Quali elementi di rete entrano in AWS VPC?
Scopri la rete dietro AWS VPC: scopri gli elementi! | Articolo
Amazon Web Services Virtual Private Cloud (AWS VPC) è una rete virtuale dedicata all'account AWS dell'utente. Consente all'utente di avviare risorse AWS in una rete virtuale definita dall'utente. Un VPC comprende diversi componenti, tra cui sottoreti, tabelle di routing, gateway di rete, gruppi di sicurezza ed elenchi di controllo dell'accesso alla rete. Questi componenti lavorano insieme per fornire agli utenti un ambiente sicuro e isolato in cui eseguire le proprie applicazioni e archiviare i propri dati. Inoltre, VPC consente agli utenti di controllare l'accesso alle proprie risorse e di connettersi a VPC locali o ad altri VPC.
AWS e la magia del VPC (Virtual Private Cloud)
I componenti di AWS VPC sono essenziali perché forniscono all'utente gli strumenti necessari per costruire e gestire la propria infrastruttura di rete virtuale. Inoltre, questi componenti aiutano l'utente a proteggere, isolare e controllare l'accesso alle proprie risorse AWS.
Le sottoreti sono un componente essenziale di un VPC. Consentono agli utenti di suddividere il proprio VPC in segmenti di rete più piccoli e di controllare il flusso del traffico tra di essi. Gli utenti possono isolare le proprie risorse creando più sottoreti, applicando policy di sicurezza di rete e implementando gruppi di sicurezza di rete per controllare il traffico in entrata e in uscita.
Anche le tabelle di instradamento sono un componente essenziale di un VPC. Determinano il flusso del traffico di rete all'interno di un VPC e tra diverse sottoreti. L'utente può utilizzare le tabelle di instradamento per specificare la destinazione del traffico di rete, ad esempio una subnet specifica o un gateway virtuale privato. Ciò consente all'utente di controllare e gestire il traffico di rete all'interno del proprio VPC, garantendo che le proprie risorse siano sicure e accessibili.
Anche i gateway di rete, come i gateway Internet, i gateway VPN e i gateway Direct Connect, sono componenti essenziali di un VPC. Forniscono all'utente un modo per connettere il proprio VPC a Internet o ad altri VPC, consentendo loro di accedere alle proprie risorse e controllare il flusso del traffico di rete. I gateway di rete sono integrati con le tabelle di instradamento del VPC per controllare il flusso del traffico di rete tra il VPC e Internet o altri VPC.
Anche i gruppi di sicurezza e gli elenchi di controllo di accesso alla rete (ACL) sono componenti critici di un VPC. Controllano il flusso del traffico di rete in entrata e in uscita e assicurano che solo il traffico autorizzato possa entrare o uscire dal VPC. Inoltre, i gruppi di sicurezza e gli ACL possono essere utilizzati per limitare l'accesso a porte, indirizzi IP o sottoreti specifici. Lavorano insieme per fornire sicurezza alle risorse dell'utente.
In conclusione, AWS VPC collabora per fornire agli utenti un'infrastruttura di rete virtuale sicura, isolata e flessibile. Utilizzando questi componenti, l'utente può controllare e gestire il proprio traffico di rete, proteggere le proprie risorse e connettersi ad altre reti.
Alcuni fatti e statistiche interessanti su AWS VPC:
- Amazon VPC è uno dei servizi di cloud computing più utilizzati, con milioni di utenti attivi.
- AWS VPC fornisce una rete virtuale sicura e scalabile per le risorse di Amazon Web Services (AWS).
- AWS VPC consente ai clienti di avviare le risorse di Amazon Web Services (AWS) in una rete virtuale definita dal cliente.
- Il traffico AWS VPC può essere isolato dall'Internet pubblica, garantendo una maggiore sicurezza.
- AWS VPC supporta gli intervalli di indirizzi IPv4 e IPv6.
