VPC: ربط الشبكات ببعض

في الجزء الثالث عشر بنينا شبكة معزولة. بس التطبيقات الحقيقية نادراً تبقى لحالها: عندك VPC ثانية لفريق ثاني، وسيرفرات تحتاج S3، ومكتب يحتاج يوصل لقاعدة البيانات.

هذي خريطة الجزء، وارجع لها لما تحتار:

VPC Peering #

Peering يربط شبكتين VPC مباشرة، فكأنهم شبكة وحدة. وتربط حتى بين حسابات مختلفة أو Regions مختلفة. وقواعده:

• النطاقات ما تتداخل. هذا اللي نبهناك له في الجزء السابق.
• ما ينتقل. لو A مربوطة بـ B، وB مربوطة بـ C، فـ A ما توصل لـ C.
• تحتاج طريق في الجهتين. تضيفه في جدول توجيه كل شبكة.

وما له رسم بالساعة، وتدفع فقط على نقل البيانات.

VPC Endpoints: خدمات AWS بدون إنترنت #

افتراضياً، طلب سيرفرك الخاص لخدمة S3 يطلع عبر NAT، وتدفع على كل جيجابايت، مع إن الوجهة داخل AWS أصلاً. Endpoints تعطيك طريق خاص ومباشر:

وInterface Endpoint مبني على PrivateLink، وهو يخليك كمان تقدم خدمتك لشبكات ثانية عبر NLB، بدون Peering وحتى لو نطاقاتهم متداخلة.

ربط مكتبك: Site-to-Site VPN #

Site-to-Site VPN يربط شبكة مكتبك بالـ VPC عبر الإنترنت بنفق مشفّر، وتجهزه في وقت قصير. وله ثلاث قطع:

1. Customer Gateway: يمثل جهازك في المكتب وعنوانه العام.
2. Virtual Private Gateway: بوابة VPN من جهة AWS، تركّبها على الـ VPC.
3. VPN Connection: الاتصال نفسه، ويجي بنفقين عشان التوفر.

وبعدها فعّل Route Propagation في جدول التوجيه عشان تعرف الـ VPC طرق المكتب. وكل نفق يعطيك لين 1.25 جيجابت، ولين 5 مع Transit Gateway.

• VPN CloudHub: يربط عدة مكاتب ببعض عبر نفس البوابة.
• Client VPN: لأجهزة الموظفين بدل المكاتب.

وإذا تبي VPN تتحكم فيه بالكامل على سيرفرك، شوف مقال WireGuard.

Direct Connect: خط خاص #

Direct Connect خط فعلي خاص بين مكانك وAWS عبر موقع Direct Connect، فما يمر بالإنترنت العام. فسرعته ثابتة، ونقل البيانات الخارجة أرخص.

• Dedicated: منفذ خاص فيك من 1 إلى 400 جيجابت.
• Hosted: عن طريق شريك، بسرعات تبدأ أقل بكثير.
• Direct Connect Gateway: يوصلك بشبكات VPC في عدة Regions.

انتبه لثلاث نقاط: التجهيز ياخذ أسابيع وأحياناً أشهر، والخط مو مشفّر تلقائياً، فاستخدم MACsec أو VPN فوقه، والخط الواحد نقطة فشل واحدة، فلأهم الأنظمة خل خطين في موقعين، أو VPN احتياطي.

Transit Gateway: محور واحد #

لما تكثر الشبكات، يصير Peering متعب، لأنه ما ينتقل، فتحتاج وصلة لكل زوج:

Transit Gateway محور مركزي تربط فيه الشبكات، وكل وحدة توصل لغيرها عبره:

• يربط كل شي: شبكات VPC، واتصالات VPN، وDirect Connect، وTransit Gateway في Regions ثانية.
• جداول توجيه خاصة فيه: تحدد مين يكلم مين، مثلاً تفصل الإنتاج عن التطوير.
• بين الحسابات: تشاركه مع حسابات ثانية عبر خدمة RAM.
• سرعة VPN أعلى: توزّع الزيارات على عدة أنفاق.

وتدفع بالساعة على كل وصلة، وعلى البيانات. فلشبكتين أو ثلاث، Peering أبسط وأرخص.

تكلفة الشبكة #

نقل البيانات أكثر بند يفاجئ الناس. وهذي أسعار تقريبية في مناطق أمريكا، فراجع منطقتك:

وكيف توفر:

• استخدم العناوين الخاصة بين السيرفرات، لا العامة.
• خل الخدمات اللي تتكلم كثير في نفس منطقة التوفر، لو يسمح تصميم التوفر عندك.
• فعّل Gateway Endpoint لـ S3.
• قدّم المحتوى عبر CloudFront، لأن النقل من مصدرك إليه مجاني.

