Jakie elementy sieciowe trafiają do AWS VPC?
Odkryj magię sieci stojącą za AWS VPC: odkryj elementy!
Wprowadzenie
Amazon Web Services Virtual Private Cloud (AWS VPC) to wirtualna sieć dedykowana dla konta AWS użytkownika. Umożliwia użytkownikowi uruchamianie zasobów AWS w zdefiniowanej przez użytkownika sieci wirtualnej. VPC składa się z kilku komponentów, w tym podsieci, tablic tras, bram sieciowych, grup zabezpieczeń i list kontroli dostępu do sieci. Komponenty te współpracują ze sobą, aby zapewnić użytkownikowi bezpieczne i odizolowane środowisko do uruchamiania aplikacji i przechowywania danych. Dodatkowo VPC pozwala użytkownikowi kontrolować dostęp do swoich zasobów i łączyć się z lokalnymi lub innymi VPC.
Podstawowa historia
Komponenty AWS VPC są niezbędne, ponieważ zapewniają użytkownikowi niezbędne narzędzia do budowy i zarządzania wirtualną infrastrukturą sieciową. Ponadto komponenty te pomagają użytkownikowi zabezpieczyć, odizolować i kontrolować dostęp do zasobów AWS.
Podsieci są niezbędnym elementem VPC. Pozwalają użytkownikom dzielić VPC na mniejsze segmenty sieci i kontrolować przepływ ruchu między nimi. Użytkownicy mogą izolować swoje zasoby, tworząc wiele podsieci, wymuszając zasady bezpieczeństwa sieci i wdrażając sieciowe grupy zabezpieczeń w celu kontrolowania ruchu przychodzącego i wychodzącego.
Tabele tras są również istotnym elementem VPC. Narzucają przepływ ruchu sieciowego w VPC i między różnymi podsieciami. Użytkownik może użyć tabel tras, aby określić miejsce docelowe dla ruchu sieciowego, takie jak określona podsieć lub wirtualna brama prywatna. Pozwala to użytkownikowi kontrolować ruch sieciowy i zarządzać nim w jego VPC, zapewniając bezpieczeństwo i dostępność jego zasobów.
Bramy sieciowe, takie jak bramy internetowe, bramy VPN i bramy Direct Connect, są również niezbędnymi składnikami VPC. Zapewniają użytkownikowi sposób na połączenie ich VPC z Internetem lub innymi VPC, umożliwiając mu dostęp do swoich zasobów i kontrolowanie przepływu ruchu sieciowego. Bramy sieciowe są zintegrowane z tablicami tras VPC w celu kontrolowania przepływu ruchu sieciowego między VPC a Internetem lub innymi VPC.
Grupy zabezpieczeń i listy kontroli dostępu do sieci (ACL) są również krytycznymi składnikami VPC. Kontrolują przepływ przychodzącego i wychodzącego ruchu sieciowego i zapewniają, że tylko autoryzowany ruch może wejść lub wyjść z VPC. Ponadto grupy zabezpieczeń i listy ACL mogą służyć do ograniczania dostępu do określonych portów, adresów IP lub podsieci. Współpracują ze sobą, aby zapewnić bezpieczeństwo zasobów użytkownika.
Podsumowując, AWS VPC współpracuje ze sobą, aby zapewnić użytkownikowi bezpieczną, odizolowaną i elastyczną wirtualną infrastrukturę sieciową. Korzystając z tych komponentów, użytkownik może kontrolować ruch sieciowy i zarządzać nim, zabezpieczać swoje zasoby i łączyć się z innymi sieciami.
Kilka interesujących faktów i statystyk dotyczących AWS VPC:
- Amazon VPC to jedna z najczęściej używanych usług przetwarzania w chmurze, z milionami aktywnych użytkowników.
- AWS VPC zapewnia bezpieczną i skalowalną wirtualną sieć dla zasobów Amazon Web Services (AWS).
- AWS VPC umożliwia klientom uruchamianie zasobów Amazon Web Services (AWS) w wirtualnej sieci zdefiniowanej przez klienta.
- Ruch AWS VPC można odizolować od publicznego Internetu, zapewniając wyższy poziom bezpieczeństwa.