- AWS VPC può essere esteso a reti remote tramite VPN o AWS Direct Connect.
- AWS VPC offre diverse opzioni di controllo dell'accesso alla rete definite dal cliente, inclusi gruppi di sicurezza e ACL di rete.
- AWS VPC supporta molte topologie di rete, incluse sottoreti pubbliche, sottoreti private e connessioni VPN hardware.
- AWS VPC offre ai clienti un elevato grado di personalizzazione della rete, incluso il supporto per più intervalli di indirizzi IP, segmentazione della rete e controlli di accesso granulari.
- AWS VPC è disponibile in più regioni e zone di disponibilità, fornendo ai clienti disponibilità elevata e tolleranza ai guasti per la loro infrastruttura di rete.
Massimizzazione dell'efficienza aziendale con le soluzioni AWS Cloud
Libera tutto il potenziale della tua azienda con la tecnologia AWS Cloud
In questo post vogliamo offrirti tutti i componenti di rete di Amazon Web Services (AWS). Daremo un'occhiata più da vicino a ciascun elemento, cosa fa e come si adatta all'infrastruttura complessiva. Si spera che risponda ad alcune delle tue domande e, con una migliore comprensione, sarai tentato di utilizzare tali servizi.
Prima di entrare nei dettagli, sottolineiamo che una buona progettazione della rete è la base per l'infrastruttura del data center on-premise. Lo stesso vale per l’ambiente Cloud (post Best practice per la progettazione di reti 10 per la tua infrastruttura). Ci teniamo inoltre a sottolineare che ci concentriamo esclusivamente sull'aspetto networking e sicurezza di AWS; qualsiasi altro servizio non rientra nell'ambito di questo blog.
Cos'è Amazon VPC?
Amazon Virtual Private Cloud (Amazon VPC) ti consente di lanciare risorse AWS in una rete virtuale da te definita. Questa rete virtuale assomiglia a una rete tradizionale che utilizzeresti nel tuo data center e trae vantaggio dall'utilizzo dell'infrastruttura scalabile di AWS.
VPC: una rete virtuale dedicata al tuo account AWS, in cui puoi eseguire più reti e isolarle l'una dall'altra per una migliore sicurezza e conformità. Connetti il tuo data center on-premise ed esegui una soluzione di rete ibrida. La soluzione scalabile e agile per migliorare le operazioni aziendali.
Cos'è la regione AWS?
AWS ha un concetto di regione, una posizione fisica in tutto il mondo in cui raggruppiamo i data center. Chiamiamo ciascun gruppo di data center logici una zona di disponibilità. La regione EacAZsS è costituita da più zone di zona isolate e fisicamente separate all'interno di un'area geografica. A differenza di altri utenti cloud, che spesso definiscono una regione come un singolo data center, la progettazione con più zone di disponibilità di ogni regione AWS offre vantaggi ai clienti. Ciascuna zona di disponibilità dispone di alimentazione, raffreddamento e sicurezza fisica indipendenti, connessi tramite reti ridondanti a latenza ultra-bassa. I clienti AWS focalizzati sull'elevata disponibilità possono progettare le proprie applicazioni per eseguire più zone di disponibilità e ottenere la massima tolleranza agli errori. Di conseguenza, le regioni dell'infrastruttura AWS soddisfano i più elevati livelli di sicurezza, conformità e protezione dei dati.
AWS offre una presenza globale più estesa rispetto a qualsiasi altro fornitore di servizi cloud. Per supportare la propria presenza mondiale e garantire che i clienti siano serviti in tutto il mondo, AWS sta aprendo rapidamente nuove regioni. Di conseguenza, AWS mantiene più regioni geografiche, tra cui Nord America, Sud America, Europa, Cina, Asia Pacifico, Sud Africa e Medio Oriente.
