La teva VPC ja està completa per dins: subxarxes, portes a internet i regles de trànsit. Però les xarxes rarament viuen aïllades: a vegades necessites connectar la teva VPC amb una altra VPC, o arribar a serveis d’AWS sense passar per internet. Per això existeixen el VPC Peering i els endpoints. Amb això tanquem el capítol de xarxes.

Recorda: una VPC és una parcel·la tancada i aïllada. Dues VPCs diferents (encara que siguin del mateix compte) no es poden comunicar entre si per defecte. Això és bo per a la seguretat, però a vegades necessites que sí que es comuniquin.

Exemple: La teva empresa té una VPC per a l’equip de desenvolupament i una altra per a l’equip de dades. L’equip de desenvolupament necessita accedir a una base de dades que viu a la VPC de dades. Com les connectes de forma privada i segura, sense treure el trànsit a internet?

El VPC Peering crea una connexió privada directa entre dues VPCs, de manera que els seus recursos puguin comunicar-se com si estiguessin a la mateixa xarxa, usant adreces IP privades i sense passar per internet.

Analogia: És com obrir una porta privada entre dues parcel·les veïnes. Els habitants d’ambdues poden passar d’una a l’altra directament, sense sortir al carrer públic. Només passen per aquesta porta els que tu autoritzis.

Característiques clau:

• El trànsit va per la xarxa privada d’AWS, mai per internet. És segur i ràpid.
• Funciona entre VPCs del mateix compte o de comptes diferents, i fins i tot entre regions diferents.
• Has d’afegir rutes a les taules de rutes d’ambdues VPCs perquè sàpiguen com arribar a l’altra (recorda les route tables del subcapítol 6.4).

⚠️ Limitació important — no és transitiu: Si la VPC A està connectada amb la B, i la B amb la C, això no vol dir que A pugui parlar amb C. El peering connecta només els dos extrems directes. Per a una topologia complexa amb moltes VPCs, connectar-les totes amb totes (peering) es torna un embolic. Per això existeix el Transit Gateway (un «router central» que connecta moltes VPCs entre si), que és la solució a gran escala que veuràs en arquitectures grans (ho mencionarem al Capítol 30).

Aquí resolem un problema molt comú i sovint invisible. Imagina que un servidor en una subxarxa privada necessita accedir a un bucket de S3.

El problema: S3 és un servei «públic» d’AWS (s’hi accedeix per una URL d’internet). Així que, normalment, aquest servidor privat hauria de sortir a internet a través del NAT Gateway (subcapítol 6.3) per arribar a S3. Això significa:

• Passar pel NAT Gateway (que costa diners per dades).
• Que el trànsit surti «cap a internet» encara que sigui cap a un altre servei d’AWS.

Els VPC Endpoints resolen això. Un endpoint crea una connexió privada directa entre la teva VPC i un servei d’AWS (com S3, DynamoDB i molts altres), sense sortir a internet i sense passar pel NAT Gateway.

Analogia: En lloc de sortir de la teva parcel·la al carrer públic per anar a un servei que està «a la cantonada», obres un túnel privat directe fins a aquest servei. Més segur, més ràpid i més barat.

Avantatges dels endpoints:

• Més segur: el trànsit mai toca internet.
• Més barat: evites costos de NAT Gateway per parlar amb serveis d’AWS.
• Millor rendiment: ruta directa per la xarxa interna d’AWS.

Consell pràctic molt rendible: Si tens servidors en subxarxes privades que accedeixen molt a S3 o DynamoDB, crea un Gateway Endpoint (és gratuït) i estalviaràs els costos de NAT Gateway per a aquest trànsit. És una de les optimitzacions de cost més fàcils i efectives que existeixen.

Perquè tinguis el mapa complet, aquestes són les formes de connectar la teva VPC amb l’exterior privat (no cal dominar-les ara, només conèixer que existeixen):

Els dos últims són la base de les arquitectures híbrides que vam veure al Capítol 1: així es connecten el núvol i l’on-premise.

• Les VPCs estan aïllades per defecte; perquè dues es comuniquin necessites VPC Peering (una «porta privada» entre elles).
• El peering no és transitiu (A-B i B-C no implica A-C); per a moltes VPCs s’utilitza Transit Gateway.
• Els VPC Endpoints connecten la teva VPC amb serveis d’AWS (com S3) de forma privada, sense sortir a internet ni passar pel NAT Gateway: més segur, ràpid i barat.
• Els Gateway Endpoints (S3 i DynamoDB) són gratuïts: fes-los servir per estalviar costos de NAT.
• Per connectar amb el teu datacenter on-premise: VPN (sobre internet) o Direct Connect (línia dedicada).

Amb això tanques el Capítol 6 i ja entens les xarxes a AWS. Al Capítol 7 veurem qui pot fer què al teu compte: la identitat i els accessos amb IAM, el pilar de la seguretat a AWS.