Amazon Virtual Private Cloud

Amazon Virtual Private Cloud (Amazon VPC) — это коммерческий сервис облачной платформы Amazon Web Services (AWS), позволяющий создавать изолированную логическую сеть в облачной инфраструктуре AWS. Пользователь получает полный контроль над виртуальной сетевой средой, включая выбор диапазона IP-адресов, создание подсетей, настройку маршрутизации и таблиц маршрутизации, а также управление шлюзами безопасности. VPC является фундаментальным строительным блоком для развёртывания ресурсов AWS, таких как виртуальные машины (Amazon EC2), базы данных (Amazon RDS) и бессерверные функции (AWS Lambda), обеспечивая их сетевую изоляцию и безопасность.

История

Сервис Amazon VPC был запущен 26 августа 2009 года. До его появления все ресурсы в AWS размещались в единой плоской сети, что ограничивало возможности изоляции и контроля. Введение VPC позволило клиентам создавать виртуальные дата-центры в облаке, повторяя архитектуру традиционных локальных сетей. Первоначально VPC поддерживал только базовые функции, такие как создание подсетей и настройка правил брандмауэра. Со временем функциональность расширялась: в 2011 году появилась поддержка подключения к локальной сети через VPN, в 2013 году — поддержка IPv6, а в 2014 году — возможность создания VPC с помощью AWS CloudFormation. В 2018 году была добавлена поддержка VPC Endpoints для сервисов AWS, что позволило безопасно подключаться к ним без использования интернет-шлюза. По состоянию на 2024 год VPC является одним из наиболее зрелых и широко используемых сервисов AWS.

Основные компоненты

Виртуальная сеть и подсети

VPC создаётся в пределах региона AWS и имеет заданный диапазон IP-адресов (CIDR-блок). Внутри VPC можно создавать подсети, которые привязываются к конкретной зоне доступности (availability zone). Подсети бывают двух типов:

• Публичные подсети — имеют доступ к интернету через интернет-шлюз.
• Приватные подсети — не имеют прямого доступа к интернету, но могут взаимодействовать с ним через NAT-шлюз или VPN-подключение.

Маршрутизация

Каждая подсеть связана с таблицей маршрутизации, которая определяет, куда направлять трафик. Таблицы маршрутизации поддерживают статические маршруты. По умолчанию для каждой VPC создаётся главная таблица маршрутизации, но пользователь может создавать дополнительные таблицы для разных подсетей.

Шлюзы

• Интернет-шлюз — обеспечивает доступ ресурсов в публичных подсетях к интернету и обратно.
• NAT-шлюз — позволяет ресурсам в приватных подсетях инициировать исходящие соединения в интернет, но не принимает входящие соединения из интернета.
• VPN-шлюз — устанавливает зашифрованное соединение между VPC и локальной сетью через интернет.
• Direct Connect — выделенное частное сетевое соединение между локальным дата-центром и VPC, минуя интернет.

Группы безопасности и сетевые ACL

Для контроля доступа к ресурсам используются два уровня защиты:

• Группы безопасности — работают на уровне экземпляров (виртуальных машин) и поддерживают только разрешающие правила. Они являются stateful, то есть автоматически разрешают ответный трафик.
• Сетевые ACL — работают на уровне подсети, поддерживают разрешающие и запрещающие правила, являются stateless, то есть требуют явного разрешения для входящего и исходящего трафика.

VPC Endpoints

VPC Endpoints позволяют подключаться к сервисам AWS (например, S3, DynamoDB) без использования интернет-шлюза или NAT-устройства. Существует два типа:

• Gateway Endpoints — используются для S3 и DynamoDB.
• Interface Endpoints — используют AWS PrivateLink и поддерживают множество сервисов AWS.

Примеры использования

Развёртывание веб-приложения

Типичная архитектура включает:

• Публичную подсеть с балансировщиком нагрузки (ALB) и веб-серверами.
• Приватную подсеть с серверами приложений и базами данных.
• Интернет-шлюз для публичной подсети и NAT-шлюз для приватной подсети.
• Группы безопасности, разрешающие только необходимый трафик (например, HTTP/HTTPS на ALB, трафик от ALB к веб-серверам, трафик от веб-серверов к базе данных).

Гибридное облако

Компании, имеющие локальную инфраструктуру, могут расширить её в облако с помощью VPC. Для этого используется VPN-подключение или AWS Direct Connect. Локальная сеть и VPC объединяются в единую сеть, что позволяет переносить рабочие нагрузки между средами.

Многоуровневая изоляция

Для критически важных приложений можно создать несколько VPC, соединённых через VPC Peering (пиринг) или Transit Gateway. Это обеспечивает дополнительный уровень изоляции между средами разработки, тестирования и производства.

Ограничения и квоты

Amazon VPC имеет ряд ограничений по умолчанию, которые могут быть увеличены по запросу:

• Максимальное количество VPC на регион — 5.
• Максимальное количество подсетей на VPC — 200.
• Максимальное количество групп безопасности на VPC — 500.
• Максимальное количество правил в группе безопасности — 60 (входящих и исходящих).
• Максимальное количество IP-адресов в VPC — 65 536 (CIDR /16).

Безопасность

Amazon VPC предоставляет несколько механизмов для обеспечения безопасности:

• Изоляция — каждая VPC полностью изолирована от других VPC и от интернета по умолчанию.
• Шифрование — трафик между VPC и локальной сетью может быть зашифрован с помощью VPN или Direct Connect.
• Мониторинг — VPC Flow Logs позволяют записывать информацию о сетевом трафике для анализа и аудита.
• Контроль доступа — AWS Identity and Access Management (IAM) позволяет управлять доступом к API VPC.

Критика

Основные претензии к Amazon VPC связаны с его сложностью для новичков. Настройка правильной сетевой архитектуры требует понимания основ TCP/IP, маршрутизации и безопасности. Кроме того, стоимость некоторых компонентов, таких как NAT-шлюзы и Direct Connect, может быть высокой при больших объёмах трафика. Также отмечается, что VPC не поддерживает многоадресную рассылку (multicast) и некоторые другие сетевые протоколы, что ограничивает его использование в определённых сценариях.

Интересные факты

• VPC является основой для многих других сервисов AWS, включая Amazon EKS (Kubernetes), Amazon ECS (контейнеры) и AWS Lambda.
• В 2020 году AWS представила функцию Reachability Analyzer, которая позволяет диагностировать проблемы с сетевой связностью в VPC.
• VPC поддерживает до 200 подсетей, что позволяет создавать сложные многоуровневые архитектуры.
• Сервис VPC Peering позволяет соединять VPC в разных регионах, создавая глобальную сеть.

Источники

• Документация Amazon VPC (AWS Documentation)
• AWS Whitepaper: «Amazon VPC: Best Practices and Reference Architectures»
• Официальный блог AWS (AWS News Blog)
• Книга «AWS: The Complete Guide for Beginners» (2023)