亞馬遜VPC是混(hun)合云(yun)拼圖中(zhong)不可(ke)或缺的一部分，它使(shi)企業能夠控制公(gong)有云(yun)配(pei)置(zhi)，同時又可(ke)以(yi)安(an)全地連接(jie)到私有數(shu)據中(zhong)心。

安(an)(an)全(quan)性和(he)控(kong)制歷來都是企業高管和(he)IT專業人士在(zai)(zai)考慮使(shi)用公有云(yun)服務時的兩大擔憂(you)。而這一問題在(zai)(zai)網絡(luo)(luo)方面最(zui)嚴重，IT團隊需(xu)要在(zai)(zai)混合云(yun)網絡(luo)(luo)中能夠控(kong)制公有云(yun)基礎架構的配置以(yi)及到私有數據(ju)中心的連接安(an)(an)全(quan)性。

這些類型的(de)網絡拓撲結構可以很(hen)復雜(za)。在(zai)一個多層次的(de)設計中應用(yong)分(fen)散到各(ge)(ge)個系(xi)統，而在(zai)每個應用(yong)層中都(dou)有(you)不同的(de)安全要求。這意味(wei)著，各(ge)(ge)個系(xi)統必須在(zai)不同的(de)網段中相互隔離(li)，而這在(zai)標準云服務(wu)中是(shi)不可能的(de)。

同樣(yang)的，無(wu)論(lun)有多積(ji)極的采用AWS，大(da)部分(fen)企(qi)業(ye)都(dou)將在(zai)相當(dang)長的一段時間(jian)內仍然在(zai)私有數(shu)據(ju)中心或是托管設施(shi)中保留本(ben)地的遺留系統。這(zhe)些系統必須與基(ji)于云的資(zi)源共享數(shu)據(ju)，而防火墻和路由器的策(ce)略則會小心地控(kong)制流量。

在(zai)完全擁抱公有(you)云之(zhi)前(qian)，大多數(shu)企(qi)業(ye)需要確保他們可以為云托管的(de)應用建立并控制(zhi)復雜的(de)網絡。同(tong)樣，他們也必(bi)須確保敏(min)感業(ye)務信息不會公開(kai)的(de)在(zai)互(hu)聯網上(shang)傳播(bo)。正因為如此，亞(ya)馬(ma)遜(xun)創建了亞(ya)馬(ma)遜(xun)虛擬私有(you)云(VPC)，一個提供了設計的(de)靈活性(xing)和控制(zhi)的(de)虛擬私有(you)網絡，能夠在(zai)混合(he)云網絡中安全地(di)銜接(jie)AWS基礎架(jia)構和企(qi)業(ye)數(shu)據中心。

VPC VS. 私(si)有(you)云

亞馬遜VPC基本上賦予(yu)了(le)企業構建(jian)(jian)私有(you)網(wang)(wang)絡(luo)的(de)(de)能(neng)力(li);然而，當(dang)與預留(liu)實例組合(he)起(qi)來時，它便成為一(yi)個(ge)(ge)極為類似私有(you)云(yun)的(de)(de)存在(zai)。VPC提(ti)供了(le)一(yi)個(ge)(ge)獨立(li)的(de)(de)網(wang)(wang)絡(luo)沙箱，給(gei)予(yu)AWS用(yong)戶網(wang)(wang)絡(luo)配置方面的(de)(de)完全控制(zhi)，包(bao)括子網(wang)(wang)創建(jian)(jian)和(he)尋址(zhi)，路(lu)由表(biao)，網(wang)(wang)絡(luo)網(wang)(wang)關(guan)和(he)安全設置等(deng)。子網(wang)(wang)自(zi)始至終都是私有(you)的(de)(de)，無論他們(men)是否(fou)擁有(you)一(yi)個(ge)(ge)網(wang)(wang)絡(luo)地址(zhi)轉(zhuan)換(huan)(NAT)和(he)一(yi)個(ge)(ge)可(ke)路(lu)由地址(zhi)的(de)(de)公(gong)共互(hu)聯網(wang)(wang)網(wang)(wang)關(guan)。

