye yönelik VPC uç noktaları); ve subnet boyutlandırması—EKS pod'larından, Lambda işlevlerinden ve Elastic Network Interfaces'lerden kaynaklanacak IP adresi tüketimi için her subnet'te yeterli boş alan bırakın.

Bu derste şunları öğrendiniz: VPC, bir Region içinde mantıksal olarak yalıtılmış bir ağdır ve AZ'ler genelinde public ve private subnet'lere böldüğünüz bir CIDR bloğuyla tanımlanır; AWS her subnet'te 5 IP ayırır, bu nedenle subnet'leri boyutlandırırken bu azaltmayı her zaman hesaba katmalısınız; ayrıca VPC Peering ve Transit Gateway, VPC'leri özel olarak birbirine bağlar ancak CIDR aralıkları çakışmamalıdır. Sırada Internet Gateways ve Route Tables konusunu inceleyeceğiz.