SlideShare une entreprise Scribd logo
© 2014 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified, or distributed in whole or in part without the express consent of Amazon.com, Inc.
Evolution des architectures VPC
Pierre Gilot, Solutions Architect AWS
Avertissement :
Faites ceci chez vous!
Toutes ces architectures
sont mises en œuvre par
de vrais clients!
Concevez…
puis epuisez vous à déployer vos infrastructures
Déployez des datacenters virtuels à la vitesse à
laquelle vous les concevez
version
Route Table Elastic Network
Interface
Amazon VPC Router
Internet
Gateway
Customer
Gateway
Virtual
Private
Gateway
VPN
ConnectionSubnet
Elements d’une architecture VPC
Availability Zone A Availability Zone B
Subnet
Availability Zone A
Subnet
Availability Zone B
VPC CIDR: 10.1.0.0 /16
Prévoyez votre plan d’adressage
IP avant de le créer
• Prenez en compte l’expansion régionale d’AWS
• Prenez en compte la connectivité potentielle avec vos
réseaux internes
• Prenez en compte les architectures de subnet
• L’adressage VPC sétend de /16 à /28
• Les CIDR ne peuvent pas être modifiés après création
• Plans d’adressage IP non disjoints = migraine assurée
Public Subnet
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
VPC CIDR: 10.1.0.0 /16
Availability Zone A
Public Subnet
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
Instance A
10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
VPC CIDR: 10.1.0.0 /16
Availability Zone A
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
Instance A
10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
VPC CIDR: 10.1.0.0 /16
.1
.1 .1
.1
Public Subnet
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
Instance A
10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
VPC CIDR: 10.1.0.0 /16
Route Table
Destination Target
10.1.0.0/16 local
Availability Zone A
Laissez la Main Route Table
tranquille!
Availability Zone B
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Private Subnet
Instance A
10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
VPC CIDR: 10.1.0.0 /16
Route Table
Destination Target
10.1.0.0/16 local
10.1.1.0/24 Instance B
Network ACLs vs Security Groups
NACLs
• S’appliquent aux subnets (1
par)
• Stateless
• Allow & Deny (blacklist)
• Priorités des règles
Security groups
• S’appliquent aux ENI
d’instances (jusqu’à 5 par)
• Stateful
• ‘Allow’ seulement (whitelist)
• Règles évaluées globalement
• Possibilité de référencer
d’autres security groups dans
le même VPC
VPC Subnet
Elastic network
interface
Security group
Network ACL
ACLs réseau VPC : Pour quoi faire ?
• Renforcer les stratégies de sécurité
– Exemple:
“Pas de TFTP, NetBIOS ou SMTP en sortie de
ce subnet”
• Garde-fous pour les security groups
d’instance
• Ségrégation de sécurité entre les
équipes réseau et dev
VPC Subnet
Instance
ACLs réseau VPC : Bonnes pratiques
• Utilisez rarement, restez simple
• Evitez les plages de ports éphémères
• Donnez des ordres de priorité larges (pour en intercaler d’autres)
• Utilisez IAM pour autoriser qui pourra modifier ou supprimer vos
ACLs
Cliquer ici peut faire mal!
ACL réseau par défaut :
Créez un groupe d’admin VPC avec IAM
Exemples d’appels d’API a fort impact (High Blast Radius) don’t l’accès
devrait être restreint:
AttachInternetGateway
AssociateRouteTable
CreateRoute
DeleteCustomerGateway
DeleteInternetGateway
DeleteNetworkAcl
DeleteNetworkAclEntry
DeleteRoute
DeleteRouteTable
DeleteDhcpOptions
ReplaceNetworkAclAssociation
DisassociateRouteTable
{Support
Resource
Permissions
Exemple de stratégie IAM Policy pour Admin NACL
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ec2:DeleteNetworkAcl",
"ec2:DeleteNetworkAclEntry"
],
"Resource": "arn:aws:ec2:us-west-2:123456789012:network-acl/*",
"Condition": {
"StringEquals": {
"ec2:ResourceTag/Environment": "prod"
},
"Null": {
"aws:MultiFactorAuthAge": "false"
}
}
}
]
}
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
Instance A
10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
VPC CIDR: 10.1.0.0 /16
Créer des sorties
à votre VPC
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
Instance A
10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
VPC CIDR: 10.1.0.0 /16
Virtual
Private
Gateway
Internet
Gateway
Une seule IGW et une
Seule VGW par VPC
VPN
connection
Customer
data center
Customer
data center
AWS Direct
Connect
Route Table
Destination Target
10.1.0.0/16 local
Internal CIDR VGW
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
Instance A
10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
VPC CIDR: 10.1.0.0 /16
Route
Table
Route Table
Destination Target
10.1.0.0/16 local
0.0.0.0/0 IGW
Façons d’affecter des IP publiques
Adresse Elastic IP (EIP)
• Associée à un compte AWS et non à une instance
• Mapping statique NAT de l’IP publique à l’IP privée
• L’instance ne « voit » pas son EIP associée
• Persiste indépendamment de l’instance
• Peut être assignée alors que l’instance est stoppée ou en
cours d’exécution
• Peut être déplacée, réassignée à d’autres ENIs
Façons d’affecter des IP publiques
Affectation automatique d’IP publique
• Au lancement d’instance dans un subnet de VPC
• L’IP publique est dynamique et peut changer à
l’arrêt/redémarrage de l’instance
• N’est pas comptée parmi les EIP d’un compte
• Uniquement sur les instance avec une seule ENI
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
Instance A
Public: 54.200.129.18
Private: 10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
Route
Table
Internet
Amazon S3 Amazon Dynamo DB
AWS
region
AWS en dehors du VPC
Exemples AWS en dehors du VPC
• Point d’entrée des API AWS API
– Pensez au appels d’API que vous pouvez lancer depuis vos instances à
l’interieur d’un VPC
– Exemples: Amazon EC2, AWS CloudFormation, Auto Scaling, Amazon
SWF, Amazon SQS, Amazon SNS
• Services régionaux
– Amazon S3
– Amazon Dynamo DB
• Software and patch repositories
– Amazon Linux repo allows access only from AWS public IP blocks
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
Instance A
Public: 54.200.129.18
Private: 10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
Route
Table
Internet
Amazon S3
AWS
region
Que se passe-t-il si
L’instance C, dans un
Réseau privé, a besoin
de communiquer en
Dehors du VPC?
Il n’y a pas de route
vers l’IGW ni d’adresse
IP publique.
Amazon Dynamo DB
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
NAT A
Public: 54.200.129.18
Private: 10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
Internet
Amazon S3
AWS
region
Deployez une instance
dont la fonction est :
N etwork
A ddress
T ranslat(or)
Route Table
Destination Target
10.1.0.0/16 local
0.0.0.0/0 NAT
instanc
e
Amazon Dynamo DB
Qu’est-ce qui constitue l’AMI
Amazon Linux NAT ?
$echo 1 > /proc/sys/net/ipv4/ip_forward
$echo 0 > /proc/sys/net/ipv4/conf/eth0/send_redirects
$/sbin/iptables -t nat -A POSTROUTING -o eth0 –s 10.1.0.0/16 -j MASQUERADE
$/sbin/iptables-save
$aws ec2 modify-instance-attributes –instance-id i-xxxxxxxx –source-dest-
check “{”Value”:false}”
Assez peu de choses, en réalité :
1. L’IP forwarding est activé
2. L’IP NAT Masquerading est activé dans les iptables pour
le bloc d’adresses su VPC
3. Source/destination check est désactivé sur l’interface primaire
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
NAT A
Public: 54.200.129.18
Private: 10.1.1.11 /24
Instance C
10.1.3.33 /24
Instance B
10.1.2.22 /24
Instance D
10.1.4.44 /24
Internet
Amazon S3
AWS
region
D’autres subnets
privés pourraient
partager la même route
Et se servir de la NAT
instance
Cependant…
Amazon Dynamo DB
Public Subnet
Availability Zone A
Private Subnet
Public Subnet
Availability Zone B
Private Subnet
NAT A
Public: 54.200.129.18
Private: 10.1.1.11 /24
Instance B
10.1.2.22 /24
Internet
Amazon S3
AWS
region
… vous pourriez
atteindre un goulot
d’étranglement si vos
instances privées
devaient augmenter
ainsi que le trafic NAT
associé.
Amazon Dynamo DB
NAT disponible et évolutif
Les process consommateurs de bande
passante doivent ils nécessairement être
derrière un NAT ?
• Séparez les composants applicatifs en fonction de leur besoins en BP
• Exécutez ces composants depuis les subnets publics
• Utilisez toute la bande passante de vos instances
• L’Auto Scaling vous facilitera la vie
• Conservez quand même votre NAT pour les autres instances
• Cas le plus fréquent :
Flux Multi-Gbps vers Amazon S3
Availability Zone A Availability Zone B
Private Subnet
Internet
Amazon S3 Amazon Dynamo DB
AWS
region
Public Subnet Public Subnet
NAT
Customers
Public load balancer
Web
Servers
• Application de traitement
d’images Image avec nombreux
transferts vers S3
Direct to Amazon S3
Public ELB Subnet
Private Subnet
Public ELB Subnet
Multi-AZ Auto Scaling group
Auto Scaling group
• Le Elastic Load Balancer recoit
les requêtes HTTP/S des
utilisateurs
• L’Auto Scaling affecte des IP
publiques aux nouveaux
serveurs
• Grâce à leurs IP publiques les
serveurs web initient des
connexions vers Amazon S3
• L’instance NAT est toujours
disponible pour les réseaux
privés
Affectation automatique d’IP publiques
grâce à l’Auto Scaling
$aws autoscaling create-launch-configuration --launch-configuration-name hi-bandwidth-
public --image-id ami-xxxxxxxx --instance-type m1.xlarge --associate-public-ip-address
Exemple de launch configuration (nommée “hi-bandwidth-public”):
Availability Zone A
Private Subnet
Availability Zone B
Private Subnet
Internet
Amazon S3
AWS
region
Public Subnet Public Subnet
NAT
• Utilisez l’Auto Scaling pour la
haute disponibilité de votre NAT
• Créez 1 NAT par Availability
Zone
• Chaque table de routage de
chaque subnet pointe sur la
NATde la même zone
• 1 Auto Scaling group par NAT
avec les paramètres min et max
définis à 1
• L’Auto Scaling surveille la santé
et la disponibilité des NATs
• Un script de bootstrap NAT met
à jour les tables de routage
Auto scale NAT
NAT
Amazon Dynamo DB
Disponibilité grâce à l’Auto Scaling
$aws autoscaling create-auto-scaling-group --auto-scaling-group-name ha-
nat-asg --launch-configuration-name ha-nat-launch --min-size 1 --max-size
1 --vpc-zone-identifier subnet-xxxxxxxx
Exemple de HA NAT Auto Scaling group (nommé “ha-nat-asg”):
Exemple de HA NAT User Data :
PRIVATE_SUBNETS="`aws ec2 describe-subnets --query 'Subnets[*].SubnetId’ --filters Name=availability-
zone,Values=$AVAILABILITY_ZONE Name=vpc-id,Values=$VPC_ID Name=state,Values=available
Name=tag:network,Values=private`”
if [ -z "$PRIVATE_SUBNETS" ]; then
die "No private subnets found to modify for HA NAT."
else log "Modifying Route Tables for following private subnets: $PRIVATE_SUBNETS"
fi
for subnet in $PRIVATE_SUBNETS; do
ROUTE_TABLE_ID=`aws ec2 describe-route-tables --query 'RouteTables[*].RouteTableId’ 
--filters Name=association.subnet-id,Values=$subnet`;
if [ "$ROUTE_TABLE_ID" = "$MAIN_RT" ]; then
log "$subnet is associated with the VPC Main Route Table. HA NAT script will NOT edit Main Route
Table.”
elif [ -z "$ROUTE_TABLE_ID" ]; then
log "$subnet is not associated with a Route Table. Skipping this subnet."
else
aws ec2 create-route --route-table-id $ROUTE_TABLE_ID --destination-cidr-block 0.0.0.0/0 
--instance-id $INSTANCE_ID &&
log "$ROUTE_TABLE_ID associated with $subnet modified to point default route to $INSTANCE_ID."
if [ $? -ne 0 ] ; then
aws ec2 replace-route --route-table-id $ROUTE_TABLE_ID --destination-cidr-block 0.0.0.0/0 
--instance-id $INSTANCE_ID
fi
fi
done
Taggez Vite, Taggez Souvent!
• Les stratégies de Tagging doivent faire partie de vos conceptions
• Code project, centre de coût, environnement, version, business unit
• Taggez les ressources dès leur création
• Les Tags sont utiles pour gérer les permissions
• Les Tags sont utiles pour la facturation AWS
Rôle IAM EC2 pour Instance NAT HA
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ec2:DescribeInstances",
"ec2:ModifyInstanceAttribute",
"ec2:DescribeSubnets",
"ec2:DescribeRouteTables",
