Conectividade privada e híbrida

O tópico anterior fechou a VPC. Este abre caminhos controlados para fora dela, sem passar pela internet pública. São 4 destinos possíveis e cada um tem o serviço dele: um serviço da AWS, outra VPC, outra rede e uma pessoa. A pergunta que organiza tudo aqui é sempre a mesma: quem chama, e onde está o destino. Cada lição termina em modos de falha, porque a skill 5.3.4 do exame cobra diagnóstico de conectividade privada e híbrida, não apenas configuração.

O que este tópico cobre

• Gateway endpoints: a rota com prefix list gerenciada pela AWS, a associação por route table, o longest prefix match e o motivo de eles serem gratuitos e limitados a S3 e DynamoDB
• Interface endpoints: a ENI com endereço IP privado, security groups na interface, DNS privado e o pré-requisito de DNS na VPC, e o risco de montar um endpoint em uma zona só
• Endpoint policies como filtro no cano, combinadas com policies de IAM e bucket policies com condição aws:sourceVpce
• PrivateLink no sentido provedor: endpoint service atrás de um Network Load Balancer, permissões por principal e os estados da conexão
• VPC peering: os 4 passos de configuração, o ciclo de vida das conexões, e os 3 limites que são propriedades do mecanismo (sem roteamento transitivo, sem CIDRs sobrepostos, sem roteamento edge to edge)
• Transit Gateway: attachments, a regra de uma sub-rede por zona de disponibilidade, associação contra propagação, rotas estáticas e blackhole, segmentação isolada e com shared services, e appliance mode
• Site-to-Site VPN: os 3 componentes, os 2 túneis e a assimetria entre eles, estático contra BGP, a métrica TunnelState e as causas comuns de túnel que não sobe
• Direct Connect como fronteira: privado sem ser criptografado, os 3 tipos de virtual interface e quando o cenário pede VPN por cima
• Client VPN: client CIDR imutável, o certificado no ACM que é sempre obrigatório, os 3 tipos de autenticação, split-tunnel e os 2 portões de rota mais authorization rule

Por que isso importa

As questões deste tópico raramente perguntam o que um serviço faz. Elas descrevem uma conexão que falha e oferecem 4 caminhos plausíveis, e a diferença entre eles é uma restrição estrutural: um gateway endpoint que não atende chamador de fora da VPC, um peering que não encaminha adiante, uma rota de Client VPN sem authorization rule. Quem decorou a lista de recursos erra; quem conhece a fronteira acerta de primeira.

No trabalho é a mesma coisa em outro formato. Custo de NAT gateway em tráfego que nunca precisou sair, uma malha de peering que virou dívida de route table, um túnel de VPN rodando sozinho desde a última janela de manutenção. Cada um desses tem uma correção conhecida, e ela começa por saber qual dos 4 caminhos o tráfego deveria estar usando.