亞馬遜VPC是混合云拼圖中不可或缺的一部分，它使企業(yè)能夠控制公有云配置，同時(shí)又可以安全地連接到私有數(shù)據(jù)中心。

安全性和控制歷來都是企業(yè)高管和IT專業(yè)人士在考慮使用公有云服務(wù)時(shí)的兩大擔(dān)憂。而這一問題在網(wǎng)絡(luò)方面最嚴(yán)重，IT團(tuán)隊(duì)需要在混合云網(wǎng)絡(luò)中能夠控制公有云基礎(chǔ)架構(gòu)的配置以及到私有數(shù)據(jù)中心的連接安全性。

這些類型的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)可以很復(fù)雜。在一個(gè)多層次的設(shè)計(jì)中應(yīng)用分散到各個(gè)系統(tǒng)，而在每個(gè)應(yīng)用層中都有不同的安全要求。這意味著，各個(gè)系統(tǒng)必須在不同的網(wǎng)段中相互隔離，而這在標(biāo)準(zhǔn)云服務(wù)中是不可能的。

同樣的，無論有多積極的采用AWS，大部分企業(yè)都將在相當(dāng)長的一段時(shí)間內(nèi)仍然在私有數(shù)據(jù)中心或是托管設(shè)施中保留本地的遺留系統(tǒng)。這些系統(tǒng)必須與基于云的資源共享數(shù)據(jù)，而防火墻和路由器的策略則會小心地控制流量。

在完全擁抱公有云之前，大多數(shù)企業(yè)需要確保他們可以為云托管的應(yīng)用建立并控制復(fù)雜的網(wǎng)絡(luò)。同樣，他們也必須確保敏感業(yè)務(wù)信息不會公開的在互聯(lián)網(wǎng)上傳播。正因?yàn)槿绱?，亞馬遜創(chuàng)建了亞馬遜虛擬私有云(VPC)，一個(gè)提供了設(shè)計(jì)的靈活性和控制的虛擬私有網(wǎng)絡(luò)，能夠在混合云網(wǎng)絡(luò)中安全地銜接AWS基礎(chǔ)架構(gòu)和企業(yè)數(shù)據(jù)中心。

VPC VS. 私有云

亞馬遜VPC基本上賦予了企業(yè)構(gòu)建私有網(wǎng)絡(luò)的能力;然而，當(dāng)與預(yù)留實(shí)例組合起來時(shí)，它便成為一個(gè)極為類似私有云的存在。VPC提供了一個(gè)獨(dú)立的網(wǎng)絡(luò)沙箱，給予AWS用戶網(wǎng)絡(luò)配置方面的完全控制，包括子網(wǎng)創(chuàng)建和尋址，路由表，網(wǎng)絡(luò)網(wǎng)關(guān)和安全設(shè)置等。子網(wǎng)自始至終都是私有的，無論他們是否擁有一個(gè)網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)和一個(gè)可路由地址的公共互聯(lián)網(wǎng)網(wǎng)關(guān)。

有了VPC，AWS用戶便獲得了一個(gè)虛擬路由器，可以創(chuàng)建多個(gè)相互隔離的子網(wǎng)，這些子網(wǎng)能夠運(yùn)行AWS的資源，如彈性計(jì)算云(EC2)，彈性塊存儲和關(guān)系數(shù)據(jù)庫服務(wù)。VPC端點(diǎn)允許用戶不必使用NAT和互聯(lián)網(wǎng)網(wǎng)關(guān)就能創(chuàng)建VPC子網(wǎng)和任何AWS產(chǎn)品之間的專用連接。例如，管理員可以在VPC中以更簡單的方式從一個(gè)EC2實(shí)例訪問簡單存儲服務(wù)，只要?jiǎng)?chuàng)建一個(gè)VPC端點(diǎn)并指定能夠訪問的bucket，對象和API。

亞馬遜VPC提供了比默認(rèn)的EC2環(huán)境更大的網(wǎng)絡(luò)設(shè)置控制權(quán)。亞馬遜VPC提供了：

為實(shí)例分配靜態(tài)的，在停止和重新啟動(dòng)后仍然保持相同IP的能力。

支持每個(gè)實(shí)例有多個(gè)IP地址，包括多個(gè)網(wǎng)絡(luò)接口。例如，一個(gè)實(shí)例可以同時(shí)存在于多個(gè)VPC中。

在運(yùn)行的時(shí)候更改實(shí)例的安全組成員的能力。

每個(gè)EC2實(shí)例的入站和出站的流量過濾和訪問控制列表的支持。

支持EC2專用主機(jī)和專用實(shí)例。

VPC搭配一個(gè)虛擬專用網(wǎng)關(guān)就組成了混合云網(wǎng)絡(luò)的基礎(chǔ)。類似于互聯(lián)網(wǎng)的網(wǎng)關(guān)，虛擬專用網(wǎng)關(guān)提供了一個(gè)公開的可路由IP以及通往外部客戶的路徑，虛擬專用網(wǎng)關(guān)則通過一個(gè)IPSec的VPN來連接亞馬遜VPC和遠(yuǎn)程數(shù)據(jù)中心。網(wǎng)關(guān)則使用VPN端點(diǎn)連接到VPC虛擬路由器和一個(gè)或多個(gè)客戶網(wǎng)絡(luò)。這些端點(diǎn)可以是虛擬或物理的設(shè)備，諸如思科ISR，Juniper SRX、SonicWALL防火墻或是一個(gè)Fortinet UTM設(shè)備。

