Planejamento de rede
Antes de criar suas VPCs, determine quantas VPCs, o número de sub-redes e quais intervalos de endereços IP ou opções de conectividade serão necessários.
Como determinar quantas VPCs eu preciso?
As VPCs são específicas da região. Por padrão, as redes em VPCs em regiões diferentes ou mesmo na mesma região não estão conectadas. Redes em diferentes VPCs são completamente isoladas umas das outras, esse não é o caso de redes na mesma VPC, mas em diferentes AZs. Redes na mesma VPC podem se comunicar umas com as outras, mesmo que estejam em AZs diferentes.
Única VPC
Se seus serviços não exigem isolamento de rede, uma única VPC deve ser suficiente.
Várias VPCs
Se você tiver vários sistemas de serviço em uma região, e cada sistema de serviço exigir uma rede isolada, poderá criar uma VPC separada para cada sistema de serviço. Se você precisar de conectividade de rede entre VPCs separadas, poderá usar uma conexão de emparelhamento de VPC, conforme mostrado em Figura 1.
Cota de VPC padrão
Por padrão, você pode criar no máximo cinco VPCs na sua conta. Se isso não puder atender aos seus requisitos de serviço, solicite um aumento de cota. Para obter detalhes, consulte O que é uma cota?
Como planejar sub-redes?
Uma sub-rede é um bloco CIDR único com um intervalo de endereços IP em uma VPC. Todos os recursos em uma VPC devem ser implementados em sub-redes.
- Por padrão, os ECSs em todas as sub-redes da mesma VPC podem se comunicar uns com os outros, mas os ECSs em diferentes VPCs não.
Você pode criar conexões de emparelhamento de VPC para permitir que ECSs em VPCs diferentes, mas na mesma região, se comuniquem entre si. Para obter detalhes, consulte Visão geral da conexão de emparelhamento de VPC.
- Depois que uma sub-rede é criada, seu bloco CIDR não pode ser modificado.
Ao criar uma VPC, uma sub-rede padrão será criada em conjunto. Se você precisar de mais sub-redes, consulte Criação de uma sub-rede para a VPC.
As sub-redes usadas para implantar seus recursos devem residir na VPC, e as máscaras de sub-rede usadas para defini-las podem estar entre a máscara de rede do bloco CIDR da VPC e a máscara de rede /28.
- 10.0.0.0 – 10.255.255.255
- 172.16.0.0 – 172.31.255.255
- 192.168.0.0 – 192.168.255.255
Uma máscara de sub-rede pode estar entre a máscara de rede do bloco CIDR da VPC e a máscara de rede /28. Se um bloco CIDR da VPC for 192.168.0.0/16, sua máscara de sub-rede poderá ter entre 16 e 28.
Planejamento de sub-rede
- Recomendamos que você crie diferentes sub-redes para diferentes módulos de serviço em uma VPC. Por exemplo, você pode criar diferentes sub-redes para servidores Web, de aplicações e de banco de dados. Um servidor Web está em uma sub-rede acessível ao público, e os servidores de aplicações e bancos de dados estão em sub-redes não acessíveis ao público. Você pode aproveitar network ACLs para ajudar a controlar o acesso aos servidores em cada sub-rede.
- Se você precisar planejar apenas sub-redes para VPCs e a comunicação entre VPCs e data centers locais não for necessária, crie sub-redes em qualquer um dos blocos CIDR listados acima.
- Se a VPC precisar se comunicar com um data center local por meio de VPN ou Direct Connect, o bloco CIDR da VPC não poderá se sobrepor ao bloco CIDR do data center local. Portanto, ao criar uma VPC ou uma sub-rede, certifique-se de que seu bloco CIDR não se sobreponha a nenhum bloco CIDR no data center.
- Ao determinar o tamanho de um VPC ou bloco CIDR de sub-rede, certifique-se de que o número de endereços IP disponíveis no bloco CIDR atenda aos seus requisitos de serviço.
Cota de sub-rede padrão
Por padrão, você pode criar até 100 sub-redes em sua conta. Se precisar de mais, solicite um aumento de cota. Para obter detalhes, consulte O que é uma cota?
