Descripción de la arquitectura de red de VPC

Amazon VPC le permite definir una red virtual aislada lógicamente dentro de la nube de AWS, que recibe el nombre de nube privada virtual (VPC). Cree VPC separadas para aislar la infraestructura por carga de trabajo o unidad organizativa. Puede configurar sus VPC seleccionando rangos de direcciones IP, configurando el enrutamiento y agregando puertas de enlace de red para conectar sus VPC entre sí, a Internet o a su propia red corporativa. Usted lanza recursos de AWS, como instancias de EC2 o instancias de RDS, en sus VPC.

La siguiente tabla describe las características clave de una red de VPC. Un administrador de red puede utilizar esta guía para describir la arquitectura y la configuración de su red de VPC. Disponer de esta información les permite configurar una red funcionalmente equivalente en las instalaciones o mediante otro proveedor de nube.

Ubicación geográfica

Amazon VPC está disponible en todas las regiones de AWS del mundo. Cada región es un área geográfica independiente. Puede reducir la latencia de la red al crear VPC para sus recursos en regiones cercanas a la mayoría de sus usuarios.

Puede utilizar Amazon EC2 Global View para enumerar las VPC en todas las regiones mediante una interfaz gráfica de usuario (no hay una interfaz de programación equivalente). Con la consola de Amazon VPC, la API de AWS y las interfaces de línea de comandos de AWS, debe enumerar las VPC y los recursos de VPC de cada región de forma individual.

Por qué es importante

Una vez que determine dónde están ubicadas sus VPC, puede decidir si desea configurar una red funcionalmente equivalente en las mismas ubicaciones o en ubicaciones diferentes, según sus necesidades.

Obtención de las VPC de una región mediante la AWS CLI

Utilice el siguiente comando describe-images. Debe ejecutarlo en cada región en la que tenga VPC. El parámetro --query solo incluye los ID de la VPC en la salida. Puede incluir cualquier campos adicionales según sea necesario.

aws ec2 describe-vpcs \
    --region us-east-2 \
    --query "Vpcs[*].VpcId"

Cada región incluye una VPC predeterminada. Si no utiliza las VPC predeterminadas, puede excluirlas de los resultados añadiendo el siguiente filtro.

--filters Name=is-default,Values=false

Subredes

Una subred es un límite de red lógico en una VPC. Al crear una subred, asigna un bloque de direcciones IP. A los recursos que lanza a una subred se les asignan direcciones IP del bloque de direcciones IP de la subred. Las direcciones IP permiten que los recursos se comuniquen entre sí a través de una red local o Internet.

El mapa de recursos de la consola de Amazon VPC proporciona una representación visual de las subredes de la VPC.

Por qué son importantes

Las subredes permiten a los administradores de red implementar límites de seguridad y controlar el tráfico entre los niveles de aplicaciones. Al anotar las direcciones IP de las subredes, puede ayudar a garantizar que los recursos en una red funcionalmente equivalente puedan comunicarse con los mismos clientes o aplicaciones que en su red de VPC.

Descripción de las subredes de una VPC mediante la AWS CLI

Utilice el siguiente comando describe-subnets. El parámetro --filters abarca la búsqueda para describir las subredes de la VPC especificada. El parámetro --query solo incluye los campos especificados en la salida. Puede incluir cualquier campos adicionales según sea necesario.

aws ec2 describe-subnets \
    --filters Name=vpc-id,Values=vpc-1234567890abcdef0 \
    --query Subnets[*].[SubnetId,AvailabilityZoneId,CidrBlock,Ipv6CidrBlockAssociationSet[0].Ipv6CidrBlock] \
    --output table

A continuación, se muestra un ejemplo del resultado. Las columnas son el ID de la subred, el ID de la zona de disponibilidad, el rango de direcciones IPv4 y el primer rango de direcciones IPv6 (si lo hubiera).