有了VPC，AWS用(yong)戶便獲得(de)了一(yi)(yi)個(ge)虛擬路由器，可以創(chuang)建(jian)多(duo)個(ge)相互(hu)隔離的(de)(de)(de)子網(wang)，這些(xie)子網(wang)能夠運行AWS的(de)(de)(de)資(zi)源，如彈性計(ji)算云(EC2)，彈性塊(kuai)存儲(chu)和關系數據(ju)庫服(fu)(fu)務(wu)(wu)。VPC端(duan)點(dian)允許用(yong)戶不(bu)必使(shi)用(yong)NAT和互(hu)聯網(wang)網(wang)關就(jiu)能創(chuang)建(jian)VPC子網(wang)和任何AWS產(chan)品之間的(de)(de)(de)專用(yong)連接(jie)。例如，管理員可以在VPC中以更(geng)簡(jian)單(dan)的(de)(de)(de)方式(shi)從一(yi)(yi)個(ge)EC2實(shi)例訪問簡(jian)單(dan)存儲(chu)服(fu)(fu)務(wu)(wu)，只要(yao)創(chuang)建(jian)一(yi)(yi)個(ge)VPC端(duan)點(dian)并指(zhi)定能夠訪問的(de)(de)(de)bucket，對象和API。

亞馬遜(xun)VPC提供(gong)了(le)比默(mo)認的EC2環境更大的網絡設置控(kong)制(zhi)權。亞馬遜(xun)VPC提供(gong)了(le)：

為實例分配靜態的，在(zai)停止和重新啟動(dong)后仍然保(bao)持相(xiang)同IP的能力。

支持每個(ge)實(shi)例(li)有(you)多個(ge)IP地址，包括(kuo)多個(ge)網絡接口。例(li)如，一(yi)個(ge)實(shi)例(li)可以(yi)同時存在于多個(ge)VPC中。

在運行的時候更改實例的安全(quan)組成(cheng)員的能力(li)。

每個EC2實例的入站和出(chu)站的流(liu)量過濾(lv)和訪問控制列表的支持(chi)。

支持EC2專用主(zhu)機和專用實(shi)例。

VPC搭配一個(ge)(ge)(ge)(ge)虛擬專(zhuan)用網(wang)關(guan)就組成了混合云網(wang)絡的(de)(de)(de)(de)基礎(chu)。類似于互聯(lian)網(wang)的(de)(de)(de)(de)網(wang)關(guan)，虛擬專(zhuan)用網(wang)關(guan)提供了一個(ge)(ge)(ge)(ge)公開的(de)(de)(de)(de)可路由IP以及(ji)通往外部客(ke)戶(hu)的(de)(de)(de)(de)路徑，虛擬專(zhuan)用網(wang)關(guan)則(ze)通過一個(ge)(ge)(ge)(ge)IPSec的(de)(de)(de)(de)VPN來連(lian)接亞馬遜VPC和(he)遠(yuan)程數據中心。網(wang)關(guan)則(ze)使(shi)用VPN端點連(lian)接到VPC虛擬路由器和(he)一個(ge)(ge)(ge)(ge)或(huo)(huo)(huo)多個(ge)(ge)(ge)(ge)客(ke)戶(hu)網(wang)絡。這些(xie)端點可以是虛擬或(huo)(huo)(huo)物理的(de)(de)(de)(de)設備，諸如思(si)科ISR，Juniper SRX、SonicWALL防(fang)火(huo)墻或(huo)(huo)(huo)是一個(ge)(ge)(ge)(ge)Fortinet UTM設備。

VPC和私有網(wang)絡(luo)(luo)之(zhi)間的(de)(de)連(lian)(lian)接(jie)可以是路(lu)由(you)(you)表定義的(de)(de)靜態(tai)(tai)連(lian)(lian)接(jie)，或使用邊界網(wang)關(guan)協(xie)議(BGP)的(de)(de)動(dong)態(tai)(tai)連(lian)(lian)接(jie)。根(gen)據VPC的(de)(de)文檔，如果(guo)使用了 一個BGP設備，你(ni)不(bu)需要(yao)替(ti)VPN連(lian)(lian)接(jie)指定靜態(tai)(tai)路(lu)由(you)(you)，因為設備會使用BGP來廣播(bo)路(lu)由(you)(you)給虛擬(ni)(ni)專(zhuan)用網(wang)關(guan)。如果(guo)你(ni)使用的(de)(de)設備不(bu)支持BGP，則必須選(xuan)擇靜態(tai)(tai)路(lu)由(you)(you)，并替(ti)你(ni)的(de)(de)網(wang)絡(luo)(luo)輸入應該要(yao)傳達給虛擬(ni)(ni)專(zhuan)用網(wang)關(guan)的(de)(de)路(lu)由(you)(you)(IP前綴)。

