VPC: شبكتك الخاصة

كل سيرفر شغّلناه في هذي السلسلة كان داخل شبكة ما بنيتها: الـ VPC الافتراضية اللي تنشئها AWS في كل Region. وهي تكفي للتجارب، بس التطبيق الحقيقي يحتاج تصميم تكون فيه قاعدة البيانات مخفية، ولكل طبقة مكانها.

وش هي VPC؟ #

VPC (Virtual Private Cloud) شبكتك الخاصة داخل Region واحدة. تمتد على كل مناطق التوفر فيها، وما يدخلها أو يطلع منها شي إلا اللي تسمح له. هذا التصميم الشائع:

نطاقات العناوين: كيف تقرأ CIDR #

تكتب نطاق العناوين بصيغة CIDR، مثل 10.0.0.0/16. والرقم بعد الشرطة يقول كم بت ثابت من أصل 32، فكل ما صغر الرقم كبر النطاق:

استخدم النطاقات الخاصة: 10.0.0.0/8 أو 172.16.0.0/12 أو 192.168.0.0/16. والـ VPC الافتراضية تستخدم 172.31.0.0/16.

الشبكات الفرعية (Subnets) #

الـ Subnet جزء من نطاق الـ VPC، وأهم شي تعرفه عنها:

• تعيش في منطقة توفر واحدة. فعشان التوفر العالي تحتاج شبكات في منطقتين على الأقل.
• AWS تحجز 5 عناوين في كل شبكة: أول أربعة وآخر عنوان. فـ /24 يعطيك 251 عنوان مو 256.
• "عامة" و"خاصة" مو إعداد. الشبكة تصير عامة لما يكون في جدول توجيهها طريق لبوابة الإنترنت.

جداول التوجيه وبوابة الإنترنت #

بوابة الإنترنت (Internet Gateway) تربط الـ VPC بالإنترنت. وجدول التوجيه (Route Table) يحدد وين تروح كل زيارة. فجدول الشبكة العامة يكون كذا:

وعشان يوصل أحد للسيرفر من الخارج، يحتاج عنوان عام كمان. وتذكر من الجزء الرابع إن كل عناوين IPv4 العامة مدفوعة.

NAT Gateway: طلوع بدون دخول #

السيرفر في الشبكة الخاصة يحتاج يطلع أحياناً، مثلاً لتحميل التحديثات، بس ما تبي أحد يدخل عليه. هذا دور NAT Gateway: يجلس في الشبكة العامة، ويطلّع طلبات السيرفرات الخاصة بعنوانه هو، وما يقبل اتصال يبدأ من الخارج.

وجدول الشبكة الخاصة فيه 0.0.0.0/0 يشير لـ nat-... بدل بوابة الإنترنت. وعندك أكثر من شكل:

كيف توصل لسيرفر خاص؟ #

ما له عنوان عام، فكيف تدخل عليه؟

جدارين حماية: مجموعات الأمان وNACL #

مجموعة الأمان تعرفها، وهي حول السيرفر. وفيه جدار ثاني اسمه NACL حول الشبكة الفرعية:

وبما إن NACL ما تتذكر الاتصال، لازم تسمح لردود السيرفر عبر المنافذ المؤقتة (عادةً 1024-65535)، وهذا يسبب أخطاء كثيرة.

القاعدة العملية: خل NACL الافتراضية على حالها، واشتغل بمجموعات الأمان. واستخدم NACL لو تبي تمنع نطاق عناوين بسرعة، لأن مجموعة الأمان ما تقدر تمنع.

سجلات الزيارات (Flow Logs) #

لما ما يوصل طلب وما تعرف ليش، Flow Logs تسجّل بيانات كل اتصال على مستوى VPC أو شبكة أو واجهة، وترسلها لـ CloudWatch Logs أو S3. والسطر يكون كذا:

2 123456789012 eni-0abc 203.0.113.7 10.0.1.5 49152 22 6 5 300 1730000000 1730000060 REJECT OK

يعني: من 203.0.113.7 إلى 10.0.1.5 على المنفذ 22، وانرفض. وكيف تشخّص:

• الدخول مرفوض: المشكلة في مجموعة الأمان أو NACL.
• الدخول مقبول والخروج مرفوض: المشكلة في NACL، لأن مجموعة الأمان تسمح للرد تلقائياً.

عملي: ابنِ VPC من الصفر #

بنبني شبكة فيها عامة وخاصة، ونشوف بأعيننا إن الفرق كله في جدول التوجيه. كل الأوامر من CloudShell. أول شي الشبكة والفروع:

VPC=$(aws ec2 create-vpc --cidr-block 10.0.0.0/16 \
  --tag-specifications 'ResourceType=vpc,Tags=[{Key=Name,Value=series-vpc}]' \
  --query Vpc.VpcId --output text)

AZ=$(aws ec2 describe-availability-zones \
  --query "AvailabilityZones[0].ZoneName" --output text)

PUBLIC=$(aws ec2 create-subnet --vpc-id $VPC --cidr-block 10.0.1.0/24 \
  --availability-zone $AZ --query Subnet.SubnetId --output text)