"ec2:CreateRoute",
"ec2:ReplaceRoute"
],
"Resource": "*"
}
]
}
Automatiser la Haute Disponibilité des
NAT avec les User Data EC2
Latest version of the script:
https://github.com/ralex-aws/vpc
Et si vos architectures exigent des
bandes passantes NAT élevées ?
• Appliquez le pattern « 1 HA NAT per Availability Zone »
• Redimensionnez votre instance NAT vers un type d’instance avec
une classification réseau plus élevée
• Vérifiez méticuleusement vos métriques réseau
m1.small
Low
m1.large
Moderate
m1.xlarge, c3.2xlarge
High
t1.micro
Very Low
Profitez du “Enhanced Networking”
• Disponible uniquement en VPC
• Plus de PPS, faible Latence, faible Jitter
• Supporté par les instances de type C3, I2, R3
• Inclus dans Amazon Linux, mais supporté par plusieurs systèmes
(y compris Windows)
http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/enhanced-networking.html
Un VPC, Deux VPC
AWS
region
Approche multi-VPCs
Public-facing
web app
Internal
company
app
What’s next?
VPN
connection
Customer
data center
Cas d’usage les plus fréquents :
• Isolation d’applications
• Isolation des périmètres d’audit
• Séparation des niveaux de risque
• Isolation prod/hors-prod
• Isolation des environnements multi-tenant
• Alignement avec les Business Units de l’entreprise
Contrôle aux frontières…
AWS
region
Application interne déployée dans un VPC
Public-facing
web app
Internal
company
app
VPN
connection
Customer
data center
Availability Zone A
Private Subnet Private Subnet
AWS
region
Virtual
Private
Gateway
VPN
connection
Customer
data center
Intranet
App
Intranet
App
Availability Zone B
Internal customers
Route Table
Destination Target
10.1.0.0/16 local
Corp CIDR VGW
Application interne déployée dans un VPC
Mais… votre application stocke ses données là!
Amazon S3
Availability Zone A
Private Subnet Private Subnet
AWS
region
Virtual
Private
Gateway
VPN
connection
Customer
data center
Intranet
App
Intranet
App
Availability Zone B
Et vous ne souhaitez pas vraiment faire ça :
Amazon
S3
Internet
Customer border router
Customer VPN
Internet
Contrôlez l’accès à l’IGW avec du proxy
• Déployez une couche de séparation proxy entre votre application et
l’IGW
• Restreignez les accès HTTP/S sortants uniquement aux destinations
approvées, comme Amazon S3
• Supprimez toute route vers l’IGW pour les subnets privés
• Contrôlez l’accès au proxy avec des security groups
• Configurez les paramètres de proxy sur les systèmes d’exploitation des
instances
Availability Zone A
Private Subnet Private Subnet
AWS region
VPN
connection
Customer
data center
Intranet
App
Intranet
App
Availability Zone B
Internal customers
Contrôle aux frontières
Internal
Load
balancer
Elastic Load Balancing
Private Subnet
Elastic Load Balancing
Private Subnet
ELB Multi AZ Auto Scaling group
• Deployez un etage de Elastic
Load Balancing reparti sur vos
Availability Zones
• Intégrez toutes les instances
autorisées à « sortir » dans un
security group
• Référencez ce security group
comme unique source autorisée
à accéder l’étage de load
balancing
Placez vos Elastic Load Balancers
dans leurs propres Subnets
• Elastic Load Balancing c’est de l’Amazon EC2 dans vos
subnets
• Elastic Load Balancing consomme vos adresses privées
• Subnets isolés = meilleure maîtrise
• Distinguez bien l’étage de load balancing des autres étages
applicatifs
Availability Zone A
Private Subnet(s) Private Subnet(s)
AWS region
VPN
connection
Customer
data center
Intranet
App
Intranet
App
Availability Zone B
Internal customers
Contrôle aux frontières
Internal
Load
balancer
Elastic Load Balancing
Private Subnet
Elastic Load Balancing
Private Subnet
• Etage de proxy Squid déployé
entre l’IGW et l’étage de load
balancing.
Proxy Public Subnet Proxy Public Subnet
Amazon
S3
HTTP/S
Multi AZ Auto Scaling group
• Seuls les subnets proxy sont
routés vers l’IGW.
• Le security group des proxy ne
permet l’accès qu’à partir de
l’étage de load balancers.
• Les proxy restreignent les URLs
autorisées. Dans notre cas,
s3.amazonaws.com est
autorisée.
• Les ACLs réseau de sortie
forcent le protocole HTTP/S
uniquement.
Exemple de configuration Squid.conf :
# CIDR AND Destination Domain based Allow
# CIDR Subnet blocks for Internal ELBs
acl int_elb_cidrs src 10.1.3.0/24 10.1.4.0/24
# Destination domain for target S3 bucket
acl s3_v2_endpoints dstdomain $bucket_name.s3.amazonaws.com
# Squid does AND on both ACLs for allow match
http_access allow int_elb_cidrs s3_v2_endpoints
# Deny everything else
http_access deny all
HTTP://AWS.AMAZON.COM/ARTICLES/5995712515781075
AWS region
Public-facing
web app
Internal
company
app
What’s next?
VPN
connection
Customer data center
AWS region
Public-facing
web app
Internal
company
app #1
HA pair VPN
endpoints
Internal
company
app #2
Internal
company
app #3
Internal
company
app #4
Customer data center
Customer gateways (CGW):
• 1 par tunnel VPN
• 1 IP publique par CGW
• AWS fournit 2 terminaisons
de tunnel par region
Public-facing
web app
Internal
company
app #2
HA pair VPN
endpointsCustomer data center
Internal
company
app #3
Internal
company
app #4
Internal
company
app #1
Internal
company
Dev
Internal
company
QA
AWS region
BackupAD, DNS Monitoring
Logging
AWS
region
Public-facing
web app
Internal
company
app #1
HA pair VPN
endpoints
Customer data center
L’option VPN en étoile…
Internal
company
app #2
Internal
company
app #3
Internal
company
app #4
Services
VPC
• Des instances Amazon EC2
pour le VPN vers la virtual
private gateway centrale
• Pour la Haute Dispo, deux
terminaisons VPN Amazon EC2
par site
• Un VPC de contrôle contient les
services communs à toutes les
applications et VPCs
• Protocole de routage
dynamique (BGP, OSPF) entre
les sites et le VPC central.
VPC Peering
10.1.0.0/16
10.0.0.0/16
• VPCs de la même Region
Peer
Request
Peer
Accept
• Entre comptes AWS
• Plans d’adressage IP disjoints
• Un seul entre deux VPCs
10.1.0.0/16
10.0.0.0/16 10.0.0.0/16
✔
10.1.0.0/16
10.0.0.0/16
Route Table
Destination Target
10.1.0.0/16 local
10.0.0.0/16 PCX-1
Route Table
Destination Target
10.0.0.0/16 local
10.1.0.0/16 PCX-1
PCX-1
• Ni IGW ni VGW requis
A
B • Pas de SPoF
• Pas de goulots d’étranglements
de bande passante
10.0.0.0/16 10.0.0.0/16
PCX-1 PCX-2
Subnet 1
10.1.1.0/24
Subnet 2
10.1.2.0/24
10.1.0.0/16
Route Table Subnet 1
Destination Target
10.1.0.0/16 local
10.0.0.0/16 PCX-1
Route Table Subnet 2
Destination Target
10.1.0.0/16 local
10.0.0.0/16 PCX-2
A
B C
10.0.0.0/16 10.0.0.0/16
PCX-1 PCX-2
Subnet 1
10.1.1.0/24
Subnet 2
10.1.2.0/24
10.1.0.0/16
Route Table Subnet 1
Destination Target
10.1.0.0/16 local
10.0.1.11/32 PCX-1
Route Table Subnet 2
Destination Target
10.1.0.0/16 local
10.0.0.0/16 PCX-2
A
B CSubnet 3
Route Table Subnet 3
Destination Target
10.0.0.0/16 local
10.1.1.0/24 PCX-1
10.0.1.11
Route Table Subnet 1
Destination Target
10.1.0.0/16 local
10.0.0.0/16 PCX-1
10.1.0.0/16
10.0.0.0/16 10.0.0.0/16
10.3.0.0/16
172.16.0.0/16
192.168.0.0/16
10.2.0.0/16
172.17.0.0/16
CA
10.1.0.0/16
10.0.0.0/16 10.0.0.0/16
10.3.0.0/16
172.16.0.0/16
192.168.0.0/16
10.2.0.0/16
172.17.0.0/16
company data center
10.10.0.0/16
10.1.0.0/16
10.0.0.0/16 10.0.0.0/16
10.3.0.0/16
172.16.0.0/16
192.168.0.0/16
10.2.0.0/16
172.17.0.0/16
company data center
10.10.0.0/16
10.0.0.0/16 10.0.0.0/16
172.16.0.0/16
192.168.0.0/16
172.17.0.0/16
10.1.0.0/16 10.2.0.0/1610.3.0.0/16
10.0.0.0/16
10.0.0.0/16
10.3.0.0/16
172.16.0.0/16
192.168.1.0/24
10.2.0.0/16
172.17.0.0/16
AWS
region
Public-facing
web app
Internal
company
app #1
HA pair VPN
endpoints
company data center
Vue 360…
Internal
company
app #2
Internal
company
app #3
Internal
company
app #4
Services
VPC
• Service d’infrastructure
communs placés dans un VPC.
Internal
company
Dev
Internal
company
QA
AD, DNS
Monitoring
Logging
• Peering 1-1 = Isolation des Apps
• Les Security Groups et les
ACLs réseau s’appliquent
• Security Groups sont quand
même rattachés à un seul VPC.
Utilisez IAM pour définir et
contrôler vos operations VPC
Les « EC2 Run Resource Permissions » permettent :
• Quelle AMI peut être instanciée
• Quel VPC ou subnet peut être manipulé
• Quels Security Groups doivent être mis en place
• Quels VPC autorisent le Peering
http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_IAM.html
Pour des exemples de stratégies IAM :
AWS
region
Public-facing
web app
HA pair VPN
endpoints
Customer data center
AWS
region
Prod QA Dev
Garder le contact
Customer
data center
Point de présence
AWS Direct Connect
La Private Virtual Interface (PVI) de
AWS Direct Connect relie la VGW
du VPC
• 1 PVI par VPC
• Les Tags VLAN 802.1Q isolent le
trafic dans le lien AWS Direct Connect
Connexion fibre privée
Multiple de
50 – 500 Mbps,
1 Gbps or 10 Gbps
Simplifier l’accès avec AWS Direct Connect
Public-facing
web app
AWS
region
Prod QA Dev
Un point sur AWS Direct Connect…
• Connexions privées, dédiées vers AWS
• Interfaces privées (VPC) ou publiques vers AWS
• Données sortantes moins chères que sur internet (données entrantes
toujours gratuites)
• Performances réseau constantes en comparaison d’internet
• Au moins un point de présence par région AWS
• Vous pouvez même redonder vos connexions
• Plusieurs comptes AWS peuvent partager une même connexion
Evolution des architectures VPC
• Concepts d’architecture VPC
• NAT fiable et évolutif
• Un VPC, Deux VPC, …
• Contrôle des frontières
• VPC Peering
• Garder le contact
© 2014 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified, or distributed in whole or in part without the express consent of Amazon.com, Inc.
Témoignage eFront
Laurent Delhomme, Olivier Paillon
Qui sommes nous
• Olivier Paillon
– Fondateur de
Waterton Consulting
– 17+ ans d’expèrience
dans l’infrastructure et
la transformation de SI
• Laurent Delhomme
– DSI adjoint
– 17+ ans d’expèrience
dans l’infrastructure et
la transformation de SI
– Accompagne la
croissance d’eFront
depuis 7 ans
La Mission d’eFront
• Editeur de logiciel dans le monde de la finance
• Supporter l’industrie des investissements
alternative
• Du front office au back office
• Aide à la décision d’investissement
eFront en quelques lignes
15
20
27
37
55
64
2008 2009 2010 2011 2012 2013
(Million Euro €)
30%
CAGR.
Profitable.
• 700+ clients dans 40+ pays
• 500+ employés dans 20 bureaux
• Reconnu comme in leader
Européen :
• Ernst & Young survey
“preferred vendor for
European Fund Admin”
Une présence globale
Beijing
Montreal Boston
London
Jersey
Paris
Cologn
e
Dubai
Hong
Kong
Singapore
Dallas
Abu Dhabi
San Francisco
Mumba
i
Tamp
a
Chicago Luxembour
g
eFront office
Client presence Sydney
New York
Belgrade
La stratégie datacenter d’eFront
• Impératif : consolidation des datacenters
• Couverture mondiale
• Haut niveau de certification
• Multiplateforme / ouvert
• Transition par hybridation
• Time to market
Le cas des VLAN / l’objectif isolation
• L’isolation par vlan est incontournable
dans nos datacenters
… mais non disponible dans une VPC
• Un modèle matriciel ACL Network +
Security Group couvre ce besoin
Un cas concret chez eFront
Web
server
Database
server
Load
balancer
Web
server
Database
server
Load
balancer
SG-ELB
Allow TCP 443
from 0.0.0.0/0
SG-WSRV
Allow TCP 443
from SG-ELB
SG-DBSRV
Allow 1433 from
SG-WSRV
WebApp1
WebApp2
Subnet webapp1 / CIDR 10.40.100.0/24
Subnet webapp2 / CIDR 10.40.102.0/24
VPC CIDR: 10.40.0.0 /16
Subnet webapp1 / CIDR 10.40.100.0/24
Les + de la solution
• Absence de gateway interne
– Pas de limitation du modèle en étoile
• Limite des interfaces
• SPOF et complexité de la gestion des changements
– Montée en charge linéaire
– Sauvegarde linéaire
• Lecture matricielle
• Auditable
Les enseignements
• Nouvelles opportunités
• Accompagnement au changement
– Nouvelles pratiques
© 2014 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified, or distributed in whole or in part without the express consent of Amazon.com, Inc.
Evolution des architectures VPC
Pierre Gilot.
13 Mai 2014
Merci !