- AWS VPC obsługuje zarówno zakresy adresów IPv4, jak i IPv6.
- AWS VPC można rozszerzyć na sieci zdalne za pośrednictwem VPN lub AWS Direct Connect.
- AWS VPC oferuje wiele zdefiniowanych przez klienta opcji kontroli dostępu do sieci, w tym grupy zabezpieczeń i sieciowe listy ACL.
- AWS VPC obsługuje wiele topologii sieci, w tym podsieci publiczne, podsieci prywatne i sprzętowe połączenia VPN.
- AWS VPC zapewnia klientom wysoki stopień dostosowania sieci, w tym obsługę wielu zakresów adresów IP, segmentację sieci i szczegółową kontrolę dostępu.
- AWS VPC jest dostępny w wielu regionach i strefach dostępności, zapewniając klientom wysoką dostępność i odporność na awarie infrastruktury sieciowej.
Maksymalizacja wydajności biznesowej dzięki rozwiązaniom chmurowym AWS
Odblokuj pełny potencjał swojej firmy dzięki technologii chmurowej AWS
W tym poście chcemy przedstawić wszystkie komponenty sieciowe, które są częścią Amazon Web Services (AWS). Przyjrzymy się bliżej każdemu elementowi, jego funkcji i dopasowaniu do całej infrastruktury. Mamy nadzieję, że odpowie na niektóre z twoich pytań, a dzięki lepszemu zrozumieniu skusisz się na skorzystanie z tych usług.
Zanim przejdziemy do wszystkich szczegółów, chcielibyśmy podkreślić, że dobry projekt sieci to podstawa infrastruktury lokalnego centrum danych. To samo dotyczy środowiska Cloud (post 10 najlepszych rozwiązań w zakresie projektowania sieci Najlepsze praktyki dla Twojej infrastruktury). Chcielibyśmy również podkreślić, że koncentrujemy się wyłącznie na aspektach sieciowych i bezpieczeństwa AWS; wszelkie inne usługi są poza zakresem tego bloga.
Co to jest Amazon VPC?
Amazon Virtual Private Cloud (Amazon VPC) umożliwia uruchamianie zasobów AWS w zdefiniowanej przez Ciebie sieci wirtualnej. Ta wirtualna sieć przypomina tradycyjną sieć, którą obsługujesz we własnym Data Center, z korzyściami płynącymi ze skalowalnej infrastruktury AWS.
VPC – wirtualna sieć dedykowana dla twojego konta AWS, w której możesz uruchomić wiele sieci i odizolować je od siebie dla lepszego bezpieczeństwa i zgodności. Połącz swoje lokalne centrum danych i uruchom rozwiązanie sieci hybrydowej. Skalowalne i elastyczne rozwiązanie usprawniające operacje biznesowe.
Co to jest region AWS?
AWS ma koncepcję regionu, fizyczną lokalizację na całym świecie, w której skupiamy centra danych. Każdą grupę logicznych Data Center nazywamy Strefą Dostępności. Region EacAZsS składa się z wielu izolowanych i fizycznie oddzielnych stref AZ na obszarze geograficznym. W przeciwieństwie do innych użytkowników chmury, którzy często definiują region jako pojedyncze centrum danych, wiele projektów AZ każdego regionu AWS oferuje korzyści dla klientów. Każdy AZ ma niezależne zasilanie, chłodzenie i zabezpieczenia fizyczne połączone przez redundantne sieci o bardzo małych opóźnieniach. Klienci AWS, którym zależy na wysokiej dostępności, mogą projektować swoje aplikacje tak, aby uruchamiały wiele AZ, aby osiągnąć największą odporność na awarie reaktora. W rezultacie regiony infrastruktury AWS spełniają najwyższe poziomy bezpieczeństwa, zgodności i ochrony danych.
AWS zapewnia większy globalny zasięg niż jakikolwiek inny dostawca chmury. Aby wesprzeć swój globalny zasięg i zapewnić obsługę klientów na całym świecie, AWS szybko otwiera nowe regiony. W rezultacie AWS utrzymuje wiele regionów geograficznych, w tym regiony w Ameryce Północnej, Ameryce Południowej, Europie, Chinach, regionie Azji i Pacyfiku, Afryce Południowej i na Bliskim Wschodzie.