VPC 聯(lian)手AWS Direct Connect

VPC是(shi)AWS Direct Connect的(de)一個(ge)必要補(bu)充，它提供了AWS和一個(ge)組織內部的(de)基(ji)礎(chu)架構之間的(de)私有(you)物理(li)層的(de)網絡連接(jie)，無(wu)論這(zhe)個(ge)基(ji)礎(chu)架構是(shi)駐留在私有(you)數據中心(xin)或是(shi)托管(guan)設施中。管(guan)理(li)員(yuan)可以從主流電信運營商(shang)現有(you)的(de)多協議標簽交換WAN來配置Direct Connect連接(jie)。

從概念上講(jiang)，VPC加Direct Connect與在公共互聯網上使(shi)(shi)用IPSec VPN是(shi)一樣的(de)，但企(qi)業會體驗(yan)到(dao)更(geng)好的(de)性能(neng)，更(geng)快的(de)帶寬(高達10 Gbps)，更(geng)低的(de)延遲(chi)(通常(chang)遠(yuan)小(xiao)于10毫秒)，以(yi)及(ji)更(geng)可靠的(de)網絡質量。就像使(shi)(shi)用VPN一樣，Direct Connect連接到(dao)AWS的(de)虛(xu)擬(ni)路由器(qi)，經由那里，流量可以(yi)基于靜態(tai)或動態(tai)路由的(de)策(ce)略被發送到(dao)一個或更(geng)多的(de)VPC上。

其他云競爭(zheng)者的(de)VPN選項(xiang)

微軟(ruan)Azure和谷歌云(yun)平(ping)臺(tai)都(dou)提供類似的(de)(de)(de)服(fu)務(wu)，允許企業IT創建(jian)多(duo)個(ge)私(si)有(you)虛擬(ni)(ni)子網，支(zhi)持可配(pei)置的(de)(de)(de)路由策(ce)略(lve)，公共互聯網網關，NAT，VPN隧道。類似AWS，Azure和谷歌云(yun)平(ping)臺(tai)也(ye)都(dou)提供支(zhi)持BGP的(de)(de)(de)虛擬(ni)(ni)路由器(qi)，能在公有(you)和私(si)有(you)網絡之間做出復雜的(de)(de)(de)動態路由策(ce)略(lve)。因此，假設(she)該VPN終(zhong)端的(de)(de)(de)專用端是一個(ge)路由器(qi)，而(er)不(bu)是一個(ge)簡(jian)單的(de)(de)(de)VPN網關設(she)備，這兩個(ge)服(fu)務(wu)會連接(jie)任何私(si)有(you)網絡到(dao)云(yun)中的(de)(de)(de)一個(ge)或(huo)多(duo)個(ge)虛擬(ni)(ni)子網。

推薦和用例

亞馬遜VPC，或(huo)者同等的(de)Azure和谷(gu)歌服務，是(shi)任(ren)何想要在云(yun)中部署復雜(za)的(de)，多層次拓撲結構的(de)多應用的(de)組織的(de)要求。VPC搭配一(yi)個VPN網絡和直連對于在云(yun)應用和本地資(zi)源，如數據庫，文件存儲或(huo)遺留應用，之間建(jian)立(li)一(yi)個可(ke)靠，安(an)全的(de)連接來說是(shi)不可(ke)或(huo)缺的(de)。

VPC聯網概念對任何IT網絡專家來說應該是很熟悉的(de)(de)，所(suo)以主要(yao)的(de)(de)學(xue)習曲線涉(she)及到理(li)解云管理(li)控制臺或命(ming)令行界面。將(jiang)一個遠程(cheng)的(de)(de)VPC連接到關鍵任務的(de)(de)企業網絡，特別是當使(shi)用BGP的(de)(de)時候，并不是一個簡(jian)單的(de)(de)工作。管理(li)員(yuan)正式涉(she)足混合云網絡之(zhi)前，應該學(xue)習基礎的(de)(de)知(zhi)識(shi)，不斷(duan)測試，并保有足夠的(de)(de)謹慎。

文章編輯：CobiNet(寧波)  
本公司專注于電訊配件,銅纜綜合布線系列領域產品研發生產超五類，六類,七類屏蔽網線/屏蔽模塊及相關模塊配件, 我們是萬兆屏蔽模塊，10G屏蔽模塊，屏蔽線生產廠家。

歡迎來電咨詢0574 88168918,郵箱sales@aliance.cn，網址aliance.cn