AWS Cloud: la chiave per semplificare le operazioni e risparmiare sui costi
Zone di disponibilità
Una zona di disponibilità (AZ) è un data center discreto con alimentazione, rete e connettività wiAZsedondanti in una regione AWS. Le zone di disponibilità consentono ai clienti di gestire applicazioni di produzione e database che sono più altamente disponibili, tolleranti ai guasti e scalabili rispetto a quanto sarebbe possibile da un singolo data center. Tutte le zone di disponibilità in una regione AWS sono interconnesse con reti a larghezza di banda elevata e bassa latenza, tramite metaAZsibre dedicata completamente ridondante che fornisce reti ad alto rendimento e bassa latenza tra le zone di disponibilità. Tutto il traffico tra le zone di disponibilità è crittografato: le prestazioni di rete delle zone di disponibilità sono sufficienti per realizzare la replica sincrona tra le zone di disponibilità. Le zone di disponibilità semplificano la disponibilità delle applicazioni di partizionamento. Le aziende sono meglio isolate e protette da problemi quali interruzioni di pAZ, fulmini, terremoti significativi e altro ancora se un'applicazione è parte interessata. Le zone AZ sono fisicamente separate da una distanza considerevole, molti chilometri, da qualsiasi altra AZ, sebbene tutte si trovino entro un raggio di 100 km (60 miglia) l'una dall'altra.
'Alta disponibilità'
A differenza di altri fornitori di infrastrutture AZshnology, ciascuna regione AWS ha più zone di disponibilità. Come abbiamo imparato gestendo la piattaforma tecnologica leader dell'infrastruttura cloud dal 2006, i clienti che hanno a cuore le prestazioni di disponibilità delle loro applicazioni desiderano distribuirle su più zone di disponibilità nella stessa regione per tolleranza ai guasti e bassa latenza. Le zone di disponibilità sono connesse tramite una rete in fibra ottica veloce e privata, che implica un'architettura efficiente delle applicazioni che eseguono automaticamente il failover tra le zone di disponibilità senza interruzioni.
Il piano di controllo AWS (incluse le API) e la Console di gestione AWS sono distribuiti tra le regioni AWS e utilizzano un'architettura multi-AZ all'interno di ciascuna regione per offrire resilienza e disponibilità continua. Ciò garantisce che i clienti evitino la dipendenza dei servizi critici da un singolo data center. AWS può condurre attività di manutenzione senza rendere temporaneamente non disponibile alcun servizio vitale per nessun cliente.
In che modo AWS Cloud può rivoluzionare i tuoi processi aziendali
Rete / sottoreti
Nozioni di base su VPC e sottorete
Un cloud privato virtuale (VPC) è una rete virtuale dedicata al tuo account AWS. È logicamente isolato da altre reti virtuali nel cloud AWS. Puoi avviare le tue risorse AWS, come le istanze di Amazon EC2, nel tuo VPC.
Quando crei un VPC, devi specificare un intervallo di indirizzi IPv4 per il VPC sotto forma di un blocco CIDR (Classless Inter-Domain Routing); per esempio, 10.0.0.0/16.
Segmentazione della rete
Sebbene ti venga assegnata una rete ./16 all'interno del tuo VPC, nessuna necessita di un indirizzo IP superiore a 65k, nemmeno FTSE 100 GIPsl Enterprise business. Detto questo, è bene avere più IP in quanto puoi segmentarli in sottoreti molto più piccole – ./24, ad esempio, dandoti più di 250 IP. Questo è significativo e deve essere definito chiaramente fin dall’inizio. Una buona progettazione ti aiuterà a distribuire i servizi di cui hai bisogno e a isolarli: server web, applicazioni, database e altro. Un altro elemento essenziale è non avere gli stessi intervalli di rete nel cloud e nelle reti locali, il che può causare conflitti futuri.
Sottoreti private
Onestamente, non ci sono sottoreti private o pubbliche. Il termine è usato per descrivere: sottoreti private; questi permessi che sono isolati e non hanno accesso a Internet o l'accesso da Internet non è consentito a queste sottoreti/reti. Molto probabilmente, il tuo database sarà su quelle reti e altri servizi sicuri.
