Сеть в облаке: VPC, группы, NAT

Правила доступа вместо проводов

Своя сеть в облаке - это изолированное адресное пространство, внутри которого вы режете подсети. Подсеть бывает публичной (у машин есть выход в интернет напрямую) и приватной (выхода нет, а если нужен исходящий доступ - через отдельный шлюз).

Доступ описывается правилами: кому, куда, на какой порт. Хорошее правило ссылается не на адреса, а на ГРУППЫ: «серверам приложения разрешено ходить в группу баз на порт базы». Тогда добавление новой машины в группу автоматически даёт ей нужные права, и список не надо править руками.

// Типовая схема, которая закрывает большую часть вопросов: базы и внутренние сервисы - в приватных подсетях, наружу торчит только балансировщик, то есть посредник, раздающий запросы между копиями приложения, доступ к машинам - через одну точку входа, правило «разрешено всем» не используется нигде, кроме этого балансировщика на портах веб-трафика. И отдельно: правила доступа в облаке НЕ отменяют фаервол на самой машине - тот самый набор правил ядра о том, что пускать внутрь. Работают оба сразу, и запрет любого из них останавливает трафик.

приватная подсеть

без прямого выхода в интернет; исходящий доступ через отдельный шлюз

правило по группе

разрешение ссылается на группу машин, а не на список адресов

Исходящий трафик - отдельная статья расходов

Входящий трафик обычно бесплатный, исходящий - платный, и это меняет архитектурные решения. Посчитал два случая при цене восемь рублей за гигабайт. Страница на 2,5 мегабайта при 300 тысячах просмотров: 732 гигабайта, 5859 рублей в месяц. Ответы интерфейса по 50 килобайт при пяти миллионах вызовов: 244 гигабайта, 1953 рубля.

Первое лечится сетью доставки содержимого: картинки и статика раздаются с ближайшей к пользователю точки, обычно в два-четыре раза дешевле и заметно быстрее. Второе - сжатием ответов и тем, чтобы не отдавать поля, которые интерфейсу не нужны.

// Отдельная ловушка: трафик МЕЖДУ зонами тоже часто платный. Сервис, который случайно ходит в базу соседней зоны на каждый запрос, платит дважды - деньгами и задержкой. Поэтому в облаке считают и то, что уходит наружу, и то, что бегает между зонами внутри.

исходящий трафик

то, что уходит от вас к пользователю; платный, в отличие от входящего

сеть доставки

раздача статики с ближайшей к пользователю точки; дешевле и быстрее

Связность и приватный доступ

Соединить офис или свой дата-центр с облаком можно тремя способами. Зашифрованный туннель через интернет - дёшево и быстро настраивается, но качество канала зависит от интернета. Выделенный канал - дорого, зато предсказуемая задержка и полоса. И промежуточный вариант через партнёрскую точку обмена.

Внутри облака есть отдельная задача: обращаться к управляемым сервисам, не выходя в интернет. Для этого делают приватные точки доступа - хранилище и базы становятся доступны по внутреннему адресу. Это и безопаснее, и часто дешевле, потому что трафик перестаёт считаться исходящим.

// Про туннели важно помнить то, что я мерил в теме про сеть: туннель добавляет свои заголовки, поэтому предельный размер пакета внутри него меньше обычного. Если служебные сообщения о размере вырезаны фаерволом, крупные пакеты начинают молча теряться - рукопожатие проходит, а данные висят. Это классическая авария первого дня после настройки туннеля.

зашифрованный туннель

канал через интернет; дёшево, но качество зависит от интернета

приватная точка доступа

доступ к управляемому сервису по внутреннему адресу, минуя интернет

Как отвечать: «Почему база не должна быть доступна из интернета и как это устроить?»

Потому что доступная из интернета база - это вопрос времени, а не вероятности: её найдут сканеры, и дальше всё зависит только от пароля. Устраивается это так. База живёт в приватной подсети, у неё нет публичного адреса вовсе. Правило доступа разрешает подключение не с диапазона адресов, а из группы серверов приложения на порт базы - тогда новая машина в группе получает доступ автоматически, а посторонняя не получает никак. Доступ людей - через одну точку входа с записью сессий, а не прямым подключением. Если нужен доступ к управляемому сервису, делаю приватную точку доступа, чтобы трафик не выходил в интернет: это и безопаснее, и дешевле, потому что перестаёт считаться исходящим. И проверяю, что правила облака и фаервол на самой машине не противоречат друг другу - работают оба сразу.

Ответ даёт готовую схему из четырёх решений и объясняет, почему правило по группе лучше диапазона адресов. Замечание про два фаервола - частая причина потерянного часа.

На чём валятся

• −Пишут правило «разрешено всем» для удобства и оставляют его навсегда.
• −Дают базе публичный адрес и защищаются только паролем.
• −Ссылаются в правилах на адреса вместо групп и правят списки руками.
• −Не считают исходящий трафик и получают неожиданный счёт.
• −Забывают, что трафик между зонами тоже платный, и гоняют запросы через зону.