Виртуальная частная облачная сеть (VPC)
Простыми словами
VPC помогает организовать связи между серверами и сервисами в облаке: какие адреса они получают, как достигают друг друга и куда могут передавать трафик. Это сетевой контур, а не отдельное физическое облако.
Слово private не означает автоматического запрета интернета. У ресурса могут быть публичный адрес, разрешающий маршрут и открытые правила. Фактическая изоляция зависит от настроек и доступных механизмов провайдера.
Как применяется
VPC используют, чтобы разделять окружения, подключать облачные ресурсы к корпоративной сети и ограничивать связи между уровнями приложения. Планирование начинают с адресных диапазонов, маршрутов и списка действительно необходимых соединений.
При проверке ИБ учитывают входящий и исходящий трафик, публичные адреса, правила групп безопасности и права на изменение сети. Наличие отдельной подсети само по себе не доказывает, что доступ между ресурсами запрещён.
Пример применения
Например, веб-сервис состоит из внешнего балансировщика, серверов приложения и базы данных. Базе не назначают публичный адрес. Доступ к её порту разрешают только от серверов приложения, а административный доступ организуют через предусмотренный защищённый канал.
Проверка включает три попытки: соединение из приложения должно пройти, из ненужного соседнего сервера — не пройти, напрямую из интернета — не пройти. Если результат отличается от схемы, изучают маршруты и правила, а не полагаются на название подсети.
Не путать с
- VPNVPN создаёт защищённое соединение между участниками сети. VPC задаёт облачную сеть; VPN может быть одним из способов подключиться к ней.
- Частное облакоЭто модель предоставления облачных ресурсов одной организации. VPC может находиться в публичном облаке и не означает выделенную физическую инфраструктуру.
- Группа безопасностиОна разрешает или ограничивает трафик ресурсов по правилам. VPC также включает адресацию и маршрутизацию, поэтому группа безопасности — не замена всей сети.
Как это работает
- Спланировать адресаВыбирают диапазоны и подсети так, чтобы избежать пересечений с корпоративной сетью и другими подключаемыми контурами.
- Задать маршрутыОпределяют связи между подсетями, выход наружу и подключение к корпоративной сети. Проверяют, какие пути действительно доступны.
- Ограничить соединенияНастраивают правила для нужных источников, назначений и портов. Публичный доступ разрешают только там, где он обоснован.
- Проверить доступностьТестируют разрешённые и запрещённые соединения, фиксируют изменения и повторяют проверки после правок сети.
Продолжить изучение
Связанные термины
Частые вопросы
Проверьте публичный адрес, маршруты и правила доступа. Логическая изоляция клиента от других клиентов не означает запрета внешних соединений к его собственным ресурсам.
Достаточно разнести серверы по подсетям?Нет. Подсеть задаёт адресный диапазон, но разрешения на связи определяются маршрутизацией и средствами фильтрации конкретного облака.
Заменяет ли VPC межсетевой экран?Нет. VPC организует сеть, а фильтрация ограничивает соединения. Возможности встроенных правил и необходимость дополнительных средств оценивают по архитектуре и требованиям к защите.