亞馬遜VPC是混合云拼圖中不可或缺的一部分，它使企業(yè)能夠控制公有云配置，同時又可以安全地連接到私有數(shù)據(jù)中心。

安全性和控制歷來都是企業(yè)高管和IT專業(yè)人士在考慮使用公有云服務(wù)時的兩大擔(dān)憂。而這一問題在網(wǎng)絡(luò)方面最嚴重，IT團隊需要在混合云網(wǎng)絡(luò)中能夠控制公有云基礎(chǔ)架構(gòu)的配置以及到私有數(shù)據(jù)中心的連接安全性。

這些類型的網(wǎng)絡(luò)拓撲結(jié)構(gòu)可以很復(fù)雜。在一個多層次的設(shè)計中應(yīng)用分散到各個系統(tǒng)，而在每個應(yīng)用層中都有不同的安全要求。這意味著，各個系統(tǒng)必須在不同的網(wǎng)段中相互隔離，而這在標準云服務(wù)中是不可能的。

同樣的，無論有多積極的采用AWS，大部分企業(yè)都將在相當長的一段時間內(nèi)仍然在私有數(shù)據(jù)中心或是托管設(shè)施中保留本地的遺留系統(tǒng)。這些系統(tǒng)必須與基于云的資源共享數(shù)據(jù)，而防火墻和路由器的策略則會小心地控制流量。

在完全擁抱公有云之前，大多數(shù)企業(yè)需要確保他們可以為云托管的應(yīng)用建立并控制復(fù)雜的網(wǎng)絡(luò)。同樣，他們也必須確保敏感業(yè)務(wù)信息不會公開的在互聯(lián)網(wǎng)上傳播。正因為如此，亞馬遜創(chuàng)建了亞馬遜虛擬私有云(VPC)，一個提供了設(shè)計的靈活性和控制的虛擬私有網(wǎng)絡(luò)，能夠在混合云網(wǎng)絡(luò)中安全地銜接AWS基礎(chǔ)架構(gòu)和企業(yè)數(shù)據(jù)中心。

VPC VS. 私有云

亞馬遜VPC基本上賦予了企業(yè)構(gòu)建私有網(wǎng)絡(luò)的能力;然而，當與預(yù)留實例組合起來時，它便成為一個極為類似私有云的存在。VPC提供了一個獨立的網(wǎng)絡(luò)沙箱，給予AWS用戶網(wǎng)絡(luò)配置方面的完全控制，包括子網(wǎng)創(chuàng)建和尋址，路由表，網(wǎng)絡(luò)網(wǎng)關(guān)和安全設(shè)置等。子網(wǎng)自始至終都是私有的，無論他們是否擁有一個網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)和一個可路由地址的公共互聯(lián)網(wǎng)網(wǎng)關(guān)。

有了VPC，AWS用戶便獲得了一個虛擬路由器，可以創(chuàng)建多個相互隔離的子網(wǎng)，這些子網(wǎng)能夠運行AWS的資源，如彈性計算云(EC2)，彈性塊存儲和關(guān)系數(shù)據(jù)庫服務(wù)。VPC端點允許用戶不必使用NAT和互聯(lián)網(wǎng)網(wǎng)關(guān)就能創(chuàng)建VPC子網(wǎng)和任何AWS產(chǎn)品之間的專用連接。例如，管理員可以在VPC中以更簡單的方式從一個EC2實例訪問簡單存儲服務(wù)，只要創(chuàng)建一個VPC端點并指定能夠訪問的bucket，對象和API。

亞馬遜VPC提供了比默認的EC2環(huán)境更大的網(wǎng)絡(luò)設(shè)置控制權(quán)。亞馬遜VPC提供了：

為實例分配靜態(tài)的，在停止和重新啟動后仍然保持相同IP的能力。

支持每個實例有多個IP地址，包括多個網(wǎng)絡(luò)接口。例如，一個實例可以同時存在于多個VPC中。

在運行的時候更改實例的安全組成員的能力。

每個EC2實例的入站和出站的流量過濾和訪問控制列表的支持。

支持EC2專用主機和專用實例。

VPC搭配一個虛擬專用網(wǎng)關(guān)就組成了混合云網(wǎng)絡(luò)的基礎(chǔ)。類似于互聯(lián)網(wǎng)的網(wǎng)關(guān)，虛擬專用網(wǎng)關(guān)提供了一個公開的可路由IP以及通往外部客戶的路徑，虛擬專用網(wǎng)關(guān)則通過一個IPSec的VPN來連接亞馬遜VPC和遠程數(shù)據(jù)中心。網(wǎng)關(guān)則使用VPN端點連接到VPC虛擬路由器和一個或多個客戶網(wǎng)絡(luò)。這些端點可以是虛擬或物理的設(shè)備，諸如思科ISR，Juniper SRX、SonicWALL防火墻或是一個Fortinet UTM設(shè)備。

