Una virtual private cloud (VPC) es una red privada con aislamiento lógico en la nube. Las VPC utilizan tecnología de redes definidas por software (SDN) y túneles VXLAN para separar el plano de datos del plano de control. Cada VPC recibe un identificador de red VXLAN (VNI) único que aísla su red virtual.
Arquitectura del servicio
El diagrama a continuación muestra cómo colaboran el plano de datos y el plano de control para reenviar y gestionar el tráfico de red dentro de una VPC.
Plano de datos: reenvío de paquetes
El plano de datos procesa y reenvía el tráfico de red. Está compuesto por vSwitches distribuidos y clústeres de puertas de enlace.
Aislamiento de red
La tecnología de túneles VXLAN proporciona aislamiento de red en toda la VPC. Las VLAN tradicionales admiten como máximo 4,096 redes virtuales, una cantidad insuficiente para despliegues en la nube a hiperescala. VXLAN supera esta limitación al encapsular mensajes Ethernet de capa 2 en paquetes UDP de capa 3, lo que permite crear millones de redes virtuales aisladas.
Flujo de comunicación
Comunicación intra-VPC: Cuando las instancias de Elastic Compute Service (ECS) dentro de la misma VPC se comunican entre sí, sus paquetes salientes se encapsulan y se etiquetan con el VNI único de la VPC. Posteriormente, los paquetes se transmiten por la red física, pero solo las instancias de la misma VPC los desencapsulan y aceptan.
Aislamiento inter-VPC: Las instancias ubicadas en distintas VPC tienen VNI diferentes y pertenecen a planos de enrutamiento lógico separados. Los paquetes no se reenvían entre VPC, lo que garantiza el aislamiento de la red.
Plano de control: gestión centralizada de la red
El plano de control es el componente principal de una VPC y consta de un clúster de controladores SDN. Se encarga de la gestión centralizada de la red y de la distribución de directivas.
Desacoplamiento: SDN separa la configuración de red del hardware físico. El controlador SDN gestiona las rutas y las reglas de seguridad definidas mediante la consola o la API; así, los administradores ajustan dinámicamente el comportamiento de la red sin intervenir en el hardware físico.
Entrega de configuración: El controlador calcula las configuraciones, como las tablas de reenvío, y las entrega a los vSwitches y a las puertas de enlace del plano de datos mediante un protocolo propietario. Esta separación le permite modificar el comportamiento de la red sin operar hardware físico, lo que mejora la flexibilidad y la automatización.
Alta disponibilidad
La arquitectura de VPC incorpora redundancia en cada capa para garantizar la estabilidad del servicio.
Nodos distribuidos: Los vSwitches se distribuyen en varios nodos para eliminar puntos únicos de falla (SPOF).
Despliegue en clúster: Las puertas de enlace y los controladores se ejecutan en clústeres y admiten failover entre varios centros de datos (zonas).
Redundancia de enlaces: Todos los enlaces físicos cuentan con configuración de redundancia y recuperación ante desastres.
Arquitectura
El diagrama a continuación ilustra los componentes de VPC disponibles para construir arquitecturas de red, desde el control de tráfico y la gestión de IP hasta la conectividad entre VPC y el monitoreo de red.
|
Componente |
Descripción |
|
Recurso de zona que segmenta su VPC en subredes para facilitar el despliegue de recursos. |
|
|
Dirige el tráfico dentro de su VPC. Cada vSwitch se vincula a una tabla de rutas cuyas entradas especifican el siguiente salto para los paquetes salientes. |
|
|
Automatiza la asignación y gestión de direcciones IP para evitar conflictos y simplificar las operaciones de red. |
|
|
Colabora con las tablas de rutas para controlar centralmente el tráfico hacia internet, lo que reduce los riesgos de seguridad asociados al acceso descentralizado. |
|
|
Conecta VPC en la misma cuenta o en cuentas distintas, ya sea en la misma región o en regiones diferentes, para habilitar la comunicación privada entre VPC. |
|
|
Se asocia a un vSwitch para controlar el tráfico entrante y saliente mediante reglas configurables. |
|
|
Captura el tráfico entrante y saliente de las interfaces de red elásticas (ENI) para ayudarle a monitorear el rendimiento de la red, solucionar problemas y reducir costos de tráfico. |
|
|
Copia el tráfico que coincide con sus filtros y lo reenvía a dispositivos de análisis de seguridad para su inspección en tiempo real, sin afectar el tráfico de producción. |