Chmura AWS: klucz do usprawnienia operacji i obniżenia kosztów
Strefy dostępności
Strefa dostępności (AZ) to dyskretne centrum danych z nadmiarowym zasilaniem, siecią i łącznością w regionie AWS. AZ umożliwiają klientom obsługę aplikacji produkcyjnych i baz danych, które są bardziej dostępne, odporne na awarie i skalowalne, niż byłoby to możliwe z jednego centrum danych. Wszystkie AZ w regionie AWS są połączone za pomocą sieci o dużej przepustowości i małych opóźnieniach, za pośrednictwem w pełni redundantnego, dedykowanego metAZsibre, zapewniającego wysoką przepustowość i małe opóźnienia sieci między AZ. Cały ruch między punktami AZ jest szyfrowany — wydajność sieci jest wystarczająca do przeprowadzenia synchronicznej replikacji między punktami AZ. AZ ułatwiają dostępność aplikacji do partycjonowania fAZsigh. Jeśli aplikacja jest stroną, firmy są lepiej odizolowane i chronione przed problemami, takimi jak awarie pAZ, uderzenia pioruna, znaczące trzęsienia ziemi i inne. AZ są fizycznie oddzielone na znaczną odległość, wiele kilometrów, od innych AZ, chociaż wszystkie znajdują się w promieniu 100 km (60 mil) od siebie.
Duża dostępność
W przeciwieństwie do innych dostawców infrastruktury AZshnology, każdy region AWS ma wiele AZ. Jak nauczyliśmy się, prowadząc od 2006 roku wiodącą platformę technologiczną infrastruktury chmurowej, klienci, którym zależy na wydajności dostępności swoich aplikacji, chcą wdrażać te aplikacje w wielu AZ w tym samym regionie, aby zapewnić odporność na awarie i niskie opóźnienia. AZ są połączone szybkimi, prywatnymi sieciami światłowodowymi, co pociąga za sobą wydajne aplikacje architektoniczne, które automatycznie przełączają się między AZ bez przerw.
Płaszczyzna kontroli AWS (w tym interfejsy API) i konsola zarządzania AWS są rozproszone w regionach AWS i wykorzystują architekturę wielu AZ w każdym regionie, aby zapewnić odporność i ciągłą dostępność. Dzięki temu klienci unikają uzależnienia usług o znaczeniu krytycznym od pojedynczego centrum danych. AWS może przeprowadzać czynności konserwacyjne bez tymczasowego wyłączania kluczowych usług dla jakiegokolwiek klienta.
Jak chmura AWS może zrewolucjonizować procesy biznesowe
Sieć / podsieci
Podstawy VPC i podsieci
Wirtualna chmura prywatna (VPC) to wirtualna sieć dedykowana dla Twojego konta AWS. Jest logicznie odizolowany od innych sieci wirtualnych w chmurze AWS. Możesz uruchomić swoje zasoby AWS, takie jak instancje Amazon EC2, w swoim VPC.
Tworząc VPC, musisz określić zakres adresów IPv4 dla VPC w postaci bloku bezklasowego routingu międzydomenowego (CIDR); na przykład, 10.0.0.0/16.
Segmentacja sieci
Chociaż otrzymujesz sieć ./16 w swoim VPC, żadna nie potrzebuje adresu IP powyżej 65 100, nawet firma FTSE 24 GIPsl Enterprise. Mówiąc to, dobrze jest mieć więcej adresów IP, ponieważ można je podzielić na mniejsze podsieci – na przykład ./250, co daje ponad XNUMX adresów IP. Jest to istotne i musi być jasno określone od samego początku. Dobry projekt pomoże Ci wdrożyć potrzebne usługi i odizolować je; serwery WWW, aplikacje, bazy danych i inne. Kolejnym istotnym elementem jest to, aby nie mieć takich samych zasięgów sieci w chmurze i sieci on-premise, ponieważ może to powodować konflikty w przyszłości.