VPC和私有網(wǎng)絡(luò)之間的連接可以是路由表定義的靜態(tài)連接，或使用邊界網(wǎng)關(guān)協(xié)議(BGP)的動態(tài)連接。根據(jù)VPC的文檔，如果使用了 一個BGP設(shè)備，你不需要替VPN連接指定靜態(tài)路由，因為設(shè)備會使用BGP來廣播路由給虛擬專用網(wǎng)關(guān)。如果你使用的設(shè)備不支持BGP，則必須選擇靜態(tài)路由，并替你的網(wǎng)絡(luò)輸入應(yīng)該要傳達給虛擬專用網(wǎng)關(guān)的路由(IP前綴)。

VPC 聯(lián)手AWS Direct Connect

VPC是AWS Direct Connect的一個必要補充，它提供了AWS和一個組織內(nèi)部的基礎(chǔ)架構(gòu)之間的私有物理層的網(wǎng)絡(luò)連接，無論這個基礎(chǔ)架構(gòu)是駐留在私有數(shù)據(jù)中心或是托管設(shè)施中。管理員可以從主流電信運營商現(xiàn)有的多協(xié)議標簽交換WAN來配置Direct Connect連接。

從概念上講，VPC加Direct Connect與在公共互聯(lián)網(wǎng)上使用IPSec VPN是一樣的，但企業(yè)會體驗到更好的性能，更快的帶寬(高達10 Gbps)，更低的延遲(通常遠小于10毫秒)，以及更可靠的網(wǎng)絡(luò)質(zhì)量。就像使用VPN一樣，Direct Connect連接到AWS的虛擬路由器，經(jīng)由那里，流量可以基于靜態(tài)或動態(tài)路由的策略被發(fā)送到一個或更多的VPC上。

其他云競爭者的VPN選項

微軟Azure和谷歌云平臺都提供類似的服務(wù)，允許企業(yè)IT創(chuàng)建多個私有虛擬子網(wǎng)，支持可配置的路由策略，公共互聯(lián)網(wǎng)網(wǎng)關(guān)，NAT，VPN隧道。類似AWS，Azure和谷歌云平臺也都提供支持BGP的虛擬路由器，能在公有和私有網(wǎng)絡(luò)之間做出復(fù)雜的動態(tài)路由策略。因此，假設(shè)該VPN終端的專用端是一個路由器，而不是一個簡單的VPN網(wǎng)關(guān)設(shè)備，這兩個服務(wù)會連接任何私有網(wǎng)絡(luò)到云中的一個或多個虛擬子網(wǎng)。

推薦和用例

亞馬遜VPC，或者同等的Azure和谷歌服務(wù)，是任何想要在云中部署復(fù)雜的，多層次拓撲結(jié)構(gòu)的多應(yīng)用的組織的要求。VPC搭配一個VPN網(wǎng)絡(luò)和直連對于在云應(yīng)用和本地資源，如數(shù)據(jù)庫，文件存儲或遺留應(yīng)用，之間建立一個可靠，安全的連接來說是不可或缺的。

VPC聯(lián)網(wǎng)概念對任何IT網(wǎng)絡(luò)專家來說應(yīng)該是很熟悉的，所以主要的學(xué)習(xí)曲線涉及到理解云管理控制臺或命令行界面。將一個遠程的VPC連接到關(guān)鍵任務(wù)的企業(yè)網(wǎng)絡(luò)，特別是當使用BGP的時候，并不是一個簡單的工作。管理員正式涉足混合云網(wǎng)絡(luò)之前，應(yīng)該學(xué)習(xí)基礎(chǔ)的知識，不斷測試，并保有足夠的謹慎。

文章編輯：CobiNet(寧波)  
本公司專注于電訊配件,銅纜綜合布線系列領(lǐng)域產(chǎn)品研發(fā)生產(chǎn)超五類，六類,七類屏蔽網(wǎng)線/屏蔽模塊及相關(guān)模塊配件, 我們是萬兆屏蔽模塊，10G屏蔽模塊，屏蔽線生產(chǎn)廠家。

歡迎來電咨詢0574 88168918,郵箱sales@cobinet.cn，網(wǎng)址m.czchengbang.com