Sottoreti pubbliche
Il traffico è consentito e filtrato da Internet verso sottoreti/reti pubbliche. Gli host all'interno di tali reti hanno indirizzi IP privati, un accesso IP può essere instradato tramite gateway Internet e IP pubblici associati (allocazione IP elastica)
AWS Cloud: il futuro della crescita aziendale e dell'innovazione
Reti isolanti
Puoi eseguire le tue istanze database in un Amazon VPC per un ulteriore controllo dell'accesso alla rete. Amazon VPC ti consente di isolare le tue istanze database specificando l'intervallo IP che desideri utilizzare e connettendoti alla tua infrastruttura esistente. Inoltre, gestisci l'infrastruttura tramite una VPN IPsec crittografata standard del settore. L'esecuzione di Amazon RDS in un VPC ti consente di avere un'istanza database all'interno di una sottorete privata. Puoi anche configurare un gateway virtuale privato che estende la tua rete aziendale nel tuo VPC e consente l'accesso all'istanza database RDS in quel VPC.
Per le distribuzioni Multi-AZ, la definizione di una sottorete per tutte le zone di disponibilità in una regione consentirà ad Amazon RDS di creare un nuovo standby in un'altra zona di disponibilità in caso di necessità. Puoi creare gruppi di sottoreti database raccolte di sottoreti che potresti voler designare per le tue istanze database RDS in un VPC. Ogni gruppo di sottoreti database deve avere almeno una sottorete per ogni zona di disponibilità in una determinata regione. In questo caso, quando crei un'istanza database in un VPC, selezioni un gruppo di sottoreti database; Amazon RDS utilizza quindi quel gruppo di sottoreti DB e la tua disponibilità preferita. Infine, la zona della città per selezionare una sottorete e un indirizzo IP all'interno di tale sottorete. Amazon RDS crea e associa un'interfaccia di rete elastica all'istanza database con quell'indirizzo IP.
È possibile accedere alle istanze database distribuite all'interno di un Amazon VPC da Internet o alle istanze Amazon EC2 all'esterno del VPC tramite VPN o host bastion che devono essere collegati alla sottorete pubblica. Per utilizzare un host bastion, è necessario configurare una sottorete pubblica con un'istanza EC2 che funge da Bastion SSH. Questa sottorete pubblica deve disporre di un gateway Internet e di regole di instradamento che consentano di indirizzare il traffico tramite l'host SSH, che deve quindi inoltrare le richieste alla privacy della tua istanza database Amazon RDS.
I gruppi di sicurezza DB possono contribuire a proteggere le istanze database all'interno di un Amazon VPC. Il traffico di rete in entrata e in uscita da ciascuna sottorete può essere consentito o negato tramite le ACL di rete. Infine, la tua infrastruttura di sicurezza locale, inclusi firewall di rete e sistemi di rilevamento delle intrusioni, può ispezionare tutto il traffico di rete in entrata o in uscita dal tuo Amazon VPC tramite la connessione VPN IPsec.
Gruppi di sicurezza per il tuo VPC
A gruppo di sicurezza funge da firewall virtuale, controllando il traffico in entrata e in uscita. Quando avvii un VPC, puoi assegnare cinque gruppi di sicurezza all'istanza. I gruppi di sicurezza agiscono a livello di istanza, non a livello di sottorete. Pertanto, ciascuna istanza in una sottorete nel tuo VPC può essere assegnata a un diverso set di gruppi di sicurezza.
Supponiamo che tu avvii un'istanza utilizzando l'API Amazon EC2 o uno strumento da riga di comando e non specifichi un gruppo di sicurezza. In tal caso, l'istanza viene assegnata automaticamente al gruppo di sicurezza predefinito per il VPCtheSe avvii un'istanza utilizzando la console Amazon EC2; puoi creare un nuovo gruppo di sicurezza, ad esempio.