PRIVATE=$(aws ec2 create-subnet --vpc-id $VPC --cidr-block 10.0.11.0/24 \
  --availability-zone $AZ --query Subnet.SubnetId --output text)

الحين بوابة الإنترنت وجدول توجيه للشبكة العامة فقط:

IGW=$(aws ec2 create-internet-gateway \
  --query InternetGateway.InternetGatewayId --output text)
aws ec2 attach-internet-gateway --vpc-id $VPC --internet-gateway-id $IGW

RT_PUBLIC=$(aws ec2 create-route-table --vpc-id $VPC \
  --query RouteTable.RouteTableId --output text)
aws ec2 create-route --route-table-id $RT_PUBLIC \
  --destination-cidr-block 0.0.0.0/0 --gateway-id $IGW
aws ec2 associate-route-table --route-table-id $RT_PUBLIC --subnet-id $PUBLIC

مجموعة أمان تسمح من داخل الشبكة فقط، ونقطة دخول حتى نوصل للسيرفرات بدون فتح منفذ للعالم:

SG=$(aws ec2 create-security-group --group-name series-sg \
  --description "SSH and ping from inside the VPC" --vpc-id $VPC \
  --query GroupId --output text)
aws ec2 authorize-security-group-ingress --group-id $SG \
  --protocol tcp --port 22 --cidr 10.0.0.0/16
aws ec2 authorize-security-group-ingress --group-id $SG \
  --protocol icmp --port -1 --cidr 10.0.0.0/16

aws ec2 create-instance-connect-endpoint --subnet-id $PRIVATE \
  --security-group-ids $SG --no-preserve-client-ip

وسيرفر في كل شبكة:

AMI=$(aws ssm get-parameter \
  --name /aws/service/ami-amazon-linux-latest/al2023-ami-kernel-default-x86_64 \
  --query Parameter.Value --output text)

aws ec2 run-instances --image-id $AMI --instance-type t3.micro \
  --subnet-id $PUBLIC --security-group-ids $SG --associate-public-ip-address \
  --tag-specifications 'ResourceType=instance,Tags=[{Key=Name,Value=public-server}]'

aws ec2 run-instances --image-id $AMI --instance-type t3.micro \
  --subnet-id $PRIVATE --security-group-ids $SG \
  --tag-specifications 'ResourceType=instance,Tags=[{Key=Name,Value=private-server}]'

انتظر كم دقيقة لين تجهز نقطة الدخول. ثم من EC2 حدد السيرفر، واضغط Connect، وفي EC2 Instance Connect اختر الاتصال عبر نقطة الدخول. وعلى كل سيرفر جرّب:

curl -m 5 https://checkip.amazonaws.com

• public-server: يطبع عنوانه العام.
• private-server: ينتهي الوقت بدون جواب، لأن ما عنده طريق للإنترنت.

ومن الخاص جرّب ping على العنوان الخاص للعام، وبيرد لأن طريق local يربطهم.

أضف NAT Gateway #

الحين خل الخاص يطلع للإنترنت. وهذي الخطوة مدفوعة بالساعة، فاحذفها بعد التجربة:

ALLOC=$(aws ec2 allocate-address --domain vpc \
  --query AllocationId --output text)

NAT=$(aws ec2 create-nat-gateway --subnet-id $PUBLIC --allocation-id $ALLOC \
  --query NatGateway.NatGatewayId --output text)
aws ec2 wait nat-gateway-available --nat-gateway-ids $NAT

RT_PRIVATE=$(aws ec2 create-route-table --vpc-id $VPC \
  --query RouteTable.RouteTableId --output text)
aws ec2 create-route --route-table-id $RT_PRIVATE \
  --destination-cidr-block 0.0.0.0/0 --nat-gateway-id $NAT
aws ec2 associate-route-table --route-table-id $RT_PRIVATE --subnet-id $PRIVATE

أعد نفس أمر curl على private-server. هذي المرة يطبع عنوان، وهو عنوان NAT Gateway مو عنوان السيرفر. فالسيرفر طلع للإنترنت، وما زال ما أحد يقدر يبدأ اتصال به.

الخلاصة #

• VPC شبكتك الخاصة في Region، وتقسمها لشبكات فرعية في مناطق التوفر.
• الشبكة عامة لو في جدولها طريق لبوابة الإنترنت، وإلا فهي خاصة.
• NAT Gateway يخلي الخاصة تطلع بدون ما أحد يدخل، وانتبه لتكلفته.
• مجموعات الأمان تتذكر الاتصال وتسمح فقط، وNACL ما تتذكر وتقدر تمنع.
• Flow Logs تقول لك وين انرفض الاتصال.

اختبر نفسك #

قبل ما تكمل، جرّب هذي الأسئلة عشان تتأكد إنك فهمت الجزء. كل سؤال موقف عملي، وبعد ما تجاوب يطلع لك الشرح.

شبكتك الحين جاهزة، بس معزولة. في الجزء الرابع عشر نربطها بشبكات ثانية، وبخدمات AWS، وبمكتبك.