VPC和私有網(wǎng)絡(luò)之間的連接可以是路由表定義的靜態(tài)連接，或使用邊界網(wǎng)關(guān)協(xié)議(BGP)的動(dòng)態(tài)連接。根據(jù)VPC的文檔，如果使用了 一個(gè)BGP設(shè)備，你不需要替VPN連接指定靜態(tài)路由，因?yàn)樵O(shè)備會使用BGP來廣播路由給虛擬專用網(wǎng)關(guān)。如果你使用的設(shè)備不支持BGP，則必須選擇靜態(tài)路由，并替你的網(wǎng)絡(luò)輸入應(yīng)該要傳達(dá)給虛擬專用網(wǎng)關(guān)的路由(IP前綴)。

VPC 聯(lián)手AWS Direct Connect

VPC是AWS Direct Connect的一個(gè)必要補(bǔ)充，它提供了AWS和一個(gè)組織內(nèi)部的基礎(chǔ)架構(gòu)之間的私有物理層的網(wǎng)絡(luò)連接，無論這個(gè)基礎(chǔ)架構(gòu)是駐留在私有數(shù)據(jù)中心或是托管設(shè)施中。管理員可以從主流電信運(yùn)營商現(xiàn)有的多協(xié)議標(biāo)簽交換WAN來配置Direct Connect連接。

從概念上講，VPC加Direct Connect與在公共互聯(lián)網(wǎng)上使用IPSec VPN是一樣的，但企業(yè)會體驗(yàn)到更好的性能，更快的帶寬(高達(dá)10 Gbps)，更低的延遲(通常遠(yuǎn)小于10毫秒)，以及更可靠的網(wǎng)絡(luò)質(zhì)量。就像使用VPN一樣，Direct Connect連接到AWS的虛擬路由器，經(jīng)由那里，流量可以基于靜態(tài)或動(dòng)態(tài)路由的策略被發(fā)送到一個(gè)或更多的VPC上。

其他云競爭者的VPN選項(xiàng)

微軟Azure和谷歌云平臺都提供類似的服務(wù)，允許企業(yè)IT創(chuàng)建多個(gè)私有虛擬子網(wǎng)，支持可配置的路由策略，公共互聯(lián)網(wǎng)網(wǎng)關(guān)，NAT，VPN隧道。類似AWS，Azure和谷歌云平臺也都提供支持BGP的虛擬路由器，能在公有和私有網(wǎng)絡(luò)之間做出復(fù)雜的動(dòng)態(tài)路由策略。因此，假設(shè)該VPN終端的專用端是一個(gè)路由器，而不是一個(gè)簡單的VPN網(wǎng)關(guān)設(shè)備，這兩個(gè)服務(wù)會連接任何私有網(wǎng)絡(luò)到云中的一個(gè)或多個(gè)虛擬子網(wǎng)。

推薦和用例

亞馬遜VPC，或者同等的Azure和谷歌服務(wù)，是任何想要在云中部署復(fù)雜的，多層次拓?fù)浣Y(jié)構(gòu)的多應(yīng)用的組織的要求。VPC搭配一個(gè)VPN網(wǎng)絡(luò)和直連對于在云應(yīng)用和本地資源，如數(shù)據(jù)庫，文件存儲或遺留應(yīng)用，之間建立一個(gè)可靠，安全的連接來說是不可或缺的。

VPC聯(lián)網(wǎng)概念對任何IT網(wǎng)絡(luò)專家來說應(yīng)該是很熟悉的，所以主要的學(xué)習(xí)曲線涉及到理解云管理控制臺或命令行界面。將一個(gè)遠(yuǎn)程的VPC連接到關(guān)鍵任務(wù)的企業(yè)網(wǎng)絡(luò)，特別是當(dāng)使用BGP的時(shí)候，并不是一個(gè)簡單的工作。管理員正式涉足混合云網(wǎng)絡(luò)之前，應(yīng)該學(xué)習(xí)基礎(chǔ)的知識，不斷測試，并保有足夠的謹(jǐn)慎。

文章編輯：CobiNet(寧波)  
本公司專注于電訊配件,銅纜綜合布線系列領(lǐng)域產(chǎn)品研發(fā)生產(chǎn)超五類，六類,七類屏蔽網(wǎng)線/屏蔽模塊及相關(guān)模塊配件, 我們是萬兆屏蔽模塊，10G屏蔽模塊，屏蔽線生產(chǎn)廠家。

歡迎來電咨詢0574 88168918,郵箱sales@cobinet.cn，網(wǎng)址www.idouxiong.cn