Amazon VPC Esencial2009年〜
Red virtual aislada lógicamente en la nube de AWS donde puede lanzar recursos
Qué hace
Amazon VPC (Virtual Private Cloud) permite construir una red virtual lógicamente aislada dentro de la nube de AWS. Puede configurar libremente rangos de direcciones IP, subredes, tablas de rutas y gateways de red, con el mismo nivel de control que una red on-premises. Muchos servicios de AWS incluyendo EC2, RDS y Lambda se ejecutan dentro de una VPC.
Casos de uso
Se utiliza para arquitectura de red de aplicaciones web (servidores web en subredes públicas, bases de datos en subredes privadas), conexiones VPN a on-premises, aislamiento de red entre microservicios y controles de red para requisitos de cumplimiento.
Analogía cotidiana
Se puede comparar con diseñar pisos en un edificio de oficinas. Dentro del edificio (VPC), se particionan pisos (subredes), se instala una recepción (internet gateway) y se controla el acceso a cada piso con puertas de seguridad (grupos de seguridad).
¿Qué es VPC?
Amazon VPC permite construir su propia red virtual dedicada en AWS. Al crear una cuenta de AWS, se crea automáticamente una VPC predeterminada en cada región, pero para entornos de producción, diseñar una VPC personalizada adaptada a sus requisitos es la práctica estándar. Su VPC está completamente aislada de las VPCs de otras cuentas.
Subredes y enrutamiento
Dentro de una VPC, se crean subredes públicas y privadas. Las subredes públicas tienen una ruta al internet gateway y son accesibles desde el exterior. Las subredes privadas no tienen acceso directo a internet y es donde se colocan bases de datos y servicios internos. Para acceder a internet desde subredes privadas, se usa un NAT Gateway.
Seguridad
La seguridad de VPC se controla en dos capas: grupos de seguridad y ACLs de red. Los grupos de seguridad son firewalls con estado a nivel de instancia que definen solo reglas de permiso. Las ACLs de red son firewalls sin estado a nivel de subred que pueden definir reglas de permiso y denegación. VPC Flow Logs registra el tráfico de red para auditoría y resolución de problemas. Para conocimientos prácticos de seguridad, los libros técnicos (Amazon) son útiles.
Cómo empezar
En la consola de VPC, seleccione "Crear VPC" y especifique un bloque CIDR (ej: 10.0.0.0/16). Elegir "VPC y más" crea subredes, tablas de rutas, internet gateway y NAT Gateway de una vez. La mejor práctica es colocar subredes en 2+ Zonas de Disponibilidad para una configuración Multi-AZ.
Aspectos a tener en cuenta
- Los bloques CIDR de VPC se pueden expandir después de la creación pero no reducir. Asigne un rango generoso pensando en el crecimiento futuro
- NAT Gateway genera cargos por hora y por procesamiento de datos. Considere instancias NAT o VPC endpoints para reducir costos
- Las VPC predeterminadas son convenientes pero use VPCs personalizadas para entornos de producción para mejor seguridad y diseño de red