Contenu connexe

Tendances

Track 1 - Atelier 3 - Implémentation de cloud d'entreprise par Edifixio
Track 1 - Atelier 3 - Implémentation de cloud d'entreprise par EdifixioTrack 1 - Atelier 3 - Implémentation de cloud d'entreprise par Edifixio
Track 1 - Atelier 3 - Implémentation de cloud d'entreprise par Edifixio
Amazon Web Services
 
Track 1 - Atelier 1 - Votre première semaine avec Amazon EC2
Track 1 - Atelier 1 - Votre première semaine avec Amazon EC2Track 1 - Atelier 1 - Votre première semaine avec Amazon EC2
Track 1 - Atelier 1 - Votre première semaine avec Amazon EC2
Amazon Web Services
 
AWS Paris Summit 2014 - T3 - Du temps réel au data warehouse : capturez et an...
AWS Paris Summit 2014 - T3 - Du temps réel au data warehouse : capturez et an...AWS Paris Summit 2014 - T3 - Du temps réel au data warehouse : capturez et an...
AWS Paris Summit 2014 - T3 - Du temps réel au data warehouse : capturez et an...
Amazon Web Services
 
Construire des Applications Web Performantes - Rule Book Webinar
Construire des Applications Web Performantes - Rule Book WebinarConstruire des Applications Web Performantes - Rule Book Webinar
Construire des Applications Web Performantes - Rule Book Webinar
Amazon Web Services
 
AWS Summit Paris - Track 2 - Session 2 - Préparez-vous à l'imprévu
AWS Summit Paris - Track 2 - Session 2 - Préparez-vous à l'imprévuAWS Summit Paris - Track 2 - Session 2 - Préparez-vous à l'imprévu
AWS Summit Paris - Track 2 - Session 2 - Préparez-vous à l'imprévu
Amazon Web Services
 
Track 2- Atelier 4 - Architecturez pour de la haute disponibilité
Track 2- Atelier 4 - Architecturez pour de la haute disponibilitéTrack 2- Atelier 4 - Architecturez pour de la haute disponibilité
Track 2- Atelier 4 - Architecturez pour de la haute disponibilité
Amazon Web Services
 
6 stratégies pour migrer vos données dans AWS
6 stratégies pour migrer vos données dans AWS6 stratégies pour migrer vos données dans AWS
6 stratégies pour migrer vos données dans AWS
Julien SIMON
 
Présentation d'Amazon Web Services - Human Talks Grenoble
Présentation d'Amazon Web Services - Human Talks GrenoblePrésentation d'Amazon Web Services - Human Talks Grenoble
Présentation d'Amazon Web Services - Human Talks Grenoble
Bastien Libersa
 
Bonnes pratiques pour la gestion des opérations de sécurité AWS
Bonnes pratiques pour la gestion des opérations de sécurité AWSBonnes pratiques pour la gestion des opérations de sécurité AWS
Bonnes pratiques pour la gestion des opérations de sécurité AWS
Julien SIMON
 
AWS Summit Paris - Track 4 - Session 3 - Créez votre SaaS avec AWS
AWS Summit Paris - Track 4 - Session 3 - Créez votre SaaS avec AWSAWS Summit Paris - Track 4 - Session 3 - Créez votre SaaS avec AWS
AWS Summit Paris - Track 4 - Session 3 - Créez votre SaaS avec AWS
Amazon Web Services
 
Un Voyage dans le Cloud: Les Meilleures Pratiques Pour Démarrer Dans Le Cloud...
Un Voyage dans le Cloud: Les Meilleures Pratiques Pour Démarrer Dans Le Cloud...Un Voyage dans le Cloud: Les Meilleures Pratiques Pour Démarrer Dans Le Cloud...
Un Voyage dans le Cloud: Les Meilleures Pratiques Pour Démarrer Dans Le Cloud...
Amazon Web Services
 
4D Summit Europe 2016 - Conférence d'A&C Consulting : "Stocker des données su...
4D Summit Europe 2016 - Conférence d'A&C Consulting : "Stocker des données su...4D Summit Europe 2016 - Conférence d'A&C Consulting : "Stocker des données su...
4D Summit Europe 2016 - Conférence d'A&C Consulting : "Stocker des données su...
Nathalie Richomme
 
Amazon Web Service par Bertrand Lehurt - 11 mars 2014
Amazon Web Service par Bertrand Lehurt - 11 mars 2014Amazon Web Service par Bertrand Lehurt - 11 mars 2014
Amazon Web Service par Bertrand Lehurt - 11 mars 2014
SOAT
 
AWS Paris Summit 2014 - T4 - Etre partenaire AWS : Construisez votre business...
AWS Paris Summit 2014 - T4 - Etre partenaire AWS : Construisez votre business...AWS Paris Summit 2014 - T4 - Etre partenaire AWS : Construisez votre business...
AWS Paris Summit 2014 - T4 - Etre partenaire AWS : Construisez votre business...
Amazon Web Services
 
Un Voyage dans le Cloud: Qu'est-ce que AWS?
Un Voyage dans le Cloud: Qu'est-ce que AWS?Un Voyage dans le Cloud: Qu'est-ce que AWS?
Un Voyage dans le Cloud: Qu'est-ce que AWS?
Amazon Web Services
 
Track 1 - Atelier 2 - Distribution complète d’un site avec le cdn Amazon Clo...
Track 1 - Atelier 2 - Distribution complète d’un site avec le cdn Amazon Clo...Track 1 - Atelier 2 - Distribution complète d’un site avec le cdn Amazon Clo...
Track 1 - Atelier 2 - Distribution complète d’un site avec le cdn Amazon Clo...
Amazon Web Services
 
Track 3 - Atelier 1 - Optimisation des coûts avec AWS
Track 3 - Atelier 1 - Optimisation des coûts avec AWSTrack 3 - Atelier 1 - Optimisation des coûts avec AWS
Track 3 - Atelier 1 - Optimisation des coûts avec AWS
Amazon Web Services
 
Deep Dive: Virtual Private Cloud
Deep Dive: Virtual Private CloudDeep Dive: Virtual Private Cloud
Deep Dive: Virtual Private Cloud
Julien SIMON
 
AWS Summit Paris - Track 3 - Session 1 - IoT Partie 1 - Connectez vos objets ...
AWS Summit Paris - Track 3 - Session 1 - IoT Partie 1 - Connectez vos objets ...AWS Summit Paris - Track 3 - Session 1 - IoT Partie 1 - Connectez vos objets ...
AWS Summit Paris - Track 3 - Session 1 - IoT Partie 1 - Connectez vos objets ...
Amazon Web Services
 
Chiffrez vos données avec AWS KMS et avec AWS CloudHSM
Chiffrez vos données avec AWS KMS et avec AWS CloudHSMChiffrez vos données avec AWS KMS et avec AWS CloudHSM
Chiffrez vos données avec AWS KMS et avec AWS CloudHSM
Julien SIMON
 

Tendances (20)

Track 1 - Atelier 3 - Implémentation de cloud d'entreprise par Edifixio
Track 1 - Atelier 3 - Implémentation de cloud d'entreprise par EdifixioTrack 1 - Atelier 3 - Implémentation de cloud d'entreprise par Edifixio
Track 1 - Atelier 3 - Implémentation de cloud d'entreprise par Edifixio
 
Track 1 - Atelier 1 - Votre première semaine avec Amazon EC2
Track 1 - Atelier 1 - Votre première semaine avec Amazon EC2Track 1 - Atelier 1 - Votre première semaine avec Amazon EC2
Track 1 - Atelier 1 - Votre première semaine avec Amazon EC2
 
AWS Paris Summit 2014 - T3 - Du temps réel au data warehouse : capturez et an...
AWS Paris Summit 2014 - T3 - Du temps réel au data warehouse : capturez et an...AWS Paris Summit 2014 - T3 - Du temps réel au data warehouse : capturez et an...
AWS Paris Summit 2014 - T3 - Du temps réel au data warehouse : capturez et an...
 
Construire des Applications Web Performantes - Rule Book Webinar
Construire des Applications Web Performantes - Rule Book WebinarConstruire des Applications Web Performantes - Rule Book Webinar
Construire des Applications Web Performantes - Rule Book Webinar
 
AWS Summit Paris - Track 2 - Session 2 - Préparez-vous à l'imprévu
AWS Summit Paris - Track 2 - Session 2 - Préparez-vous à l'imprévuAWS Summit Paris - Track 2 - Session 2 - Préparez-vous à l'imprévu
AWS Summit Paris - Track 2 - Session 2 - Préparez-vous à l'imprévu
 
Track 2- Atelier 4 - Architecturez pour de la haute disponibilité
Track 2- Atelier 4 - Architecturez pour de la haute disponibilitéTrack 2- Atelier 4 - Architecturez pour de la haute disponibilité
Track 2- Atelier 4 - Architecturez pour de la haute disponibilité
 
6 stratégies pour migrer vos données dans AWS
6 stratégies pour migrer vos données dans AWS6 stratégies pour migrer vos données dans AWS
6 stratégies pour migrer vos données dans AWS
 
Présentation d'Amazon Web Services - Human Talks Grenoble
Présentation d'Amazon Web Services - Human Talks GrenoblePrésentation d'Amazon Web Services - Human Talks Grenoble
Présentation d'Amazon Web Services - Human Talks Grenoble
 
Bonnes pratiques pour la gestion des opérations de sécurité AWS
Bonnes pratiques pour la gestion des opérations de sécurité AWSBonnes pratiques pour la gestion des opérations de sécurité AWS
Bonnes pratiques pour la gestion des opérations de sécurité AWS
 
AWS Summit Paris - Track 4 - Session 3 - Créez votre SaaS avec AWS
AWS Summit Paris - Track 4 - Session 3 - Créez votre SaaS avec AWSAWS Summit Paris - Track 4 - Session 3 - Créez votre SaaS avec AWS
AWS Summit Paris - Track 4 - Session 3 - Créez votre SaaS avec AWS
 
Un Voyage dans le Cloud: Les Meilleures Pratiques Pour Démarrer Dans Le Cloud...
Un Voyage dans le Cloud: Les Meilleures Pratiques Pour Démarrer Dans Le Cloud...Un Voyage dans le Cloud: Les Meilleures Pratiques Pour Démarrer Dans Le Cloud...
Un Voyage dans le Cloud: Les Meilleures Pratiques Pour Démarrer Dans Le Cloud...
 
4D Summit Europe 2016 - Conférence d'A&C Consulting : "Stocker des données su...
4D Summit Europe 2016 - Conférence d'A&C Consulting : "Stocker des données su...4D Summit Europe 2016 - Conférence d'A&C Consulting : "Stocker des données su...
4D Summit Europe 2016 - Conférence d'A&C Consulting : "Stocker des données su...
 
Amazon Web Service par Bertrand Lehurt - 11 mars 2014
Amazon Web Service par Bertrand Lehurt - 11 mars 2014Amazon Web Service par Bertrand Lehurt - 11 mars 2014
Amazon Web Service par Bertrand Lehurt - 11 mars 2014
 
AWS Paris Summit 2014 - T4 - Etre partenaire AWS : Construisez votre business...
AWS Paris Summit 2014 - T4 - Etre partenaire AWS : Construisez votre business...AWS Paris Summit 2014 - T4 - Etre partenaire AWS : Construisez votre business...
AWS Paris Summit 2014 - T4 - Etre partenaire AWS : Construisez votre business...
 
Un Voyage dans le Cloud: Qu'est-ce que AWS?
Un Voyage dans le Cloud: Qu'est-ce que AWS?Un Voyage dans le Cloud: Qu'est-ce que AWS?
Un Voyage dans le Cloud: Qu'est-ce que AWS?
 
Track 1 - Atelier 2 - Distribution complète d’un site avec le cdn Amazon Clo...
Track 1 - Atelier 2 - Distribution complète d’un site avec le cdn Amazon Clo...Track 1 - Atelier 2 - Distribution complète d’un site avec le cdn Amazon Clo...
Track 1 - Atelier 2 - Distribution complète d’un site avec le cdn Amazon Clo...
 
Track 3 - Atelier 1 - Optimisation des coûts avec AWS
Track 3 - Atelier 1 - Optimisation des coûts avec AWSTrack 3 - Atelier 1 - Optimisation des coûts avec AWS
Track 3 - Atelier 1 - Optimisation des coûts avec AWS
 
Deep Dive: Virtual Private Cloud
Deep Dive: Virtual Private CloudDeep Dive: Virtual Private Cloud
Deep Dive: Virtual Private Cloud
 
AWS Summit Paris - Track 3 - Session 1 - IoT Partie 1 - Connectez vos objets ...
AWS Summit Paris - Track 3 - Session 1 - IoT Partie 1 - Connectez vos objets ...AWS Summit Paris - Track 3 - Session 1 - IoT Partie 1 - Connectez vos objets ...
AWS Summit Paris - Track 3 - Session 1 - IoT Partie 1 - Connectez vos objets ...
 
Chiffrez vos données avec AWS KMS et avec AWS CloudHSM
Chiffrez vos données avec AWS KMS et avec AWS CloudHSMChiffrez vos données avec AWS KMS et avec AWS CloudHSM
Chiffrez vos données avec AWS KMS et avec AWS CloudHSM
 

En vedette

Une migration sur AWS, une migration orientée produit
Une migration sur AWS, une migration orientée produitUne migration sur AWS, une migration orientée produit
Une migration sur AWS, une migration orientée produit
RomainKuzniak
 
AWS Summit Paris - Track 1 - Session 2 - Designez vos architectures pour plus...
AWS Summit Paris - Track 1 - Session 2 - Designez vos architectures pour plus...AWS Summit Paris - Track 1 - Session 2 - Designez vos architectures pour plus...
AWS Summit Paris - Track 1 - Session 2 - Designez vos architectures pour plus...
Amazon Web Services
 
AWS Enterprise Day | Paris - Morning Session
AWS Enterprise Day | Paris - Morning SessionAWS Enterprise Day | Paris - Morning Session
AWS Enterprise Day | Paris - Morning Session
Amazon Web Services
 
BigData en France par Excelerate Systems
BigData en France par Excelerate Systems BigData en France par Excelerate Systems
BigData en France par Excelerate Systems
Excelerate Systems
 
Encoding & streaming sur le cloud AWS
Encoding & streaming sur le cloud AWSEncoding & streaming sur le cloud AWS
Encoding & streaming sur le cloud AWS
Amazon Web Services
 
Méthodologie de gestion des tâches dans les projets web
Méthodologie de gestion des tâches dans les projets webMéthodologie de gestion des tâches dans les projets web
Méthodologie de gestion des tâches dans les projets web
RomainKuzniak
 
Big Data : Une Introduction
Big Data : Une IntroductionBig Data : Une Introduction
Big Data : Une Introduction
Nicolas OGÉ
 
MOOC bâtiment durable
MOOC bâtiment durableMOOC bâtiment durable
MOOC bâtiment durable
François Duport
 
AWS Summit Paris - Track 1 - Session 1 - Boostez votre activité l'impact de ...
AWS Summit Paris - Track 1 - Session 1 - Boostez votre activité  l'impact de ...AWS Summit Paris - Track 1 - Session 1 - Boostez votre activité  l'impact de ...
AWS Summit Paris - Track 1 - Session 1 - Boostez votre activité l'impact de ...
Amazon Web Services
 
Applications of Rental Power Systems (www.powersystemsplus.com)
Applications of Rental Power Systems (www.powersystemsplus.com)Applications of Rental Power Systems (www.powersystemsplus.com)
Applications of Rental Power Systems (www.powersystemsplus.com)
Steven Tyler
 
Débuter sur le cloud AWS
Débuter sur le cloud AWSDébuter sur le cloud AWS
Débuter sur le cloud AWS
Amazon Web Services
 
AWS Elemental Services for Video Processing and Delivery
AWS Elemental Services for Video Processing and DeliveryAWS Elemental Services for Video Processing and Delivery
AWS Elemental Services for Video Processing and Delivery
Amazon Web Services
 
ACCELERATING OTT DELIVERY AND MODERNIZING MEDIA LOGISTICS WITH CLOUD BASED VI...
ACCELERATING OTT DELIVERY AND MODERNIZING MEDIA LOGISTICS WITH CLOUD BASED VI...ACCELERATING OTT DELIVERY AND MODERNIZING MEDIA LOGISTICS WITH CLOUD BASED VI...
ACCELERATING OTT DELIVERY AND MODERNIZING MEDIA LOGISTICS WITH CLOUD BASED VI...
Amazon Web Services
 
Introduction of 3D printing
Introduction of 3D printingIntroduction of 3D printing
Introduction of 3D printing
Noa Izumi
 

En vedette (15)

Une migration sur AWS, une migration orientée produit
Une migration sur AWS, une migration orientée produitUne migration sur AWS, une migration orientée produit
Une migration sur AWS, une migration orientée produit
 
AWS Summit Paris - Track 1 - Session 2 - Designez vos architectures pour plus...
AWS Summit Paris - Track 1 - Session 2 - Designez vos architectures pour plus...AWS Summit Paris - Track 1 - Session 2 - Designez vos architectures pour plus...
AWS Summit Paris - Track 1 - Session 2 - Designez vos architectures pour plus...
 
AWS Enterprise Day | Paris - Morning Session
AWS Enterprise Day | Paris - Morning SessionAWS Enterprise Day | Paris - Morning Session
AWS Enterprise Day | Paris - Morning Session
 
BigData en France par Excelerate Systems
BigData en France par Excelerate Systems BigData en France par Excelerate Systems
BigData en France par Excelerate Systems
 
Encoding & streaming sur le cloud AWS
Encoding & streaming sur le cloud AWSEncoding & streaming sur le cloud AWS
Encoding & streaming sur le cloud AWS
 
Méthodologie de gestion des tâches dans les projets web
Méthodologie de gestion des tâches dans les projets webMéthodologie de gestion des tâches dans les projets web
Méthodologie de gestion des tâches dans les projets web
 
Big Data : Une Introduction
Big Data : Une IntroductionBig Data : Une Introduction
Big Data : Une Introduction
 
MOOC bâtiment durable
MOOC bâtiment durableMOOC bâtiment durable
MOOC bâtiment durable
 
AWS Summit Paris - Track 1 - Session 1 - Boostez votre activité l'impact de ...
AWS Summit Paris - Track 1 - Session 1 - Boostez votre activité  l'impact de ...AWS Summit Paris - Track 1 - Session 1 - Boostez votre activité  l'impact de ...
AWS Summit Paris - Track 1 - Session 1 - Boostez votre activité l'impact de ...
 
Applications of Rental Power Systems (www.powersystemsplus.com)
Applications of Rental Power Systems (www.powersystemsplus.com)Applications of Rental Power Systems (www.powersystemsplus.com)
Applications of Rental Power Systems (www.powersystemsplus.com)
 
Débuter sur le cloud AWS
Débuter sur le cloud AWSDébuter sur le cloud AWS
Débuter sur le cloud AWS
 
AWS Elemental Services for Video Processing and Delivery
AWS Elemental Services for Video Processing and DeliveryAWS Elemental Services for Video Processing and Delivery
AWS Elemental Services for Video Processing and Delivery
 
ACCELERATING OTT DELIVERY AND MODERNIZING MEDIA LOGISTICS WITH CLOUD BASED VI...
ACCELERATING OTT DELIVERY AND MODERNIZING MEDIA LOGISTICS WITH CLOUD BASED VI...ACCELERATING OTT DELIVERY AND MODERNIZING MEDIA LOGISTICS WITH CLOUD BASED VI...
ACCELERATING OTT DELIVERY AND MODERNIZING MEDIA LOGISTICS WITH CLOUD BASED VI...
 
Présentation IES Llobregat
Présentation IES LlobregatPrésentation IES Llobregat
Présentation IES Llobregat
 
Introduction of 3D printing
Introduction of 3D printingIntroduction of 3D printing
Introduction of 3D printing
 

Similaire à AWS Paris Summit 2014 - T3 - Evolution des architectures VPC

Devenez l’Élu et maitrisez la Matrice AWS 🦸
Devenez l’Élu et maitrisez la Matrice AWS 🦸Devenez l’Élu et maitrisez la Matrice AWS 🦸
Devenez l’Élu et maitrisez la Matrice AWS 🦸
Membré Guillaume
 
Amazon web services fonctionnement de quelques services
Amazon web services   fonctionnement de quelques servicesAmazon web services   fonctionnement de quelques services
Amazon web services fonctionnement de quelques services
Pape Moussa SONKO
 
Construire Des Applications Cloud Natives - SymfonyLive Paris 2016
Construire Des Applications Cloud Natives - SymfonyLive Paris 2016Construire Des Applications Cloud Natives - SymfonyLive Paris 2016
Construire Des Applications Cloud Natives - SymfonyLive Paris 2016
Ori Pekelman
 
Virt lightning-montreal-linux-meetup-2020-02
Virt lightning-montreal-linux-meetup-2020-02Virt lightning-montreal-linux-meetup-2020-02
Virt lightning-montreal-linux-meetup-2020-02
Gonéri Le Bouder
 
Bonnes pratiques anti-DDOS
Bonnes pratiques anti-DDOSBonnes pratiques anti-DDOS
Bonnes pratiques anti-DDOS
Julien SIMON
 
AWS Summit Paris - Track 2 - Session 1 - Construisez votre datacenter en 5 mi...
AWS Summit Paris - Track 2 - Session 1 - Construisez votre datacenter en 5 mi...AWS Summit Paris - Track 2 - Session 1 - Construisez votre datacenter en 5 mi...
AWS Summit Paris - Track 2 - Session 1 - Construisez votre datacenter en 5 mi...
Amazon Web Services
 
Instances multiples : les pièges à éviter (Liferay User Group France)
Instances multiples : les pièges à éviter (Liferay User Group France)Instances multiples : les pièges à éviter (Liferay User Group France)
Instances multiples : les pièges à éviter (Liferay User Group France)
Sébastien Le Marchand
 
Petit manuel du fermier dans Azure : monter une infrastructure SharePoint 2013
Petit manuel du fermier dans Azure : monter une infrastructure SharePoint 2013 Petit manuel du fermier dans Azure : monter une infrastructure SharePoint 2013
Petit manuel du fermier dans Azure : monter une infrastructure SharePoint 2013
Microsoft Technet France
 
Openstack framework Iaas
Openstack framework IaasOpenstack framework Iaas
Openstack framework Iaas
Noureddine BOUYAHIAOUI
 
Orchestrating Docker in production - TIAD Camp Docker
Orchestrating Docker in production - TIAD Camp DockerOrchestrating Docker in production - TIAD Camp Docker
Orchestrating Docker in production - TIAD Camp Docker
The Incredible Automation Day
 
Le Cloud IaaS & PaaS, OpenStack réseau et sécurité
Le Cloud IaaS & PaaS, OpenStack réseau et sécuritéLe Cloud IaaS & PaaS, OpenStack réseau et sécurité
Le Cloud IaaS & PaaS, OpenStack réseau et sécurité
Noureddine BOUYAHIAOUI
 
Eucalyptus
EucalyptusEucalyptus
Eucalyptus
marwa baich
 
JFTL-2018-Comment-mettre-en-place-des-plateformes-de-test-grâce-à-Docker.pdf
JFTL-2018-Comment-mettre-en-place-des-plateformes-de-test-grâce-à-Docker.pdfJFTL-2018-Comment-mettre-en-place-des-plateformes-de-test-grâce-à-Docker.pdf
JFTL-2018-Comment-mettre-en-place-des-plateformes-de-test-grâce-à-Docker.pdf
qsdqsd4
 
Windows Azure, plongée en eaux profondes (300)
Windows Azure, plongée en eaux profondes (300)Windows Azure, plongée en eaux profondes (300)
Windows Azure, plongée en eaux profondes (300)
Microsoft Décideurs IT
 
Retour d'expérience Minio
Retour d'expérience MinioRetour d'expérience Minio
Retour d'expérience Minio
Sébastien BLAISOT
 
Azugfr 2703 - service fabric
Azugfr   2703 - service fabricAzugfr   2703 - service fabric
Azugfr 2703 - service fabric
Wilfried Woivre
 
Codedarmor 2012 - 03/04 - Android, What else?
Codedarmor 2012 - 03/04 - Android, What else?Codedarmor 2012 - 03/04 - Android, What else?
Codedarmor 2012 - 03/04 - Android, What else?
codedarmor
 
Track 3 - Atelier 2 - Etendez votre datacenter avec AWS
Track 3 - Atelier 2 - Etendez votre datacenter avec AWSTrack 3 - Atelier 2 - Etendez votre datacenter avec AWS
Track 3 - Atelier 2 - Etendez votre datacenter avec AWS
Amazon Web Services
 
Fiche CloudStack by Ikoula
Fiche CloudStack by IkoulaFiche CloudStack by Ikoula
Fiche CloudStack by Ikoula
Ikoula
 
Implentation d'une solution Cloud IAAS
Implentation d'une solution Cloud IAASImplentation d'une solution Cloud IAAS
Implentation d'une solution Cloud IAAS
mohamed hadrich
 

Similaire à AWS Paris Summit 2014 - T3 - Evolution des architectures VPC (20)

Devenez l’Élu et maitrisez la Matrice AWS 🦸
Devenez l’Élu et maitrisez la Matrice AWS 🦸Devenez l’Élu et maitrisez la Matrice AWS 🦸
Devenez l’Élu et maitrisez la Matrice AWS 🦸
 
Amazon web services fonctionnement de quelques services
Amazon web services   fonctionnement de quelques servicesAmazon web services   fonctionnement de quelques services
Amazon web services fonctionnement de quelques services
 
Construire Des Applications Cloud Natives - SymfonyLive Paris 2016
Construire Des Applications Cloud Natives - SymfonyLive Paris 2016Construire Des Applications Cloud Natives - SymfonyLive Paris 2016
Construire Des Applications Cloud Natives - SymfonyLive Paris 2016
 
Virt lightning-montreal-linux-meetup-2020-02
Virt lightning-montreal-linux-meetup-2020-02Virt lightning-montreal-linux-meetup-2020-02
Virt lightning-montreal-linux-meetup-2020-02
 
Bonnes pratiques anti-DDOS
Bonnes pratiques anti-DDOSBonnes pratiques anti-DDOS
Bonnes pratiques anti-DDOS
 
AWS Summit Paris - Track 2 - Session 1 - Construisez votre datacenter en 5 mi...
AWS Summit Paris - Track 2 - Session 1 - Construisez votre datacenter en 5 mi...AWS Summit Paris - Track 2 - Session 1 - Construisez votre datacenter en 5 mi...
AWS Summit Paris - Track 2 - Session 1 - Construisez votre datacenter en 5 mi...
 
Instances multiples : les pièges à éviter (Liferay User Group France)
Instances multiples : les pièges à éviter (Liferay User Group France)Instances multiples : les pièges à éviter (Liferay User Group France)
Instances multiples : les pièges à éviter (Liferay User Group France)
 
Petit manuel du fermier dans Azure : monter une infrastructure SharePoint 2013
Petit manuel du fermier dans Azure : monter une infrastructure SharePoint 2013 Petit manuel du fermier dans Azure : monter une infrastructure SharePoint 2013
Petit manuel du fermier dans Azure : monter une infrastructure SharePoint 2013
 
Openstack framework Iaas
Openstack framework IaasOpenstack framework Iaas
Openstack framework Iaas
 
Orchestrating Docker in production - TIAD Camp Docker
Orchestrating Docker in production - TIAD Camp DockerOrchestrating Docker in production - TIAD Camp Docker
Orchestrating Docker in production - TIAD Camp Docker
 
Le Cloud IaaS & PaaS, OpenStack réseau et sécurité
Le Cloud IaaS & PaaS, OpenStack réseau et sécuritéLe Cloud IaaS & PaaS, OpenStack réseau et sécurité
Le Cloud IaaS & PaaS, OpenStack réseau et sécurité
 
Eucalyptus
EucalyptusEucalyptus
Eucalyptus
 
JFTL-2018-Comment-mettre-en-place-des-plateformes-de-test-grâce-à-Docker.pdf
JFTL-2018-Comment-mettre-en-place-des-plateformes-de-test-grâce-à-Docker.pdfJFTL-2018-Comment-mettre-en-place-des-plateformes-de-test-grâce-à-Docker.pdf
JFTL-2018-Comment-mettre-en-place-des-plateformes-de-test-grâce-à-Docker.pdf
 
Windows Azure, plongée en eaux profondes (300)
Windows Azure, plongée en eaux profondes (300)Windows Azure, plongée en eaux profondes (300)
Windows Azure, plongée en eaux profondes (300)
 
Retour d'expérience Minio
Retour d'expérience MinioRetour d'expérience Minio
Retour d'expérience Minio
 
Azugfr 2703 - service fabric
Azugfr   2703 - service fabricAzugfr   2703 - service fabric
Azugfr 2703 - service fabric
 
Codedarmor 2012 - 03/04 - Android, What else?
Codedarmor 2012 - 03/04 - Android, What else?Codedarmor 2012 - 03/04 - Android, What else?
Codedarmor 2012 - 03/04 - Android, What else?
 
Track 3 - Atelier 2 - Etendez votre datacenter avec AWS
Track 3 - Atelier 2 - Etendez votre datacenter avec AWSTrack 3 - Atelier 2 - Etendez votre datacenter avec AWS
Track 3 - Atelier 2 - Etendez votre datacenter avec AWS
 
Fiche CloudStack by Ikoula
Fiche CloudStack by IkoulaFiche CloudStack by Ikoula
Fiche CloudStack by Ikoula
 
Implentation d'une solution Cloud IAAS
Implentation d'une solution Cloud IAASImplentation d'une solution Cloud IAAS
Implentation d'une solution Cloud IAAS
 

Plus de Amazon Web Services

Come costruire servizi di Forecasting sfruttando algoritmi di ML e deep learn...
Come costruire servizi di Forecasting sfruttando algoritmi di ML e deep learn...Come costruire servizi di Forecasting sfruttando algoritmi di ML e deep learn...
Come costruire servizi di Forecasting sfruttando algoritmi di ML e deep learn...
Amazon Web Services
 
Big Data per le Startup: come creare applicazioni Big Data in modalità Server...
Big Data per le Startup: come creare applicazioni Big Data in modalità Server...Big Data per le Startup: come creare applicazioni Big Data in modalità Server...
Big Data per le Startup: come creare applicazioni Big Data in modalità Server...
Amazon Web Services
 
Esegui pod serverless con Amazon EKS e AWS Fargate
Esegui pod serverless con Amazon EKS e AWS FargateEsegui pod serverless con Amazon EKS e AWS Fargate
Esegui pod serverless con Amazon EKS e AWS Fargate
Amazon Web Services
 
Costruire Applicazioni Moderne con AWS
Costruire Applicazioni Moderne con AWSCostruire Applicazioni Moderne con AWS
Costruire Applicazioni Moderne con AWS
Amazon Web Services
 
Come spendere fino al 90% in meno con i container e le istanze spot
Come spendere fino al 90% in meno con i container e le istanze spot Come spendere fino al 90% in meno con i container e le istanze spot
Come spendere fino al 90% in meno con i container e le istanze spot
Amazon Web Services
 