Podsieci prywatne
Szczerze mówiąc, nie ma podsieci prywatnych ani publicznych. Termin ten jest używany do opisu – Prywatne podsieci; te zezwolenia, które są izolowane i nie mają dostępu do Internetu lub dostęp z Internetu nie jest dozwolony do tych podsieci/sieci. Najprawdopodobniej Twoja baza danych będzie znajdować się w tych sieciach i innych bezpiecznych usługach.
Podsieci publiczne
Ruch jest dozwolony i filtrowany z Internetu do publicznych podsieci/sieci. Hosty w tych sieciach mają prywatne adresy IP, a adresy IP mogą być kierowane przez bramy internetowe i powiązane publiczne adresy IP (elastyczna alokacja adresów IP)
AWS Cloud: przyszłość rozwoju biznesu i innowacji
Izolowanie sieci
Aby uzyskać dodatkową kontrolę dostępu do sieci, możesz uruchomić instancje DB w Amazon VPC. Amazon VPC umożliwia izolowanie instancji bazy danych poprzez określenie zakresu adresów IP, którego chcesz użyć, i połączenie z istniejącą dodatkową infrastrukturą za pośrednictwem szyfrowanej sieci VPN IPsec zgodnej ze standardami branżowymi. Uruchamianie Amazon RDS w VPC pozwala mieć instancję DB w prywatnej podsieci. Możesz także skonfigurować wirtualną bramę prywatną, która rozszerza sieć firmową na VPC i umożliwia dostęp do instancji RDS DB w tym VPC.
W przypadku wdrożeń Multi-AZ zdefiniowanie podsieci dla wszystkich stref dostępności w regionie pozwoli Amazon RDS na utworzenie nowej rezerwy w innej strefie dostępności, jeśli zajdzie taka potrzeba. Możesz tworzyć kolekcje podsieci DB Subnet Groups, które możesz chcieć wyznaczyć dla swoich RDS DB Instancje w VPC. Każda grupa podsieci DB powinna mieć co najmniej jedną podsieć dla każdej strefy dostępności w danym regionie. W takim przypadku, gdy tworzysz Instancję DB w VPC, wybierasz Grupę Podsieci DB; Następnie Amazon RDS używa tej grupy podsieci DB i preferowanej dostępnej strefy miasta, aby wybrać podsieć i adres IP w tej podsieci. Amazon RDS tworzy i kojarzy elastyczny interfejs sieciowy z Twoją instancją bazy danych z tym adresem IP.
Dostęp do instancji DB wdrożonych w ramach Amazon VPC można uzyskać z Internetu lub instancji Amazon EC2 poza VPC przez VPN lub hosty bastionowe thamustunch w Twojej publicznej podsieci. Aby użyć hosta bastionu, musisz skonfigurować publiczną podsieć z instancją EC2, która działa jako bastion SSH. Ta publiczna podsieć musi mieć bramę internetową i reguły routingu, które umożliwiają kierowanie ruchu przez hosta SSH, który następnie musi przekazywać żądania do prywatności Twojej instancji Amazon RDS DB.
Grupy bezpieczeństwa DB mogą pomóc w zabezpieczeniu instancji DB w Amazon VPC. Poza tym ruch sieciowy wchodzący i wychodzący z każdej podsieci może być dozwolony lub zabroniony za pośrednictwem sieciowych list ACL. Wreszcie, cały ruch sieciowy wchodzący lub wychodzący z Amazon VPC za pośrednictwem połączenia IPsec VPN może być kontrolowany przez lokalną infrastrukturę bezpieczeństwa, w tym zapory sieciowe i systemy wykrywania włamań.
Grupy bezpieczeństwa dla Twojego VPC
A grupa bezpieczeństwa działa jako wirtualny firewall, na przykład kontrolując ruch przychodzący i wychodzący. Kiedy uruchamiasz model w VPC, możesz przypisać do instancji pięć grup bezpieczeństwa. Grupy zabezpieczeń działają na poziomie instancji, a nie na poziomie podsieci. W związku z tym każda instancja w podsieci w Twojej sieci VPC może być przypisana do innego zestawu grup zabezpieczeń.