Per ciascun gruppo di sicurezza, aggiungi regole che controllano il traffico in entrata verso le istanze e un set separato di regole che controllano il traffico in uscita. Questa sezione descrive le pratiche di base che devi conoscere sui gruppi di sicurezza per il tuo VPC e le relative pratiche.
Elenco di controllo dell'accesso alla rete (NACL)
Un elenco di controllo degli accessi alla rete (NACL) è un livello di sicurezza opzionale per il tuo VPC che funge da firewall per controllare il traffico in entrata e in uscita da una o più sottoreti. Per aggiungere questo livello, potresti impostare ACL di rete con regole simili a quelle dei tuoi gruppi di sicurezza.
NACL esegue alcuni filtri tra le reti. Tuttavia, consigliamo vivamente di implementare un firewall di nuova generazione, come Palo Alto, per ottenere un'ispezione granulare su tutti i livelli 7x all'interno della tua infrastruttura VPC, per non parlare del traffico proveniente da Internet.
Ulteriori informazioni sui firewall di nuova generazione, post dedicato su questo argomento
Controllo del percorso
Tabella del percorso — Un insieme di regole, chiamate rotte, determina dove è diretto il traffico di rete.
Fornisce un modo granulare in cui il traffico può dirigersi o influenzare il traffico, il che è molto utile per separare le reti private.
Gateway Internet
Un gateway Internet è un componente VPC a scalabilità orizzontale, ridondante e altamente disponibile che consente la comunicazione tra il tuo VPC e Internet.
Un gateway Internet ha due scopi: fornire una destinazione nelle tabelle di instradamento VPC per il traffico instradabile su Internet ed eseguire la traduzione degli indirizzi di rete (NAT) per le istanze a cui sono stati assegnati indirizzi IPv4 pubblici.
A differenza di NAT Gateway, Internet Gateway consentirà il traffico alle tue istanze in VPC da Internet.
Gateway Internet solo in uscita
Un gateway Internet solo in uscita è un componente VPC a scalabilità orizzontale, ridondante e altamente disponibile che consente la comunicazione in uscita su IPv6 dalle istanze nel tuo VPC a Internet. Impedisce a Internet di avviare una connessione IPv6 con le tue istanze.
I vantaggi di trasferire la tua attività nel cloud AWS
Gateway NAT
Puoi utilizzare un gateway NAT (Network Address Translation) per consentire alle istanze in una sottorete privata di connettersi a Internet o ad altri servizi AWS ma impedire a Internet di avviare una connessione con tali istanze. In altre parole, una sessione creata da un host web verrà negata.
Questa funzione è utile se si desidera che server -> istanze in una rete sicura/ristretta ottengano aggiornamenti di sicurezza, patch e aggiornamenti antivirus da recuperare da Internet.
Se vuoi capire il NAT, leggi il nostro post.
Indirizzo IP elastico
An Indirizzo IP elastico è un indirizzo IPv4 statico progettato per il cloud computing dinamico. Utilizzando un indirizzo IP elastico, puoi mascherare un'istanza o un errore del software rimappando rapidamente l'indirizzo a un'altra istanza nel tuo account. Un indirizzo IP elastico viene assegnato al tuo account AWS ed è tuo finché non lo rilasci.
Un indirizzo IP elastico è un indirizzo IPv4 pubblico accessibile da Internet. Se la tua istanza non dispone di un indirizzo IPv4 pubblico, puoi associare un indirizzo IP elastico alla tua istanza per consentire la comunicazione con Internet. Ad esempio, ciò ti consente di connetterti alla tua istanza dal tuo computer locale.
AWS attualmente non supporta gli indirizzi IP elastici per IPv6.
