Un Virtual Private Cloud (VPC) est un réseau privé logiquement isolé dans le cloud. Les VPC utilisent les technologies de réseau défini par logiciel (SDN) et de tunneling VXLAN pour séparer le plan de données du plan de contrôle. Chaque VPC reçoit un identifiant de réseau VXLAN (VNI) unique afin d'isoler son réseau virtuel.
Architecture du service
Le schéma suivant illustre la collaboration entre le plan de données et le plan de contrôle pour acheminer et gérer le trafic réseau au sein d'un VPC.
Plan de données : acheminement des paquets
Le plan de données traite et achemine le trafic réseau. Il se compose de vSwitch distribués et de clusters de passerelles.
Isolation réseau
La technologie de tunneling VXLAN assure l'isolation réseau au niveau du VPC. Les VLAN traditionnels prennent en charge au maximum 4 096 réseaux virtuels, ce qui s'avère insuffisant pour les déploiements cloud à très grande échelle. Le VXLAN surmonte cette limitation en encapsulant les trames Ethernet de couche 2 dans des paquets UDP de couche 3, permettant ainsi la création de millions de réseaux virtuels isolés.
Flux de communication
Au sein d'un VPC : lorsque des instances Elastic Compute Service (ECS) appartenant au même VPC communiquent entre elles, leurs paquets sortants sont encapsulés et étiquetés avec le VNI unique du VPC. Ces paquets transitent ensuite sur le réseau physique, mais seules les instances du même VPC peuvent les décapsuler et les accepter.
Isolation entre VPC : les instances situées dans différents VPC possèdent des VNI distincts et appartiennent à des plans de routage logiques séparés. Les paquets ne sont pas transférés d'un VPC à un autre, garantissant ainsi l'isolation réseau.
Plan de contrôle : gestion centralisée du réseau
Le plan de contrôle constitue le composant central d'un VPC et se compose d'un cluster de contrôleurs SDN. Il assure la gestion centralisée du réseau et la distribution des politiques.
Découplage : le SDN dissocie la configuration réseau du matériel sous-jacent. Les routes et les règles de sécurité définies via la console ou l'API sont gérées par le contrôleur SDN. Les administrateurs peuvent ainsi ajuster dynamiquement le comportement du réseau sans intervenir sur le matériel physique.
Distribution de la configuration : le contrôleur calcule les configurations, telles que les tables de transfert, et les transmet aux vSwitch et aux passerelles du plan de données à l'aide d'un protocole propriétaire. Cette séparation permet de modifier le comportement du réseau sans manipuler le matériel physique, améliorant ainsi la flexibilité et l'automatisation.
Haute disponibilité
L'architecture VPC intègre une redondance à chaque niveau pour garantir la stabilité du service.
Nœuds distribués : les vSwitch sont répartis sur plusieurs nœuds afin d'éliminer les points de défaillance uniques (SPOF).
Déploiement en cluster : les passerelles et les contrôleurs fonctionnent en clusters et prennent en charge le basculement entre plusieurs centres de données (zones).
Redondance des liaisons : toutes les liaisons physiques sont configurées avec des mécanismes de redondance et de reprise après sinistre.
Architecture
Le schéma ci-dessous présente les composants VPC disponibles pour concevoir des architectures réseau, couvrant le contrôle du trafic, la gestion des adresses IP, la connectivité inter-VPC et la surveillance du réseau.
|
Composant |
Description |
|
Ressource au niveau de la zone qui segmente votre VPC en sous-réseaux pour le déploiement des ressources. |
|
|
Dirige le trafic au sein de votre VPC. Chaque vSwitch est associé à une table de routage dont les entrées spécifient le saut suivant pour les paquets sortants. |
|
|
Automatise l'allocation et la gestion des adresses IP pour prévenir les conflits d'adresses et simplifier les opérations réseau. |
|
|
Fonctionne conjointement avec les tables de routage pour contrôler centralement le trafic Internet, réduisant ainsi les risques de sécurité liés à un accès décentralisé. |
|
|
Connecte des VPC situés dans le même compte ou dans des comptes différents, ainsi que dans la même région ou dans des régions différentes, pour permettre une communication privée inter-VPC. |
|
|
S'associe à un vSwitch pour contrôler le trafic entrant et sortant à l'aide de règles configurables. |
|
|
Capture le trafic entrant et sortant des interfaces réseau élastiques (ENI) pour vous aider à surveiller les performances du réseau, résoudre les problèmes et réduire les coûts liés au trafic. |
|
|
Copie le trafic correspondant à vos filtres et le transfère vers des appliances d'analyse de sécurité pour une inspection en temps réel, sans affecter le trafic de production. |