Bulut Bağlantısı ve VPC'ler

Genel bulutta kurulum yaptığınızda yalnızca sunuculara değil, bir ağa da sahip olursunuz. VPC (Sanal Özel Bulut), sağlayıcının bulutunda kaynaklarınızı yerleştirdiğiniz mantıksal olarak yalıtılmış bir bölümdür. Başka birinin veri merkezindeki özel ağınızdır.

Diğer kiracılar aynı fiziksel donanımı paylaşır; ancak VPC'niz trafiğinizi ve adreslemenizi diğer herkesten ayrı tutar.

VPC'nizi 10.0.0.0/16 gibi CIDR (Sınıfsız Etki Alanları Arası Yönlendirme) gösterimini kullanarak özel bir IP adres aralığı ile tanımlarsınız. Bu blok, içinde başlattığınız tüm kaynakların adres alanı olur.

Şirket içi bir ağda olduğu gibi, VPC'nin daha sonra ofis ağınıza adres çakışması olmadan sorunsuzca bağlanabilmesi için özel aralıkları (10.x, 172.16-31.x veya 192.168.x) seçersiniz.

Bir VPC'nin içinde, dayanıklılık sağlamak amacıyla genellikle kullanılabilirlik alanlarına (ayrı veri merkezlerine) karşılık gelen daha küçük adres aralıkları olan alt ağlar oluşturursunuz.

• Genel alt ağlar: Buradaki kaynaklar internete ulaşabilir.
• Özel alt ağlar: Kaynakların doğrudan internet rotası yoktur; veritabanları için idealdir.

Web sunucularını genel alt ağlara, veritabanlarını ise özel alt ağlara yerleştirmek yaygın ve güvenli bir tasarımdır.

Bir internet ağ geçidi, bir VPC'yi genel internete bağlayarak genel alt ağlara gelen ve giden erişim sağlar. Bir NAT ağ geçidi ise özel alt ağlardaki kaynakların internete dışarıya doğru bağlantı kurmasına (güncellemeler için) izin verir; istenmeyen gelen bağlantılara izin vermez.

Bu ikili, arka uç sunucularının güncel kalmasını ve dışarıya bağlantı kurabilmesini sağlarken internetten gizli kalmalarını sağlar. Bu, bulut güvenliğinde temel bir örüntüdür.

Her alt ağ, trafiğin nereye gideceğini belirleyen bir yönlendirme tablosu kullanır. 0.0.0.0/0 (tüm hedefler) adresine yönelik bir rotanın internet ağ geçidine yönlendirilmesi, alt ağı genel hale getirir; NAT ağ geçidine yönlendirilmesi ise alt ağı özel tutar.

Yönlendirme tabloları, buluttaki geleneksel yönlendirme kararlarının yazılım aracılığıyla nasıl yeniden oluşturulduğunu gösterir. Hatalı yapılandırılmış rotalar, bulut kaynaklarının internete veya birbirlerine erişememesinin yaygın nedenlerinden biridir.

İki güvenlik duvarı katmanı VPC trafiğini korur:

• Güvenlik grupları: her örneğe bağlı durum bilgili güvenlik duvarlarıdır; dışarıya giden trafiğe izin verirseniz yanıtların geri gelmesine otomatik olarak izin verilir.
• NACL'ler (Ağ Erişim Denetimi Listeleri): alt ağ düzeyinde, trafiği her iki yönde filtreleyen durum bilgisiz kurallardır.

Bu ikisi birlikte, hangi bağlantı noktalarının ve kaynakların bulut kaynaklarınıza erişebileceğini tam olarak denetlemenizi sağlar.

VPC eşlemesi, iki VPC'yi birbirine bağlayarak kaynakların tek bir ağdaymış gibi özel adresler kullanarak iletişim kurmasını sağlar. Ortamları, ekipleri veya bölgeleri, trafiği genel internetten geçirmeden özel olarak birbirine bağlamak için kullanışlıdır.

Eşleme geçişli değildir: VPC A, B ile ve B de C ile eşlenmişse A yine de C'ye doğrudan erişemez. Her bağlantının açıkça kurulması gerekir.

Sağlayıcılar, yoğun veya hassas trafik için AWS Direct Connect ya da Azure ExpressRoute gibi, genel interneti tamamen devre dışı bırakan özel bağlantılar sunar. Bunlar, internet üzerinden kurulan bir yola kıyasla tutarlı düşük gecikme, yüksek bant genişliği ve daha iyi güvenlik sağlar.

Kuruluşlar, buluta güvenilirlik ve öngörülebilir performansın kritik olduğu durumlarda bu bağlantıları kullanır ve garantili bir bağlantı için ek maliyeti kabul eder.

Yaygın ve daha düşük maliyetli bir seçenek, ofis ağınızı VPC'nize bağlayan, genel internet üzerinden oluşturulmuş şifreli bir tünel olan siteden siteye VPN'dir. Trafik internet üzerinden geçerken şifrelemeyle (çoğunlukla IPsec) korunur.

Özel bir devreye kıyasla daha ucuzdur ve kurulumu daha hızlıdır; ancak performansı garantili özel bir yol yerine genel internete bağlıdır.

VPC'ler, bulut ağlarının hâlâ ağ oluşturma kavramlarına dayandığını gösterir. Alt ağları tasarlar, yönlendirme tabloları yazar, güvenlik duvarları uygular ve siteleri bağlarsınız; yalnızca bunları bir konsol veya API aracılığıyla yazılım içinde yaparsınız. IP adresleme, yönlendirme ve bölümleme gibi bilinen kavramlar doğrudan bulut yapılarına karşılık gelir.

Alt ağları ve yönlendirmeyi anlayan bir ağ teknisyeni, VPC'nin gerektirdiklerinin çoğunu zaten anlamış demektir.

Bir VPC, genel ve özel alt ağlara bölünmüş özel bir adres alanı sağlar. Bu alt ağlar, yönlendirme tablolarıyla internet ve NAT ağ geçitlerine bağlanır, güvenlik grupları ve NACL'lerle korunur. VPC'leri eşlemeyle birbirine bağlayabilir, ofislerinize siteden siteye VPN'ler veya özel devreler üzerinden bağlanabilir ve böylece eksiksiz bir kurumsal ağı tamamen bulut içinde yeniden oluşturabilirsiniz.

VPC bilginizi sınayın.

Bir VPC, buluttaki yalıtılmış özel ağınızdır; bir CIDR adres aralığıyla tanımlanır ve genel ve özel alt ağlara bölünür. Yönlendirme tabloları trafiği internet ve NAT ağ geçitlerine yönlendirirken güvenlik grupları ve NACL'ler trafiği filtreler. VPC'leri eşlemeyle birbirine bağlar, bunlara siteden siteye VPN'ler veya özel devreler üzerinden erişirsiniz.