Redes
Projetar sub-redes, rotas e conexões que acompanham o crescimento da carga e alcançam a rede local. Faz parte do Domínio 3: Projetar arquiteturas de alto desempenho, 24% do conteúdo pontuado.
Desenho de VPC
Amazon Virtual Private Cloud
Uma VPC é uma rede privada em uma Região, dividida em sub-redes que ficam cada uma em uma AZ. O plano de endereços e as camadas de sub-rede definem até onde ela cresce.
Pontos-chave
- CIDR: blocos IPv4 de /16 a /28. Dá para adicionar blocos depois (5 por VPC por padrão, ajustável até 50). Evite faixas sobrepostas às redes que você vai conectar.
- Endereços reservados: a AWS reserva 5 IPs em cada sub-rede (os 4 primeiros e o último).
- Camadas de sub-rede: pública (load balancers, NAT), privada (aplicação) e de dados (bancos), cada uma repetida em pelo menos 2 AZs.
- Tabelas de rotas: uma sub-rede é pública quando sua tabela tem rota para um internet gateway. Sub-redes privadas saem pela NAT.
- VPC Flow Logs: metadados do tráfego IP para CloudWatch Logs, S3 ou Data Firehose, para diagnóstico.
Na prova
"Acabando os IPs da VPC" -> adicione um bloco CIDR secundário, não uma VPC nova. Uma sub-rede /28 tem só 11 endereços utilizáveis porque 5 são reservados.
O internet gateway dá às sub-redes públicas acesso de ida e volta à internet. NAT e egress-only gateway deixam recursos privados saírem sem ficarem alcançáveis.
Pontos-chave
- Internet gateway: escala horizontal, redundante e altamente disponível, sem limite de banda. O gateway não é cobrado, só a transferência de dados.
- NAT gateway (zonal): saída IPv4 para sub-redes privadas, 5 Gbps escalando até 100 Gbps. Crie um por AZ para que a falha de uma AZ não corte a saída das outras.
- NAT gateway (modo regional): um único ID de NAT gateway que se expande pelas AZs onde há carga, sem sub-rede pública.
- Egress-only internet gateway: só saída IPv6, com estado. Como endereços IPv6 são públicos, é o equivalente à NAT no IPv6.
- Elastic IP: IPv4 público fixo, 5 por Região por padrão. A AWS cobra por todo IPv4 público, em uso ou parado.
Na prova
"Instâncias privadas precisam baixar patches da internet, com alta disponibilidade" -> NAT gateway em cada AZ, não instância NAT. "Só saída IPv6" -> egress-only internet gateway.
O peering liga duas VPCs diretamente. O AWS Transit Gateway é um hub regional que escala para muitas VPCs e conexões com a rede local.
Pontos-chave
- VPC peering: um para um, entre contas e Regiões, sem ponto único de falha nem gargalo de banda. Não é transitivo e não aceita CIDRs sobrepostos. 50 peerings ativos por VPC por padrão, até 125.
- Transit Gateway: roteador hub and spoke para VPCs, Site-to-Site VPN, Direct Connect gateways e Transit Gateway Connect. Até 100 Gbps por anexo de VPC por AZ.
- Tabelas de rotas no transit gateway segmentam o tráfego (por exemplo, separar produção e desenvolvimento).
- Anexos de peering ligam transit gateways entre Regiões. O compartilhamento com outras contas é feito pelo AWS RAM.
- ECMP sobre vários túneis VPN com BGP soma a banda de VPN até o transit gateway.
Na prova
"Dezenas de VPCs e sites locais, malha completa impossível de gerenciar" -> Transit Gateway. "Duas VPCs, menor custo, sem trânsito" -> VPC peering. Uma VPC pareada nunca encaminha tráfego para uma terceira.
PrivateLink e endpoints
AWS PrivateLink
Acesso privado a serviços da AWS e a serviços em outras VPCs, sem internet gateway, NAT ou peering. O tráfego fica na rede da AWS.
Pontos-chave
- Interface endpoint: interfaces de rede com IPs privados nas suas sub-redes para um serviço da AWS ou um endpoint service, resolvido via DNS.
- Endpoint service: expõe sua aplicação atrás de um Network Load Balancer para consumidores em outras VPCs ou contas. Funciona com CIDRs sobrepostos porque só o endpoint é compartilhado.
