1. VPC et sous-réseaux #
Votre réseau privé dans AWS.
Principe #
Un VPC est un réseau isolé dans une région, défini par une plage d'adresses (CIDR, par exemple 10.0.0.0/16). On le découpe en sous-réseaux, chacun dans une seule zone de disponibilité. Un sous-réseau est public si sa table de routage envoie 0.0.0.0/0 vers une Internet Gateway, privé sinon.
Les briques #
| Élément | Rôle |
|---|---|
| Internet Gateway | Accès Internet entrant et sortant des sous-réseaux publics |
| NAT Gateway | Accès sortant pour les sous-réseaux privés (une par AZ pour la haute disponibilité) |
| Table de routage | Où envoyer le trafic selon la destination |
| VPC Endpoint | Accès privé à S3, DynamoDB ou d'autres services sans passer par Internet |
| Peering / Transit Gateway | Relier des VPC (Transit Gateway pour des dizaines de VPC et le réseau d'entreprise) |
2. Filtrage #
Groupes de sécurité et NACL.
Comparaison #
| Groupe de sécurité | NACL | |
|---|---|---|
| S'applique à | Une interface réseau (instance, base, équilibreur) | Un sous-réseau |
| État | Avec état : la réponse est autorisée automatiquement | Sans état : autoriser l'aller et le retour |
| Règles | Autorisations uniquement | Autorisations et refus, évaluées par numéro |
| Usage courant | Filtrage principal, références entre groupes | Garde-fou, blocage d'une plage d'adresses |
Exemple #
aws ec2 create-security-group --group-name app --description "Instances applicatives" --vpc-id vpc-0abc
# n'autoriser que le trafic venant du groupe de l'équilibreur
aws ec2 authorize-security-group-ingress --group-id sg-app --protocol tcp --port 8080 --source-group sg-albBonne Pratique : Référencez des groupes de sécurité plutôt que des adresses IP : la règle suit automatiquement les instances qui vont et viennent.
3. Exposer et diffuser #
DNS, équilibrage et cache.
Services #
- Elastic Load Balancing : ALB (HTTP, routage par chemin et hôte), NLB (TCP/UDP, très faible latence).
- Route 53 : DNS managé, routage par latence, géolocalisation, bascule sur contrôle de santé.
- CloudFront : CDN mondial devant S3 ou un équilibreur, avec TLS et protection AWS WAF.
- VPN site à site ou Direct Connect pour relier le centre de données de l'entreprise.
Vérifier #
aws ec2 describe-route-tables --filters Name=vpc-id,Values=vpc-0abc --output table
aws ec2 describe-security-groups --group-ids sg-app
aws ec2 create-flow-logs --resource-type VPC --resource-ids vpc-0abc --traffic-type REJECT \
--log-destination-type cloud-watch-logs --log-group-name vpc-rejets --deliver-logs-permission-arn <role>