---------------------------------------------------------------------------------------
|                                   DescribeSubnets                                   |
+---------------------------+-----------+----------------+----------------------------+
|  subnet-0d2d1b81e0bc9c6d4 |  usw2-az1 |  10.0.144.0/20 |  2600:1f14:1e6e:a003::/64  |
|  subnet-0e01d500780bb7468 |  usw2-az1 |  10.0.16.0/20  |  2600:1f14:1e6e:a001::/64  |
|  subnet-0eb17d85f5dfd33b1 |  usw2-az2 |  10.0.128.0/20 |  2600:1f14:1e6e:a002::/64  |
|  subnet-0e990c67809773b19 |  usw2-az2 |  10.0.0.0/20   |  2600:1f14:1e6e:a000::/64  |
+---------------------------+-----------+----------------+----------------------------+

La conectividad de red

Las opciones de conectividad que ofrece Amazon VPC le permiten crear una red que abarque las VPC de varias cuentas y regiones y redes remotas.

Puede utilizar el mapa de recursos de la consola de Amazon VPC para descubrir si sus VPC utilizan puertas de enlace de Internet, puertas de enlace de Internet de solo salida, puertas de enlace NAT o puntos de conexión de VPC de las puertas de enlace. El mapa de recursos no muestra ninguna puerta de enlace de tránsito, conexión de pares, puerta de enlace privada virtual ni ningún otro tipo de punto de conexión de VPC que esté en uso. Puede obtener la lista completa de puertas de enlace y conexiones de red de una VPC describiéndolas mediante la consola, la API o una interfaz de línea de comando de un tipo a la vez.

Por qué es importante

Una vez que comprenda la conectividad que proporciona su red de VPC, puede asegurarse de que los recursos de una red funcionalmente equivalente puedan comunicarse con los mismos recursos locales y remotos.

Controles de seguridad

Los controles de seguridad proporcionados por Amazon VPC determinan el acceso de red a sus VPC y los recursos desplegados allí.

Por qué es importante

Después de determinar el tráfico entrante permitido para llegar a sus subredes y recursos y el tráfico de salida permitido para dejar sus subredes y recursos, puede planificar las reglas de firewall necesarias para una red funcionalmente equivalente.

Grupos de seguridad

Un grupo de seguridad permite el tráfico entrante y saliente específico a nivel de recursos. Los grupos de seguridad son el mecanismo principal para controlar el acceso a los recursos de su VPC.

Obtención de grupos de seguridad para sus VPC

Utilice el comando describe-security-groups para mostrar los grupos de seguridad de la VPC especificada.

aws ec2 describe-security-groups \
    --filters Name=vpc-id,Values=vpc-1234567890abcdef0 \
    --query SecurityGroups[*].GroupId

Obtención de reglas de entrada para un grupo de seguridad

Utilice el comando describe-security-group-rules para mostrar las reglas del grupo de seguridad especificado, donde IsEgress es false.

aws ec2 describe-security-group-rules \
    --filters Name=group-id,Values=sg-0abcdef1234567890 \
    --query 'SecurityGroupRules[?IsEgress==`false`]'

Obtención de reglas de salida para un grupo de seguridad

Utilice el comando describe-security-group-rules para mostrar las reglas del grupo de seguridad especificado, donde IsEgress es true.

aws ec2 describe-security-group-rules \
    --filters Name=group-id,Values=sg-0abcdef1234567890 \
    --query 'SecurityGroupRules[?IsEgress==`true`]'

ACL de red

Una lista de control de acceso (ACL) de red permite o deniega el tráfico entrante y saliente específico en el nivel de subred. Puede utilizar las ACL de red como defensa en profundidad en caso de que un recurso se implemente sin el grupo de seguridad correcto.

Obtención de las ACL de red para sus subredes

Utilice el comando describe-network-acls para mostrar las ACL de red para la VPC especificada y sus asociaciones de subredes.

aws ec2 describe-network-acls \
    --filters Name=vpc-id,Values=vpc-1234567890abcdef0 \
    --query "NetworkAcls[*].{ID:NetworkAclId,Subnets:Associations[].SubnetId}"

Obtención de las reglas de entrada para una ACL de red

Utilice el comando describe-network-acls para mostrar las reglas de la ACL de red especificada, donde Egress es false.

aws ec2 describe-network-acls \
    --network-acl-ids acl-0abcdef1234567890 \
    --query 'NetworkAcls[*].Entries[?Egress==`false`]'

Obtención de las reglas de salida para una ACL de red

Utilice el comando describe-network-acls para mostrar las reglas de la ACL de red especificada, donde Egress es true.

aws ec2 describe-network-acls \
    --network-acl-ids acl-0abcdef1234567890 \
    --query 'NetworkAcls[*].Entries[?Egress==`true`]'

Administración del tráfico

La administración eficaz del tráfico combina las decisiones de enrutamiento a nivel de red proporcionadas por las tablas de enrutamiento con las estrategias de distribución a nivel de aplicación proporcionadas por el equilibrio de carga.