Connessioni VPN al tuo cloud AWS - VPC
VPN da sito a sito AWS
Puoi creare una connessione VPN IPsec tra il tuo VPC e la rete remota. Un gateway virtuale privato o gateway di transito fornisce due endpoint VPN (tunnel) per il failover automatico sul lato AWS della connessione Site-to-Site VPN. Quindi, configuri il tuo dispositivo gateway del cliente sul lato remoto della connessione VPN da sito a sito.
VPN client AWS
AWS Client VPN è un servizio VPN gestito basato su client che ti consente di accedere in modo sicuro alle tue risorse AWS o alla tua rete locale. Con AWS Client VPN, configuri un endpoint a cui gli utenti possono connettersi per stabilire una sessione VPN TLS sicura. Ciò consente ai clienti di accedere alle risorse in AWS o in locale da qualsiasi luogo utilizzando un client VPN basato su OpenVPN.
AWS VPN CloudHub
Si supponga di disporre di più di una rete remota (ad esempio, più filiali). In tal caso, puoi creare varie connessioni AWS Site-to-Site VPN tramite il tuo gateway virtuale privato per consentire la comunicazione tra queste reti.
Applicazione VPN software di terze parti
Puoi creare una connessione VPN alla tua rete remota utilizzando un'istanza Amazon EC2 nel tuo VPC che esegue un'appliance VPN software di terze parti. Sfortunatamente, AWS non fornisce né mantiene appliance VPN software di terze parti; tuttavia, puoi scegliere tra una gamma di prodotti offerti da partner e comunità open source.
AWS Cloud: favorire l'agilità e la resilienza aziendale
Nuvola | Informatica | Stoccaggio | Servizi | Fornitori | Sicurezza | Migrazione | Architettura | Infrastrutture | Soluzioni basate | Risparmio sui costi | Scalabilità | Flessibilità | Applicazioni native | Piattaforme basate | Cloud ibrido | Cloud pubblico | Cloud privato | Software basato su cloud | Analisi basata su cloud | AI/ML/PNL basati su cloud
Come iniziare a sfruttare l'intelligenza artificiale?
La nuova tecnologia IA innovativa può essere travolgente: possiamo aiutarti qui! Utilizzando le nostre soluzioni di intelligenza artificiale per estrarre, comprendere, analizzare, rivedere, confrontare, spiegare e interpretare le informazioni dai documenti più complessi e lunghi, possiamo accompagnarti in un nuovo percorso, guidarti, mostrarti come farlo e supportarti fino in fondo.
Inizia la tua prova gratuita! Nessuna carta di credito richiesta, accesso completo al nostro software cloud, annulla in qualsiasi momento.
Offriamo soluzioni di intelligenza artificiale su misura 'Confronto di più documenti' e 'Mostra i punti salienti'
Pianifica una demo GRATUITA!
Ora sai come si fa, inizia!
Sistemi v500 | AI per le menti | Canale Youtube
Prezzi e valore dell'intelligenza artificiale
"Mostra i punti salienti dell'AI" | "Confronto documenti AI"
Lasciaci gestire le revisioni dei tuoi documenti complessi
Esplora i nostri casi di studio e altri interessanti post sul blog:
Automazione della rete dati: in che modo Cisco ACI offre una piattaforma di rete agile?
In che modo la ricerca intelligente può renderti coerente sul lavoro con meno sforzo?
Perché NAT perché il mondo ha esaurito gli indirizzi IPv4 nel febbraio 2010?
Quali sono i modi per connettere una rete locale a AWS Cloud?
#cloud #risparmio sui costi #scalabilità #intelligenzaartificiale #machinelearning #crescita
Lucia Czarnecka
Il post del blog, originariamente scritto in inglese, ha subito una magica metamorfosi in arabo, cinese, danese, olandese, finlandese, francese, tedesco, hindi, ungherese, italiano, giapponese, polacco, portoghese, spagnolo, svedese e turco. Se qualche contenuto sottile ha perso la sua brillantezza, richiamiamo indietro la scintilla originale inglese.