Załóżmy, że uruchamiasz instancję za pomocą interfejsu API Amazon EC2 lub narzędzia wiersza poleceń i nie określasz grupy zabezpieczeń. W takim przypadku instancja jest automatycznie przypisywana do domyślnej grupy bezpieczeństwa dla VPCtheJeśli uruchomisz instancję za pomocą konsoli Amazon EC2; możesz na przykład utworzyć nową grupę zabezpieczeń.
Dla każdej grupy zabezpieczeń należy dodać reguły które kontrolują rządowy ruch do instancji i osobny zestaw reguł kontrolujących ruch wychodzący. W tej sekcji opisano podstawowe praktyki, które należy znać na temat grup zabezpieczeń dla VPC i ich praktyk.
Lista kontroli dostępu do sieci (NACL)
Lista kontroli dostępu do sieci (NACL) to opcjonalna warstwa zabezpieczeń dla VPC, która działa jak zapora sieciowa do kontrolowania ruchu przychodzącego i wychodzącego z co najmniej jednej podsieci. Możesz skonfigurować sieciowe listy ACL z regułami podobnymi do grup zabezpieczeń, aby dodać warstwę zabezpieczeń do VPC.
NACL wykonuje pewne filtrowanie między sieciami. Jednak zdecydowanie udało nam się wdrożyć zaporę ogniową nowej generacji, taką jak Palo Alto, w celu uzyskania szczegółowej inspekcji we wszystkich 7-krotnych warstwach w infrastrukturze VPC, nie wspominając o ruchu z Internetu.
Więcej o zaporach nowej generacji, dedykowany post na ten temat
Kontrolowanie routingu
Tabela tras — Zestaw reguł, zwanych trasami, określa, gdzie kierowany jest ruch sieciowy.
Daje szczegółowy sposób, w jaki ruch może iść lub wpływać na ruch, co jest bardzo przydatne w segregacji sieci prywatnych.
Brama internetowa
Brama internetowa to skalowany poziomo, redundantny i wysoce dostępny komponent VPC, który umożliwia komunikację między VPC a Internetem.
Brama internetowa służy dwóm celom: zapewnia miejsce docelowe w tabelach tras VPC dla ruchu przeznaczonego do routingu internetowego oraz wykonuje translację adresów sieciowych (NAT) dla instancji, którym przypisano publiczne adresy IPv4.
W przeciwieństwie do NAT Gateway, Internet Gateway zezwala na ruch do Twoich instancji w VPC z Internetu.
Bramy internetowe tylko dla ruchu wychodzącego
Brama internetowa obsługująca tylko ruch wyjściowy to skalowany poziomo, nadmiarowy i wysoce dostępny komponent VPC, który umożliwia komunikację wychodzącą przez IPv6 z instancji w VPC do Internetu. Zapobiega inicjowaniu przez Internet połączenia IPv6 z Twoimi instancjami.
Zalety przeniesienia firmy do chmury AWS
Brama NAT
Możesz użyć bramy translacji adresów sieciowych (NAT), aby umożliwić instancjom w prywatnej podsieci łączenie się z Internetem lub innymi usługami AWS, ale uniemożliwić Internetowi inicjowanie połączenia z tymi instancjami. Innymi słowy, sesja utworzona przez hosta w Internecie zostanie odrzucona.
Ta funkcja jest przydatna, jeśli chcesz, aby serwery -> instancje w sieci zabezpieczonej/ograniczonej pobierały aktualizacje zabezpieczeń, poprawki i aktualizacje antywirusowe z Internetu.
Jeśli chcesz dowiedzieć się więcej o NAT, przeczytaj nasz post na ten temat.
Elastyczny adres IP
An Elastyczny adres IP to statyczny adres IPv4 przeznaczony do dynamicznego przetwarzania w chmurze. Korzystając z elastycznego adresu IP, możesz zamaskować awarię instancji lub oprogramowania, szybko zmieniając adres na inną instancję na swoim koncie. Elastyczny adres IP jest przypisany do Twojego konta AWS i należy do Ciebie, dopóki go nie zwolnisz.
