Fins ara hem llançat servidors (EC2) i desat arxius (S3). Però on «viuen» aquests servidors a nivell de xarxa? Com es comuniquen entre ells de manera segura i aïllada de la resta del món? La resposta és la VPC, el servei de xarxes d’AWS. És un tema que espanta molts principiants, però amb les analogies correctes s’entén perfectament.

VPC significa Virtual Private Cloud (Núvol Privat Virtual). És la teva xarxa privada i aïllada dins d’AWS, on col·loques els teus recursos (instàncies EC2, bases de dades…) i controles com es comuniquen entre si i amb l’exterior.

Analogia: Imagina que AWS és una ciutat enorme plena d’edificis (recursos). Una VPC és la teva pròpia parcel·la tancada dins d’aquesta ciutat. Dins de la teva parcel·la tu decideixes com organitzar els carrers, quines portes donen al carrer públic i quines romanen privades. Ningú de fora entra sense el teu permís, i el que passa a la teva parcel·la està aïllat de les parcel·les dels altres.

Sense una xarxa, els teus servidors no podrien comunicar-se de manera controlada ni segura. La VPC et dona:

1. Aïllament: els teus recursos estan separats dels d’altres clients d’AWS. És el teu espai privat.
2. Control: tu decideixes què és públic (accessible des d’internet) i què és privat (només accessible internament).
3. Seguretat: pots posar els recursos sensibles (com una base de dades) en zones a les quals internet no arriba.
4. Organització: estructures la teva xarxa en subxarxes segons la seva funció.

Per què importa tant la seguretat aquí: una de les pitjors idees al núvol és posar la teva base de dades accessible directament des d’internet. Amb una VPC, col·loques la base de dades en una zona privada, de manera que només els teus propis servidors poden parlar amb ella. Si un atacant busca la teva base de dades a internet, senzillament no la troba perquè no té sortida ni entrada pública.

Quan crees un compte d’AWS, aquest ve amb una VPC per defecte ja configurada a cada regió, llesta per usar. Per això pots llançar una instància EC2 «sense pensar en xarxes»: en realitat estàs usant aquesta VPC per defecte.

Tanmateix, per a projectes seriosos, el més habitual és crear la teva pròpia VPC amb l’estructura que necessites, en lloc d’usar la per defecte. Al llarg d’aquest capítol (i del Capítol 12, on la construiràs amb Terraform) aprendràs a fer-ho.

Quan crees una VPC, el primer que defineixes és el seu rang d’adreces IP, expressat en una notació anomenada CIDR. No t’espantis: és més simple del que sembla.

Un rang CIDR típic per a una VPC és:

Això vol dir: «la meva xarxa farà servir adreces IP que comencen per 10.0.x.x». El /16 indica quantes adreces abasta (en aquest cas, unes 65.000 adreces disponibles per als teus recursos).

Analogia: El rang CIDR és com decidir els números dels carrers de la teva parcel·la. 10.0.0.0/16 vol dir «la meva urbanització tindrà els números del 10.0.0.0 al 10.0.255.255». Després dividiràs aquests números entre diferents carrers (subxarxes), que veurem al següent subcapítol.

Rangs privats habituals (definits per estàndards d’internet per a xarxes privades):

• 10.0.0.0/16
• 172.16.0.0/16
• 192.168.0.0/16

No cal que dominis CIDR ara. L’important: una VPC té un rang d’adreces, i dins d’ell organitzaràs tot. Si vols una regla pràctica: fes servir 10.0.0.0/16 per a la teva VPC i ja està.

Una VPC és com un contenidor que allotja diverses peces que anirem veient en aquest capítol:

• Subxarxes: divisions de la teva VPC, públiques o privades (subcapítol 6.2).
• Internet Gateway: la porta a internet (subcapítol 6.3).
• NAT Gateway: sortida a internet per a recursos privats (subcapítol 6.3).
• Route Tables i Network ACLs: les «normes de trànsit» (subcapítol 6.4).
• Peering i endpoints: connexions amb altres xarxes (subcapítol 6.5).

No et preocupis si ara només són noms: els anirem desmuntant un a un.

Recorda el Capítol 3: una VPC pertany a una regió i pot abastar diverses zones de disponibilitat (AZ) d’aquesta regió. Això és clau: en repartir les teves subxarxes entre diverses AZ, construeixes l’alta disponibilitat que vam veure al subcapítol 3.2. Ho veurem en parlar de subxarxes.

• Una VPC és la teva xarxa privada i aïllada dins d’AWS: la teva «parcel·la tancada» a la ciutat d’AWS.
• Et dona aïllament, control, seguretat i organització: tu decideixes què és públic i què és privat.
• El teu compte ja porta una VPC per defecte, però per a projectes seriosos crearàs la teva pròpia.
• Una VPC es defineix amb un rang CIDR (per exemple 10.0.0.0/16), que és el conjunt d’adreces IP de la teva xarxa.
• Una VPC viu en una regió i pot estendre’s per diverses AZ per a alta disponibilitat.

Al següent subcapítol dividirem la VPC en subxarxes públiques i privades, la decisió de disseny més important de la teva xarxa.