Como planejar políticas de roteamento?
Uma tabela de rotas contém um conjunto de rotas que são usadas para determinar para onde o tráfego de rede das suas sub-redes em uma VPC é direcionado. Quando você cria uma VPC, ela tem automaticamente uma tabela de rotas padrão, que permite a comunicação interna dentro dessa VPC.
- Se não for necessário controlar explicitamente como cada sub-rede roteia o tráfego de entrada e saída, você poderá usar a tabela de rotas padrão.
- Se você precisar controlar explicitamente como cada sub-rede roteia o tráfego de entrada e saída em uma VPC, adicione rotas personalizadas à tabela de rotas.
Como faço para me conectar a um data center local?
Se você precisar de interconexão entre uma VPC e um data center local, certifique-se de que a VPC não tenha um intervalo de endereços IP sobreposto com o data center local a ser conectado.
Como mostrado em Figura 2, você tem a VPC 1 na região A e a VPC 2 e a VPC 3 na região B. Para se conectar a um data center local, eles podem usar uma VPN, como a VPC 1 faz na Região A; ou uma conexão Direct Connect, como a VPC 2 faz na Região B. A VPC 2 se conecta ao data center por meio de uma conexão Direct Connect, mas para se conectar a outra VPC nessa região, como a VPC 3, uma conexão de emparelhamento da VPC deve ser estabelecida.
Ao planejar blocos CIDR para VPC 1, VPC 2 e VPC 3:
- O bloco CIDR da VPC 1 não pode se sobrepor ao bloco CIDR do data center local na Região A.
- O bloco CIDR da VPC 2 não pode se sobrepor ao bloco CIDR do data center local na Região B.
- Os blocos CIDR da VPC 2 e da VPC 3 não podem se sobrepor.
Como acessar a Internet?
Use EIPs para permitir que um pequeno número de ECSs acesse a Internet.
Quando apenas alguns ECSs precisarem acessar a Internet, você poderá vincular os EIPs aos ECSs. Isso irá fornecer-lhes acesso à Internet. Você também pode desvincular dinamicamente os EIPs dos ECSs e vinculá-los a gateways NAT e balanceadores de carga, que também fornecerão acesso à Internet. O processo não é complicado.
Para obter mais informações sobre o EIP, consulte Visão geral do EIP.
Use um gateway NAT para permitir que um grande número de ECSs acesse a Internet.
Quando um grande número de ECSs precisa acessar a Internet, a nuvem pública fornece gateways NAT para seus ECSs. Com os gateways NAT, você não precisa atribuir um EIP a cada ECS. Os gateways NAT reduzem os custos, pois você não precisa de tantos EIPs. Os gateways NAT oferecem tradução de endereço de rede de origem (SNAT) e tradução de endereço de rede de destino (DNAT). SNAT permite que vários ECSs na mesma VPC compartilhem um ou mais EIPs para acessar a Internet. SNAT impede que os EIPs dos ECSs sejam expostos à Internet. DNAT pode implementar o encaminhamento de dados em nível de porta. Ela mapeia portas de EIP para portas de ECS para que os ECSs em uma VPC possam compartilhar o mesmo EIP e largura de banda para fornecer serviços acessíveis pela Internet.
Para obter mais informações, consulte Guia de usuário do Gateway NAT.
Use o ELB para acessar a Internet se houver um grande número de solicitações simultâneas.
Em cenários de alta concorrência, como o comércio eletrônico, você pode usar balanceadores de carga fornecidos pelo serviço ELB para distribuir uniformemente o tráfego de entrada entre vários ECSs, permitindo que um grande número de usuários acesse simultaneamente seu sistema ou aplicação de negócios. O ELB é implementado no modo de cluster. Ele fornece tolerância a falhas para suas aplicações equilibrando automaticamente o tráfego em várias AZs. Você também pode aproveitar a integração profunda com o Auto Scaling (AS), que permite o dimensionamento automático com base no tráfego de serviço e garante a estabilidade e a confiabilidade do serviço.
Para obter mais informações, consulte Guide de usuário do Elastic Load Balance.
