Fundamentos de VPC
Sub-redes e route tables, os três gateways que ligam uma VPC à internet, e a fronteira entre security groups e network ACLs que a prova cobra em quase toda questão de rede.
Uma VPC responde 2 perguntas sobre qualquer pacote: este endereço é meu, e se não for, para qual alvo eu entrego? Este tópico monta as duas respostas. Primeiro o planejamento de endereços e as route tables, depois os gateways que levam o tráfego para fora, e por fim os 2 firewalls que decidem se o pacote passa. Cada lição termina em pistas de diagnóstico, porque a skill 5.3 do exame cobra exatamente os mesmos componentes na forma de incidente.
O que este tópico cobre
- Blocos CIDR de VPC: os tamanhos permitidos, os intervalos recusados, e as 3 decisões que você não desfaz depois de criar a VPC
- Os 5 endereços que a AWS reserva em toda sub-rede, e por que dimensionar subtraindo 2 quebra durante um evento de escalabilidade
- A regra de uma sub-rede por Availability Zone e o que ela impõe ao número de sub-redes de um design multi-AZ
- Route tables: associação explícita contra implícita, a rota local, longest prefix match e a prioridade de rota estática sobre propagada
- Internet gateway: os 2 trabalhos dele, e por que uma rota sem endereço público não leva a lugar nenhum
- NAT gateway público e privado, o modo regional, e os limites que chegam disfarçados de bug de aplicação: 55.000 conexões por destino, timeout de 350 segundos, TCP fragmentado descartado
- Egress-only internet gateway e o motivo de IPv6 precisar de um dispositivo diferente
- Security groups contra network ACLs: stateful contra stateless, allow contra allow e deny, todas as regras contra primeira correspondência, e portas efêmeras
Por que isso importa
Redes valem 18% do SOA-C03, e este tópico é a base sobre a qual o resto do domínio se apoia. Endpoints, peering, Transit Gateway, CloudFront e o diagnóstico com flow logs pressupõem que você já sabe ler uma route table e distinguir os 2 firewalls.
No trabalho, o retorno é ainda mais direto. A maioria dos chamados de conectividade na AWS é uma rota faltando, um NAT gateway na zona errada ou uma network ACL liberada em um sentido só. Quem percorre o caminho na ordem certa, rota, gateway, network ACL, security group, fecha esses chamados em minutos.