Виртуальная частная сеть, подсети и зоны доступности

Настройте виртуальное частное облако AWS VPC, чтобы интегрировать Qlik в свою среду.

Виртуальное частное облако (VPC) — это логически изолированная сеть, через которую можно контролировать подключения ресурсов AWS, таких как базы данных и вычислительные экземпляры, друг к другу и к интернету. Каждый VPC создается внутри одного региона AWS.

Подсети — это подразделения VPC, используемые для организации и размещения ресурсов, таких как экземпляры Amazon EC2. Подсети могут быть:

Публичные: Разрешает прямой доступ к интернету через интернет-шлюз.
Частные: передача данных только внутри VPC. Исходящий доступ в интернет доступен через шлюз NAT.

Каждая подсеть создается в определенной зоне доступности. Например, в регионе us-east-1 можно создать подсети us-east-1a, us-east-1b и us-east-1c.

Зоны доступности (Availability Zones, AZs) — это физически изолированные центры обработки данных в пределах одного региона. Распределение ресурсов между несколькими зонами позволяет повысить доступность и отказоустойчивость ресурсов.

Связь между VPC, подсетями и зонами доступности обеспечивает следующее:

VPC привязан к одному региону AWS и охватывает все зоны доступности в этом регионе.
Подсети привязаны к отдельным зонам доступности, позволяя распределять ресурсы по зонам.
Использование такой структуры для развертывания ресурсов на нескольких зонах в пределах VPC позволяет повысить доступность и отказоустойчивость ресурсов.

Подсети, созданные в конфигурации VPC, должны иметь действующий маршрут, обеспечивающий исходящее подключение к интернету. Публичные подсети требуют маршрута к интернет-шлюзу. Частные подсети требуют маршрута к шлюзу NAT.

Выбор между публичными и частными подсетями

Прежде чем создавать VPC, определите, какой тип подсети подходит для вашего развертывания:

Пример использования	Рекомендуемый тип подсети
Ресурсы, требующие прямого доступа к Интернету	Публичная подсеть
Только интернет-сервисы	Частная подсеть
Рабочие нагрузки	Частная подсеть
Безопасные развертывания lakehouse	Частная подсеть
Тестовые или демонстрационные среды	Общедоступная или частная подсеть

Не смешивайте типы общедоступных и частных подсетей в одном развертывании, если это не указано явно. Смешанные конфигурации могут привести к неоднозначной маршрутизации и неправильным настройкам безопасности.

Создание VPC

Создайте свою VPC в соответствии с требованиями к сетевой безопасности. Приведенные ниже конфигурации представлены в качестве рекомендаций. Адаптируйте их к конкретным потребностям вашей организации.

Хотя общедоступные подсети поддерживаются, Qlik рекомендует использовать частные подсети для всех развертываний, чтобы обеспечить безопасную и готовую к работе производственную среду.

Qlik рекомендации

Зоны доступности: используйте 2 или более зон доступности для обеспечения высокой доступности и отказоустойчивости.
Количество подсетей: Разверните как минимум одну подсеть на каждую зону доступности (AZ).
Шлюзы NAT: Для частных подсетей используйте один шлюз NAT на каждую зону доступности (AZ) для обеспечения высокой доступности.
Размер подсети: Подсети размером /27 или меньше могут привести к непредвиденному поведению системы и затруднить ее масштабирование и надежное обновление. Qlik рекомендует минимальный размер подсети /24 для обеспечения стабильной работы и возможности будущего роста.

Создание VPC с частными подсетями

Используйте этот параметр для безопасных развертываний, где ресурсы не должны быть напрямую доступны из Интернета.

В консоли AWS перейдите в VPC > Your VPCs.
Нажмите Create VPC (Создать VPC).
В разделе Создаваемые ресурсы выберите VPC and more.
Настройте следующие параметры:
- Зоны доступности (AZs): 2 или более.
- Количество публичных подсетей: 0.
- Количество частных подсетей: По мере необходимости.
- Шлюзы NAT: По мере необходимости.
Нажмите Create VPC (Создать VPC).
После создания убедитесь, что каждая подсеть:
- Автоматическое назначение публичного IPv4-адреса отключено.
- Имеет маршрут к NAT-шлюзу.
- Не имеет маршрута к интернет-шлюзу.

Частные подсети предотвращают прямой входящий доступ в интернет, при этом разрешая исходящее подключение через NAT-шлюз. Это рекомендуемая конфигурация для производственных нагрузок.

Сводка конфигурации

После выполнения любого из вариантов запишите следующее для использования на последующих этапах настройки:

ID виртуального частного облака
Диапазон CIDR VPC
Идентификаторы подсетей
Зона доступности для каждой подсети
Назначение подсети (общедоступная или частная)

Помогла ли вам эта страница?

Если вы обнаружили какую-либо проблему на этой странице или с ее содержанием — будь то опечатка, пропущенный шаг или техническая ошибка, сообщите нам об этом!

Оставьте свой отзыв здесь