Por qué es importante

Los administradores de red deben diseñar subredes, enrutamiento, resolución DNS y equilibrador de carga para optimizar el flujo de tráfico, al mismo tiempo que mantienen los límites de seguridad y requisitos de rendimiento. Al observar la configuración de estos componentes en la red de VPC, puede garantizar que los recursos de una red funcionalmente equivalente se comuniquen con los mismos clientes o dispositivos que en la red de VPC.

Tablas de enrutamiento

Las tablas de enrutamiento determinan cómo fluye el tráfico de red a través de los límites de la red, como las subredes, las VPC, las redes en las instalaciones e Internet.

El mapa de recursos de la consola de Amazon VPC proporciona una representación visual de las tablas de enrutamiento de la VPC.

Para describir las tablas de enrutamiento

Use el comando describe-route-tables para describir las tablas de enrutamiento de la VPC especificada y sus asociaciones de subred.

aws ec2 describe-route-tables \
    --filters Name=vpc-id,Values=vpc-1234567890abcdef0 \
    --query "RouteTables[*].{ID:RouteTableId,Subnets:Associations[].SubnetId}"

Obtención de las rutas de una tabla de enrutamiento

Use el comando describe-route-tables para describir las rutas de la tabla de enrutamiento especificada.

aws ec2 describe-route-tables \
    --route-table-ids rtb-02ec01715bEXAMPLE \
    --query RouteTables[*].Routes

Conjunto de opciones de DHCP

La VPC posee un conjunto de opciones de DHCP para configurar diversos ajustes de red. Por ejemplo, los servidores DNS personalizados se pueden configurar para que las instancias EC2 resuelvan los nombres de host internos con la infraestructura de DNS existente. Para obtener más información, consulte Conceptos de conjuntos de opciones de DHCP.

Para describir las opciones de DHCP para la VPC

Use el comando describe-dhcp-options para describir las opciones de DHCP especificadas. El ejemplo también obtiene el ID de las opciones de DHCP para la VPC especificada con el comando describe-vpcs.

aws ec2 describe-dhcp-options \
    --dhcp-options-id "$(aws ec2 describe-vpcs \
        --vpc-id vpc-1234567890abcdef0 \   
        --query Vpcs[].DhcpOptionsId --output text)"

A continuación, se muestra un ejemplo de salida para una VPC que usa las opciones de DHCP que vienen por defecto.

{
    "DhcpOptions": [
        {
            "OwnerId": "415546850671",
            "Tags": [],
            "DhcpOptionsId": "dopt-1234567890abcdef0",
            "DhcpConfigurations": [
                {
                    "Key": "domain-name",
                    "Values": [
                        {
                            "Value": "us-west-2.compute.internal"
                        }
                    ]
                },
                {
                    "Key": "domain-name-servers",
                    "Values": [
                        {
                            "Value": "AmazonProvidedDNS"
                        }
                    ]
                }
            ]
        }
    ]
}

Equilibradores de carga

El equilibrador de carga distribuye el tráfico entrante de los clientes entre varios destinos. Los equilibradores de carga supervisan el estado de los destinos y eliminan automáticamente los que no están en buen estado de la distribución del tráfico, lo que garantiza que solo se utilicen destinos en buen estado. Esto mejora la disponibilidad y el rendimiento de sus aplicaciones para optimizar el uso de los recursos. Para obtener más información, consulte la Guía del usuario de Elastic Load Balancing.

Para describir sus equilibradores de carga

Use el comando describe-load-balancers para mostrar los equilibradores de carga de la VPC especificada.

aws elbv2 describe-load-balancers \
    --query 'LoadBalancers[?VpcId==`vpc-1234567890abcdef0`].LoadBalancerArn'

Recursos relacionados

Los siguientes son servicios o características opcionales que podría estar utilizando en su red de VPC: