亞馬遜VPC是混合云拼圖中不可或缺的一部分，它使企業(yè)能夠控制公有云配置，同時又可以安全地連接到私有數(shù)據(jù)中心。

　　安全性和控制歷來都是企業(yè)高管和IT專業(yè)人士在考慮使用公有云服務時的兩大擔憂。而這一問題在網(wǎng)絡方面最嚴重，IT團隊需要在混合云網(wǎng)絡中能夠控制公有云基礎(chǔ)架構(gòu)的配置以及到私有數(shù)據(jù)中心的連接安全性。

[[170722]]

　　這些類型的網(wǎng)絡拓撲結(jié)構(gòu)可以很復雜。在一個多層次的設計中應用分散到各個系統(tǒng)，而在每個應用層中都有不同的安全要求。這意味著，各個系統(tǒng)必須在不同的網(wǎng)段中相互隔離，而這在標準云服務中是不可能的。

　　同樣的，無論有多積極的采用AWS，大部分企業(yè)都將在相當長的一段時間內(nèi)仍然在私有數(shù)據(jù)中心或是托管設施中保留本地的遺留系統(tǒng)。這些系統(tǒng)必須與基于云的資源共享數(shù)據(jù)，而防火墻和路由器的策略則會小心地控制流量。

　　在完全擁抱公有云之前，大多數(shù)企業(yè)需要確保他們可以為云托管的應用建立并控制復雜的網(wǎng)絡。同樣，他們也必須確保敏感業(yè)務信息不會公開的在互聯(lián)網(wǎng)上傳播。正因為如此，亞馬遜創(chuàng)建了亞馬遜虛擬私有云(VPC)，一個提供了設計的靈活性和控制的虛擬私有網(wǎng)絡，能夠在混合云網(wǎng)絡中安全地銜接AWS基礎(chǔ)架構(gòu)和企業(yè)數(shù)據(jù)中心。

　　VPC VS. 私有云

　　亞馬遜VPC基本上賦予了企業(yè)構(gòu)建私有網(wǎng)絡的能力;然而，當與預留實例組合起來時，它便成為一個極為類似私有云的存在。VPC提供了一個獨立的網(wǎng)絡沙箱，給予AWS用戶網(wǎng)絡配置方面的完全控制，包括子網(wǎng)創(chuàng)建和尋址，路由表，網(wǎng)絡網(wǎng)關(guān)和安全設置等。子網(wǎng)自始至終都是私有的，無論他們是否擁有一個網(wǎng)絡地址轉(zhuǎn)換(NAT)和一個可路由地址的公共互聯(lián)網(wǎng)網(wǎng)關(guān)。

　　有了VPC，AWS用戶便獲得了一個虛擬路由器，可以創(chuàng)建多個相互隔離的子網(wǎng)，這些子網(wǎng)能夠運行AWS的資源，如彈性計算云(EC2)，彈性塊存儲和關(guān)系數(shù)據(jù)庫服務。VPC端點允許用戶不必使用NAT和互聯(lián)網(wǎng)網(wǎng)關(guān)就能創(chuàng)建VPC子網(wǎng)和任何AWS產(chǎn)品之間的專用連接。例如，管理員可以在VPC中以更簡單的方式從一個EC2實例訪問簡單存儲服務，只要創(chuàng)建一個VPC端點并指定能夠訪問的bucket，對象和API。

　　亞馬遜VPC提供了比默認的EC2環(huán)境更大的網(wǎng)絡設置控制權(quán)。亞馬遜VPC提供了：

　　為實例分配靜態(tài)的，在停止和重新啟動后仍然保持相同IP的能力。

　　支持每個實例有多個IP地址，包括多個網(wǎng)絡接口。例如，一個實例可以同時存在于多個VPC中。

　　在運行的時候更改實例的安全組成員的能力。

　　每個EC2實例的入站和出站的流量過濾和訪問控制列表的支持。

　　支持EC2專用主機和專用實例。

　　VPC搭配一個虛擬專用網(wǎng)關(guān)就組成了混合云網(wǎng)絡的基礎(chǔ)。類似于互聯(lián)網(wǎng)的網(wǎng)關(guān)，虛擬專用網(wǎng)關(guān)提供了一個公開的可路由IP以及通往外部客戶的路徑，虛擬專用網(wǎng)關(guān)則通過一個IPSec的VPN來連接亞馬遜VPC和遠程數(shù)據(jù)中心。網(wǎng)關(guān)則使用VPN端點連接到VPC虛擬路由器和一個或多個客戶網(wǎng)絡。這些端點可以是虛擬或物理的設備，諸如思科ISR，Juniper SRX、SonicWALL防火墻或是一個Fortinet UTM設備。

　　VPC和私有網(wǎng)絡之間的連接可以是路由表定義的靜態(tài)連接，或使用邊界網(wǎng)關(guān)協(xié)議(BGP)的動態(tài)連接。根據(jù)VPC的文檔，如果使用了“一個BGP設備，你不需要替VPN連接指定靜態(tài)路由，因為設備會使用BGP來廣播路由給虛擬專用網(wǎng)關(guān)。如果你使用的設備不支持BGP，則必須選擇靜態(tài)路由，并替你的網(wǎng)絡輸入應該要傳達給虛擬專用網(wǎng)關(guān)的路由(IP前綴)。”

　　VPC 聯(lián)手AWS Direct Connect

　　VPC是AWS Direct Connect的一個必要補充，它提供了AWS和一個組織內(nèi)部的基礎(chǔ)架構(gòu)之間的私有物理層的網(wǎng)絡連接，無論這個基礎(chǔ)架構(gòu)是駐留在私有數(shù)據(jù)中心或是托管設施中。管理員可以從主流電信運營商現(xiàn)有的多協(xié)議標簽交換WAN來配置Direct Connect連接。

　　從概念上講，VPC加Direct Connect與在公共互聯(lián)網(wǎng)上使用IPSec VPN是一樣的，但企業(yè)會體驗到更好的性能，更快的帶寬(高達10 Gbps)，更低的延遲(通常遠小于10毫秒)，以及更可靠的網(wǎng)絡質(zhì)量。就像使用VPN一樣，Direct Connect連接到AWS的虛擬路由器，經(jīng)由那里，流量可以基于靜態(tài)或動態(tài)路由的策略被發(fā)送到一個或更多的VPC上。

　　其他云競爭者的VPN選項

　　微軟Azure和谷歌云平臺都提供類似的服務，允許企業(yè)IT創(chuàng)建多個私有虛擬子網(wǎng)，支持可配置的路由策略，公共互聯(lián)網(wǎng)網(wǎng)關(guān)，NAT，VPN隧道。類似AWS，Azure和谷歌云平臺也都提供支持BGP的虛擬路由器，能在公有和私有網(wǎng)絡之間做出復雜的動態(tài)路由策略。因此，假設該VPN終端的專用端是一個路由器，而不是一個簡單的VPN網(wǎng)關(guān)設備，這兩個服務會連接任何私有網(wǎng)絡到云中的一個或多個虛擬子網(wǎng)。

　　推薦和用例

　　亞馬遜VPC，或者同等的Azure和谷歌服務，是任何想要在云中部署復雜的，多層次拓撲結(jié)構(gòu)的多應用的組織的要求。VPC搭配一個VPN網(wǎng)絡和直連對于在云應用和本地資源，如數(shù)據(jù)庫，文件存儲或遺留應用，之間建立一個可靠，安全的連接來說是不可或缺的。

　　VPC聯(lián)網(wǎng)概念對任何IT網(wǎng)絡專家來說應該是很熟悉的，所以主要的學習曲線涉及到理解云管理控制臺或命令行界面。將一個遠程的VPC連接到關(guān)鍵任務的企業(yè)網(wǎng)絡，特別是當使用BGP的時候，并不是一個簡單的工作。管理員正式涉足混合云網(wǎng)絡之前，應該學習基礎(chǔ)的知識，不斷測試，并保有足夠的謹慎。