طبقات الحماية #

وعن IPv6: تقدر تضيفه للـ VPC، بس كل عناوينه عامة. فلو تبي السيرفرات تطلع بدون دخول، استخدم Egress-only Internet Gateway، وهو مثل NAT لـ IPv6.

عملي: Endpoint وPeering #

بنكمل على شبكة الجزء الثالث عشر، بعد حذف NAT Gateway. فـ private-server ما عنده طريق للإنترنت. والأوامر تستخدم المتغيرات VPC وRT_PRIVATE، ولو انتهت جلسة CloudShell حددها بيدك من صفحة VPC.

Gateway Endpoint #

أعطِ private-server دور IAM فيه AmazonS3ReadOnlyAccess، مثل ما شرحنا في الجزء الثاني. وعلى السيرفر جرّب:

aws s3 ls --cli-connect-timeout 5

ينتهي الوقت بعد عدة محاولات، لأن ما فيه طريق لـ S3. الحين من CloudShell أضف Endpoint:

aws ec2 create-vpc-endpoint --vpc-id $VPC \
  --service-name com.amazonaws.$AWS_REGION.s3 \
  --route-table-ids $RT_PRIVATE

aws ec2 describe-route-tables --route-table-ids $RT_PRIVATE \
  --query "RouteTables[0].Routes[].[DestinationCidrBlock,DestinationPrefixListId,GatewayId]" \
  --output table

بتشوف طريق جديد يبدأ بـ pl- ويشير لـ vpce-. وأعد أمر aws s3 ls على السيرفر، وبيرجع فوراً بقائمة الحاويات، أو فاضي لو ما عندك حاويات، بدون أي إنترنت.

VPC Peering #

الحين نربط هذي الشبكة بالافتراضية، اللي فيها web-1 من الجزء الثالث. هات عنوانه الخاص:

aws ec2 describe-instances \
  --filters "Name=tag:Name,Values=web-1" "Name=instance-state-name,Values=running" \
  --query "Reservations[0].Instances[0].PrivateIpAddress" --output text

من private-server جرّب curl -m 5 http://WEB-PRIVATE-IP، وبينتهي الوقت. الحين أنشئ الربط واقبله:

DEFAULT_VPC=$(aws ec2 describe-vpcs --filters Name=isDefault,Values=true \
  --query "Vpcs[0].VpcId" --output text)

PEER=$(aws ec2 create-vpc-peering-connection \
  --vpc-id $VPC --peer-vpc-id $DEFAULT_VPC \
  --query VpcPeeringConnection.VpcPeeringConnectionId --output text)

aws ec2 accept-vpc-peering-connection --vpc-peering-connection-id $PEER

الربط وحده ما يكفي، فأضف الطريق في الجهتين:

aws ec2 create-route --route-table-id $RT_PRIVATE \
  --destination-cidr-block 172.31.0.0/16 --vpc-peering-connection-id $PEER

DEFAULT_RT=$(aws ec2 describe-route-tables \
  --filters Name=vpc-id,Values=$DEFAULT_VPC Name=association.main,Values=true \
  --query "RouteTables[0].RouteTableId" --output text)

aws ec2 create-route --route-table-id $DEFAULT_RT \
  --destination-cidr-block 10.0.0.0/16 --vpc-peering-connection-id $PEER

أعد curl من private-server، وبترجع صفحة web-1 عبر العنوان الخاص.

aws ec2 delete-route --route-table-id $DEFAULT_RT \
  --destination-cidr-block 10.0.0.0/16

aws ec2 delete-vpc-peering-connection --vpc-peering-connection-id $PEER

الخلاصة #

• Peering لشبكتين، وما ينتقل، وTransit Gateway لما تكثر الشبكات.
• Gateway Endpoint مجاني لـ S3 وDynamoDB، وInterface Endpoint لباقي الخدمات.
• VPN سريع التجهيز عبر الإنترنت، وDirect Connect خط خاص ياخذ وقت.
• نقل البيانات من أكبر المفاجآت في الفاتورة، فخطط له من البداية.

اختبر نفسك #

قبل ما تكمل، جرّب هذي الأسئلة عشان تتأكد إنك فهمت الجزء. كل سؤال موقف عملي، وبعد ما تجاوب يطلع لك الشرح.

بهذا نكمل قسم الشبكات. الآن تعرف طريق الزائر من اسم موقعك لين بياناته، وبقي لنا مكان يتخزن فيه أي شي بأي حجم. هذا موضوع القسم الجاي، ونبدأه في الجزء الخامس عشر مع أساسيات S3.