Open banking as a service
Open banking as a serviceOpen banking as a service
Open banking as a service
Amazon Web Services
 
Rendi unica l’offerta della tua startup sul mercato con i servizi Machine Lea...
Rendi unica l’offerta della tua startup sul mercato con i servizi Machine Lea...Rendi unica l’offerta della tua startup sul mercato con i servizi Machine Lea...
Rendi unica l’offerta della tua startup sul mercato con i servizi Machine Lea...
Amazon Web Services
 
OpsWorks Configuration Management: automatizza la gestione e i deployment del...
OpsWorks Configuration Management: automatizza la gestione e i deployment del...OpsWorks Configuration Management: automatizza la gestione e i deployment del...
OpsWorks Configuration Management: automatizza la gestione e i deployment del...
Amazon Web Services
 
Microsoft Active Directory su AWS per supportare i tuoi Windows Workloads
Microsoft Active Directory su AWS per supportare i tuoi Windows WorkloadsMicrosoft Active Directory su AWS per supportare i tuoi Windows Workloads
Microsoft Active Directory su AWS per supportare i tuoi Windows Workloads
Amazon Web Services
 
Computer Vision con AWS
Computer Vision con AWSComputer Vision con AWS
Computer Vision con AWS
Amazon Web Services
 
Database Oracle e VMware Cloud on AWS i miti da sfatare
Database Oracle e VMware Cloud on AWS i miti da sfatareDatabase Oracle e VMware Cloud on AWS i miti da sfatare
Database Oracle e VMware Cloud on AWS i miti da sfatare
Amazon Web Services
 
Crea la tua prima serverless ledger-based app con QLDB e NodeJS
Crea la tua prima serverless ledger-based app con QLDB e NodeJSCrea la tua prima serverless ledger-based app con QLDB e NodeJS
Crea la tua prima serverless ledger-based app con QLDB e NodeJS
Amazon Web Services
 
API moderne real-time per applicazioni mobili e web
API moderne real-time per applicazioni mobili e webAPI moderne real-time per applicazioni mobili e web
API moderne real-time per applicazioni mobili e web
Amazon Web Services
 
Database Oracle e VMware Cloud™ on AWS: i miti da sfatare
Database Oracle e VMware Cloud™ on AWS: i miti da sfatareDatabase Oracle e VMware Cloud™ on AWS: i miti da sfatare
Database Oracle e VMware Cloud™ on AWS: i miti da sfatare
Amazon Web Services
 
Tools for building your MVP on AWS
Tools for building your MVP on AWSTools for building your MVP on AWS
Tools for building your MVP on AWS
Amazon Web Services
 
How to Build a Winning Pitch Deck
How to Build a Winning Pitch DeckHow to Build a Winning Pitch Deck
How to Build a Winning Pitch Deck
Amazon Web Services
 
Building a web application without servers
Building a web application without serversBuilding a web application without servers
Building a web application without servers
Amazon Web Services
 
Fundraising Essentials
Fundraising EssentialsFundraising Essentials
Fundraising Essentials
Amazon Web Services
 
AWS_HK_StartupDay_Building Interactive websites while automating for efficien...
AWS_HK_StartupDay_Building Interactive websites while automating for efficien...AWS_HK_StartupDay_Building Interactive websites while automating for efficien...
AWS_HK_StartupDay_Building Interactive websites while automating for efficien...
Amazon Web Services
 
Introduzione a Amazon Elastic Container Service
Introduzione a Amazon Elastic Container ServiceIntroduzione a Amazon Elastic Container Service
Introduzione a Amazon Elastic Container Service
Amazon Web Services
 

Plus de Amazon Web Services (20)

Come costruire servizi di Forecasting sfruttando algoritmi di ML e deep learn...
Come costruire servizi di Forecasting sfruttando algoritmi di ML e deep learn...Come costruire servizi di Forecasting sfruttando algoritmi di ML e deep learn...
Come costruire servizi di Forecasting sfruttando algoritmi di ML e deep learn...
 
Big Data per le Startup: come creare applicazioni Big Data in modalità Server...
Big Data per le Startup: come creare applicazioni Big Data in modalità Server...Big Data per le Startup: come creare applicazioni Big Data in modalità Server...
Big Data per le Startup: come creare applicazioni Big Data in modalità Server...
 
Esegui pod serverless con Amazon EKS e AWS Fargate
Esegui pod serverless con Amazon EKS e AWS FargateEsegui pod serverless con Amazon EKS e AWS Fargate
Esegui pod serverless con Amazon EKS e AWS Fargate
 
Costruire Applicazioni Moderne con AWS
Costruire Applicazioni Moderne con AWSCostruire Applicazioni Moderne con AWS
Costruire Applicazioni Moderne con AWS
 
Come spendere fino al 90% in meno con i container e le istanze spot
Come spendere fino al 90% in meno con i container e le istanze spot Come spendere fino al 90% in meno con i container e le istanze spot
Come spendere fino al 90% in meno con i container e le istanze spot
 
Open banking as a service
Open banking as a serviceOpen banking as a service
Open banking as a service
 
Rendi unica l’offerta della tua startup sul mercato con i servizi Machine Lea...
Rendi unica l’offerta della tua startup sul mercato con i servizi Machine Lea...Rendi unica l’offerta della tua startup sul mercato con i servizi Machine Lea...
Rendi unica l’offerta della tua startup sul mercato con i servizi Machine Lea...
 
OpsWorks Configuration Management: automatizza la gestione e i deployment del...
OpsWorks Configuration Management: automatizza la gestione e i deployment del...OpsWorks Configuration Management: automatizza la gestione e i deployment del...
OpsWorks Configuration Management: automatizza la gestione e i deployment del...
 
Microsoft Active Directory su AWS per supportare i tuoi Windows Workloads
Microsoft Active Directory su AWS per supportare i tuoi Windows WorkloadsMicrosoft Active Directory su AWS per supportare i tuoi Windows Workloads
Microsoft Active Directory su AWS per supportare i tuoi Windows Workloads
 
Computer Vision con AWS
Computer Vision con AWSComputer Vision con AWS
Computer Vision con AWS
 
Database Oracle e VMware Cloud on AWS i miti da sfatare
Database Oracle e VMware Cloud on AWS i miti da sfatareDatabase Oracle e VMware Cloud on AWS i miti da sfatare
Database Oracle e VMware Cloud on AWS i miti da sfatare
 
Crea la tua prima serverless ledger-based app con QLDB e NodeJS
Crea la tua prima serverless ledger-based app con QLDB e NodeJSCrea la tua prima serverless ledger-based app con QLDB e NodeJS
Crea la tua prima serverless ledger-based app con QLDB e NodeJS
 
API moderne real-time per applicazioni mobili e web
API moderne real-time per applicazioni mobili e webAPI moderne real-time per applicazioni mobili e web
API moderne real-time per applicazioni mobili e web
 
Database Oracle e VMware Cloud™ on AWS: i miti da sfatare
Database Oracle e VMware Cloud™ on AWS: i miti da sfatareDatabase Oracle e VMware Cloud™ on AWS: i miti da sfatare
Database Oracle e VMware Cloud™ on AWS: i miti da sfatare
 
Tools for building your MVP on AWS
Tools for building your MVP on AWSTools for building your MVP on AWS
Tools for building your MVP on AWS
 
How to Build a Winning Pitch Deck
How to Build a Winning Pitch DeckHow to Build a Winning Pitch Deck
How to Build a Winning Pitch Deck
 
Building a web application without servers
Building a web application without serversBuilding a web application without servers
Building a web application without servers
 
Fundraising Essentials
Fundraising EssentialsFundraising Essentials
Fundraising Essentials
 
AWS_HK_StartupDay_Building Interactive websites while automating for efficien...
AWS_HK_StartupDay_Building Interactive websites while automating for efficien...AWS_HK_StartupDay_Building Interactive websites while automating for efficien...
AWS_HK_StartupDay_Building Interactive websites while automating for efficien...
 
Introduzione a Amazon Elastic Container Service
Introduzione a Amazon Elastic Container ServiceIntroduzione a Amazon Elastic Container Service
Introduzione a Amazon Elastic Container Service
 