- Gateway endpoint: só para S3 e DynamoDB, sem custo extra, uma rota na tabela de rotas, só na mesma Região. Não é PrivateLink.
- Iniciado pelo consumidor: o consumidor abre a conexão e o provedor aceita ou rejeita o pedido.
Na prova
"Expor um serviço para centenas de VPCs de clientes com CIDRs sobrepostos" -> endpoint service do PrivateLink, não peering. "EC2 acessando S3 sem NAT e sem custo" -> gateway endpoint.
Túneis IPsec criptografados pela internet. O Site-to-Site VPN une redes, o Client VPN conecta usuários individuais.
Pontos-chave
- Site-to-Site VPN: 2 túneis por conexão, cada um em uma AZ diferente. Termina em um virtual private gateway ou transit gateway, com um customer gateway no local.
- Banda: até 1,25 Gbps por túnel padrão. Large Bandwidth Tunnels chegam a 5 Gbps em anexos de transit gateway ou Cloud WAN.
- Accelerated Site-to-Site VPN: entra na rede global da AWS pela borda mais próxima via Global Accelerator. Exige transit gateway.
- AWS Client VPN: acesso remoto gerenciado, baseado em OpenVPN, para usuários, com autenticação via Active Directory, federação SAML ou certificados mútuos.
Na prova
"Conectar o escritório nesta semana, criptografado, barato" -> Site-to-Site VPN. "Funcionários remotos em notebooks" -> Client VPN. Mais de 1,25 Gbps por VPN -> ECMP em transit gateway ou Large Bandwidth Tunnels.
Direct Connect
AWS Direct Connect
Um link privado e dedicado da sua rede até a AWS, sem passar pela internet, para banda e latência consistentes.
Pontos-chave
- Conexão dedicada: porta de 1, 10, 100 ou 400 Gbps. Conexão hospedada: de 50 Mbps a 25 Gbps por meio de um parceiro.
- Sem criptografia por padrão: use MACsec em conexões dedicadas de 10, 100 e 400 Gbps nos locais suportados, ou uma VPN IPsec sobre o Direct Connect.
- Interfaces virtuais: VIF privada para uma VPC, VIF pública para serviços públicos da AWS, VIF de trânsito para transit gateways.
- Direct Connect gateway: recurso global que liga uma conexão a VPCs em várias Regiões (exceto China). Não roteia de VPC para VPC.
- Resiliência: máxima (dispositivos separados em mais de 1 local, SLA de 99,99%) ou alta (conexões em locais diferentes, 99,9%). Um Site-to-Site VPN é o backup de baixo custo.
Na prova
"Banda consistente, grandes transferências diárias, sem internet" -> Direct Connect. "Precisa para agora" é VPN, porque uma conexão nova leva tempo para ser provisionada. "Link privado e criptografado" -> DX + VPN IPsec ou MACsec.
Conectividade híbrida
| Opção | Serve quando |
|---|---|
| Site-to-Site VPN | Configuração rápida, criptografada, pela internet, latência variável. |
| Client VPN | Usuários individuais conectando dos seus dispositivos. |
| Direct Connect | Privado, banda e latência consistentes, alto volume. |
| Direct Connect + VPN | Criptografia sobre o DX, ou VPN como caminho de backup do DX. |
Escolha do load balancer
Elastic Load Balancing
Escolha o load balancer pela camada de protocolo e pelo requisito. Alta disponibilidade e health checks estão nas notas de resiliência.
Pontos-chave
- Application Load Balancer: camada 7, HTTP e HTTPS, roteamento por caminho, host e cabeçalhos, alvos em contêineres e Lambda.
- Network Load Balancer: camada 4 (TCP, UDP, TLS, QUIC), milhões de requisições por segundo, um IP fixo por AZ e Elastic IPs opcionais.
- Gateway Load Balancer: camada 3, insere appliances de terceiros (firewalls, IDS) usando GENEVE na porta 6081.
Na prova
"Roteamento por caminho para microsserviços" -> ALB. "IP fixo para allowlist, UDP, vazão extrema" -> NLB. "Frota de firewalls de terceiros no caminho do tráfego" -> Gateway Load Balancer.