Elastyczny adres IP to publiczny adres IPv4, który jest osiągalny z Internetu. Jeśli Twoja instancja nie ma publicznego adresu IPv4, możesz powiązać z nią Elastyczny adres IP, aby umożliwić komunikację z Internetem. Pozwala to na przykład połączyć się z instancją z komputera lokalnego.
AWS obecnie nie obsługuje elastycznych adresów IP dla IPv6.
Połączenia VPN z Twoją chmurą AWS - VPC
VPN typu site-to-site AWS
Możesz utworzyć połączenie IPsec VPN między swoim VPC a siecią zdalną. Wirtualna brama prywatna lub brama tranzytowa zapewnia dwa punkty końcowe VPN (tunele) do automatycznego przełączania awaryjnego po stronie AWS połączenia VPN Site-to-Site. Następnie konfigurujesz swój urządzenie bramy klienta po zdalnej stronie połączenia VPN typu lokacja-lokacja.
Klient AWS VPN
AWS Client VPN to zarządzana usługa VPN oparta na kliencie, umożliwiająca bezpieczny dostęp do zasobów AWS lub sieci lokalnej. Dzięki AWS Client VPN konfigurujesz punkt końcowy, z którym Twoi użytkownicy mogą się łączyć, aby ustanowić bezpieczną sesję TLS VPN. Dzięki temu klienci mogą uzyskiwać dostęp do zasobów w AWS lub lokalnie z dowolnej lokalizacji za pomocą klienta VPN opartego na OpenVPN.
CloudHub AWS VPN
Załóżmy, że masz więcej niż jedną sieć zdalną (na przykład wiele oddziałów). W takim przypadku możesz utworzyć różne połączenia AWS Site-to-Site VPN za pośrednictwem wirtualnej bramy prywatnej, aby umożliwić komunikację między tymi sieciami.
Oprogramowanie VPN innej firmy
Możesz utworzyć połączenie VPN ze swoją siecią zdalną, używając instancji Amazon EC2 w swoim VPC, na którym działa oprogramowanie VPN innej firmy. Niestety, AWS nie dostarcza ani nie obsługuje oprogramowania VPN innych firm; możesz jednak wybierać spośród szeregu produktów oferowanych przez partnerów i społeczności open source.
AWS Cloud: zwiększanie elastyczności i odporności biznesowej
Czy chcesz zacząć?
Chmura | informatyka | Przechowywanie | Usługi | Dostawcy | Bezpieczeństwo | Migracja | Architektura | Infrastruktura | Rozwiązania oparte na | Oszczędności kosztów | Skalowalność | Elastyczność | Aplikacje natywne | Platformy oparte | chmura hybrydowa | Chmura publiczna | prywatna chmura | Oprogramowanie oparte na chmurze | Analiza oparta na chmurze | AI/ML/NLP oparte na chmurze
Działaj teraz, zarejestruj się: wykorzystaj moc sztucznej inteligencji do przetwarzania dokumentów
Odblokuj moc sztucznej inteligencji dzięki naszej nieodpartej ofercie. Zacznij BEZPŁATNIE korzystać z funkcji porównywania wielu dokumentów AI i inteligentnego wyszukiwania poznawczego już dziś. Doświadcz niezrównanej wydajności, dokładności i oszczędności czasu. Po bezpłatnym okresie próbnym kontynuuj transformację tylko przez chwilę $ 20 / miesiąc. Nie przegap tej zmieniającej grę okazji. Zwiększ możliwości swojej podróży związanej z przetwarzaniem dokumentów już teraz.
Zapoznaj się z naszymi studiami przypadków i innymi postami, aby dowiedzieć się więcej:
Data Network Automation, w jaki sposób Cisco ACI dostarcza zwinną platformę sieciową?
W jaki sposób inteligentne wyszukiwanie może zapewnić spójność w pracy przy mniejszym wysiłku?
Dlaczego NAT, skoro w lutym 4 na świecie skończyły się adresy IPv2010?
Jakie są sposoby podłączenia lokalnej sieci do AWS Cloud?
#chmura #oszczędność kosztów #skalowalność #sztuczna inteligencja #uczenie maszynowe #wzrost
MC