Redes e entrega de conteúdo
Leve o tráfego para onde ele deve ir e descubra por que ele não está chegando: design de VPC, conectividade privada e híbrida, DNS com Route 53, CloudFront e Global Accelerator, serviços de proteção de rede, otimização de custos de rede e diagnóstico sistemático com flow logs e Reachability Analyzer.
Uma instância em uma sub-rede privada dá timeout ao chamar o S3. A aplicação não mudou e o role do IAM está correto, então a requisição morre em algum ponto do caminho: uma rota que falta, um NAT gateway na sub-rede errada, um security group sem regra de saída ou uma endpoint policy que ninguém lembra de ter escrito. Este domínio ensina a construir esse caminho com intenção e a percorrê-lo em ordem quando ele quebra.
Redes valem 18% do SOA-C03, mas a fatia que ocupam nos incidentes reais é maior. Falhas de outros domínios aparecem aqui primeiro: um target group que reporta unhealthy, uma função Lambda que não alcança o banco de dados, uma stack que trava em um recurso sem saída para a internet.
O que este domínio cobre
- Os blocos da VPC: planejamento de CIDR, sub-redes públicas e privadas, e qual route table manda o tráfego para onde
- Internet gateways, NAT gateways e egress-only gateways, incluindo o caso IPv6 e o custo que o NAT adiciona
- Security groups contra network ACLs: stateful e stateless, e qual dos dois o cenário está descrevendo
- Acesso privado com gateway endpoints e interface endpoints, mais PrivateLink para serviços que você ou um parceiro expõe
- Conexão entre redes com VPC peering, Transit Gateway, Site-to-Site VPN e Client VPN
- Hosted zones do Route 53, o Resolver para resolução de nomes híbrida e as políticas de roteamento (weighted, latency, failover, geolocation)
- Distribuições do CloudFront e comportamento de cache, e em quais casos o Global Accelerator entra no lugar
- Auditoria dos serviços de proteção de rede, redução do gasto com transferência de dados e NAT, e diagnóstico com VPC Flow Logs, Reachability Analyzer e métricas de rede do CloudWatch
Por que isso importa
As questões daqui entregam uma conexão que falha e quatro motivos plausíveis para ela. O que resolve é um método em ordem: route table, depois gateway, depois network ACL, depois security group e, por fim, a policy do endpoint ou do serviço. A mesma sequência funciona quando o destino é o S3, um data center on-premises ou outra VPC.
As fronteiras carregam a maior parte dos pontos. Security group contra network ACL, gateway endpoint contra interface endpoint, peering contra Transit Gateway, CloudFront contra Global Accelerator: cada par parece intercambiável até uma restrição do cenário separar os dois.