AWS Paris Summit 2014 - T3 - Evolution des architectures VPC

  • 1. © 2014 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified, or distributed in whole or in part without the express consent of Amazon.com, Inc. Evolution des architectures VPC Pierre Gilot, Solutions Architect AWS
  • 2. Avertissement : Faites ceci chez vous! Toutes ces architectures sont mises en œuvre par de vrais clients!
  • 3. Concevez… puis epuisez vous à déployer vos infrastructures Déployez des datacenters virtuels à la vitesse à laquelle vous les concevez version
  • 4. Route Table Elastic Network Interface Amazon VPC Router Internet Gateway Customer Gateway Virtual Private Gateway VPN ConnectionSubnet Elements d’une architecture VPC
  • 5. Availability Zone A Availability Zone B
  • 6. Subnet Availability Zone A Subnet Availability Zone B VPC CIDR: 10.1.0.0 /16
  • 7. Prévoyez votre plan d’adressage IP avant de le créer • Prenez en compte l’expansion régionale d’AWS • Prenez en compte la connectivité potentielle avec vos réseaux internes • Prenez en compte les architectures de subnet • L’adressage VPC sétend de /16 à /28 • Les CIDR ne peuvent pas être modifiés après création • Plans d’adressage IP non disjoints = migraine assurée
  • 8. Public Subnet Private Subnet Public Subnet Availability Zone B Private Subnet VPC CIDR: 10.1.0.0 /16 Availability Zone A
  • 9. Public Subnet Private Subnet Public Subnet Availability Zone B Private Subnet Instance A 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 VPC CIDR: 10.1.0.0 /16 Availability Zone A
  • 10. Public Subnet Availability Zone A Private Subnet Public Subnet Availability Zone B Private Subnet Instance A 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 VPC CIDR: 10.1.0.0 /16 .1 .1 .1 .1
  • 11. Public Subnet Private Subnet Public Subnet Availability Zone B Private Subnet Instance A 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 VPC CIDR: 10.1.0.0 /16 Route Table Destination Target 10.1.0.0/16 local Availability Zone A
  • 12. Laissez la Main Route Table tranquille!
  • 13. Availability Zone B Public Subnet Availability Zone A Private Subnet Public Subnet Private Subnet Instance A 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 VPC CIDR: 10.1.0.0 /16 Route Table Destination Target 10.1.0.0/16 local 10.1.1.0/24 Instance B
  • 14. Network ACLs vs Security Groups NACLs • S’appliquent aux subnets (1 par) • Stateless • Allow & Deny (blacklist) • Priorités des règles Security groups • S’appliquent aux ENI d’instances (jusqu’à 5 par) • Stateful • ‘Allow’ seulement (whitelist) • Règles évaluées globalement • Possibilité de référencer d’autres security groups dans le même VPC VPC Subnet Elastic network interface Security group Network ACL
  • 15. ACLs réseau VPC : Pour quoi faire ? • Renforcer les stratégies de sécurité – Exemple: “Pas de TFTP, NetBIOS ou SMTP en sortie de ce subnet” • Garde-fous pour les security groups d’instance • Ségrégation de sécurité entre les équipes réseau et dev VPC Subnet Instance
  • 16. ACLs réseau VPC : Bonnes pratiques • Utilisez rarement, restez simple • Evitez les plages de ports éphémères • Donnez des ordres de priorité larges (pour en intercaler d’autres) • Utilisez IAM pour autoriser qui pourra modifier ou supprimer vos ACLs Cliquer ici peut faire mal! ACL réseau par défaut :
  • 17. Créez un groupe d’admin VPC avec IAM Exemples d’appels d’API a fort impact (High Blast Radius) don’t l’accès devrait être restreint: AttachInternetGateway AssociateRouteTable CreateRoute DeleteCustomerGateway DeleteInternetGateway DeleteNetworkAcl DeleteNetworkAclEntry DeleteRoute DeleteRouteTable DeleteDhcpOptions ReplaceNetworkAclAssociation DisassociateRouteTable {Support Resource Permissions
  • 18. Exemple de stratégie IAM Policy pour Admin NACL { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DeleteNetworkAcl", "ec2:DeleteNetworkAclEntry" ], "Resource": "arn:aws:ec2:us-west-2:123456789012:network-acl/*", "Condition": { "StringEquals": { "ec2:ResourceTag/Environment": "prod" }, "Null": { "aws:MultiFactorAuthAge": "false" } } } ] }
  • 19. Public Subnet Availability Zone A Private Subnet Public Subnet Availability Zone B Private Subnet Instance A 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 VPC CIDR: 10.1.0.0 /16 Créer des sorties à votre VPC
  • 20. Public Subnet Availability Zone A Private Subnet Public Subnet Availability Zone B Private Subnet Instance A 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 VPC CIDR: 10.1.0.0 /16 Virtual Private Gateway Internet Gateway Une seule IGW et une Seule VGW par VPC VPN connection Customer data center Customer data center AWS Direct Connect Route Table Destination Target 10.1.0.0/16 local Internal CIDR VGW
  • 21. Public Subnet Availability Zone A Private Subnet Public Subnet Availability Zone B Private Subnet Instance A 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 VPC CIDR: 10.1.0.0 /16 Route Table Route Table Destination Target 10.1.0.0/16 local 0.0.0.0/0 IGW
  • 22. Façons d’affecter des IP publiques Adresse Elastic IP (EIP) • Associée à un compte AWS et non à une instance • Mapping statique NAT de l’IP publique à l’IP privée • L’instance ne « voit » pas son EIP associée • Persiste indépendamment de l’instance • Peut être assignée alors que l’instance est stoppée ou en cours d’exécution • Peut être déplacée, réassignée à d’autres ENIs
  • 23. Façons d’affecter des IP publiques Affectation automatique d’IP publique • Au lancement d’instance dans un subnet de VPC • L’IP publique est dynamique et peut changer à l’arrêt/redémarrage de l’instance • N’est pas comptée parmi les EIP d’un compte • Uniquement sur les instance avec une seule ENI
  • 24. Public Subnet Availability Zone A Private Subnet Public Subnet Availability Zone B Private Subnet Instance A Public: 54.200.129.18 Private: 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 Route Table Internet Amazon S3 Amazon Dynamo DB AWS region AWS en dehors du VPC
  • 25. Exemples AWS en dehors du VPC • Point d’entrée des API AWS API – Pensez au appels d’API que vous pouvez lancer depuis vos instances à l’interieur d’un VPC – Exemples: Amazon EC2, AWS CloudFormation, Auto Scaling, Amazon SWF, Amazon SQS, Amazon SNS • Services régionaux – Amazon S3 – Amazon Dynamo DB • Software and patch repositories – Amazon Linux repo allows access only from AWS public IP blocks
  • 26. Public Subnet Availability Zone A Private Subnet Public Subnet Availability Zone B Private Subnet Instance A Public: 54.200.129.18 Private: 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 Route Table Internet Amazon S3 AWS region Que se passe-t-il si L’instance C, dans un Réseau privé, a besoin de communiquer en Dehors du VPC? Il n’y a pas de route vers l’IGW ni d’adresse IP publique. Amazon Dynamo DB
  • 27. Public Subnet Availability Zone A Private Subnet Public Subnet Availability Zone B Private Subnet NAT A Public: 54.200.129.18 Private: 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 Internet Amazon S3 AWS region Deployez une instance dont la fonction est : N etwork A ddress T ranslat(or) Route Table Destination Target 10.1.0.0/16 local 0.0.0.0/0 NAT instanc e Amazon Dynamo DB
  • 28. Qu’est-ce qui constitue l’AMI Amazon Linux NAT ? $echo 1 > /proc/sys/net/ipv4/ip_forward $echo 0 > /proc/sys/net/ipv4/conf/eth0/send_redirects $/sbin/iptables -t nat -A POSTROUTING -o eth0 –s 10.1.0.0/16 -j MASQUERADE $/sbin/iptables-save $aws ec2 modify-instance-attributes –instance-id i-xxxxxxxx –source-dest- check “{”Value”:false}” Assez peu de choses, en réalité : 1. L’IP forwarding est activé 2. L’IP NAT Masquerading est activé dans les iptables pour le bloc d’adresses su VPC 3. Source/destination check est désactivé sur l’interface primaire
  • 29. Public Subnet Availability Zone A Private Subnet Public Subnet Availability Zone B Private Subnet NAT A Public: 54.200.129.18 Private: 10.1.1.11 /24 Instance C 10.1.3.33 /24 Instance B 10.1.2.22 /24 Instance D 10.1.4.44 /24 Internet Amazon S3 AWS region D’autres subnets privés pourraient partager la même route Et se servir de la NAT instance Cependant… Amazon Dynamo DB
  • 30. Public Subnet Availability Zone A Private Subnet Public Subnet Availability Zone B Private Subnet NAT A Public: 54.200.129.18 Private: 10.1.1.11 /24 Instance B 10.1.2.22 /24 Internet Amazon S3 AWS region … vous pourriez atteindre un goulot d’étranglement si vos instances privées devaient augmenter ainsi que le trafic NAT associé. Amazon Dynamo DB
  • 31. NAT disponible et évolutif
  • 32. Les process consommateurs de bande passante doivent ils nécessairement être derrière un NAT ? • Séparez les composants applicatifs en fonction de leur besoins en BP • Exécutez ces composants depuis les subnets publics • Utilisez toute la bande passante de vos instances • L’Auto Scaling vous facilitera la vie • Conservez quand même votre NAT pour les autres instances • Cas le plus fréquent : Flux Multi-Gbps vers Amazon S3
  • 33. Availability Zone A Availability Zone B Private Subnet Internet Amazon S3 Amazon Dynamo DB AWS region Public Subnet Public Subnet NAT Customers Public load balancer Web Servers • Application de traitement d’images Image avec nombreux transferts vers S3 Direct to Amazon S3 Public ELB Subnet Private Subnet Public ELB Subnet Multi-AZ Auto Scaling group Auto Scaling group • Le Elastic Load Balancer recoit les requêtes HTTP/S des utilisateurs • L’Auto Scaling affecte des IP publiques aux nouveaux serveurs • Grâce à leurs IP publiques les serveurs web initient des connexions vers Amazon S3 • L’instance NAT est toujours disponible pour les réseaux privés
  • 34. Affectation automatique d’IP publiques grâce à l’Auto Scaling $aws autoscaling create-launch-configuration --launch-configuration-name hi-bandwidth- public --image-id ami-xxxxxxxx --instance-type m1.xlarge --associate-public-ip-address Exemple de launch configuration (nommée “hi-bandwidth-public”):
  • 35. Availability Zone A Private Subnet Availability Zone B Private Subnet Internet Amazon S3 AWS region Public Subnet Public Subnet NAT • Utilisez l’Auto Scaling pour la haute disponibilité de votre NAT • Créez 1 NAT par Availability Zone • Chaque table de routage de chaque subnet pointe sur la NATde la même zone • 1 Auto Scaling group par NAT avec les paramètres min et max définis à 1 • L’Auto Scaling surveille la santé et la disponibilité des NATs • Un script de bootstrap NAT met à jour les tables de routage Auto scale NAT NAT Amazon Dynamo DB
  • 36. Disponibilité grâce à l’Auto Scaling $aws autoscaling create-auto-scaling-group --auto-scaling-group-name ha- nat-asg --launch-configuration-name ha-nat-launch --min-size 1 --max-size 1 --vpc-zone-identifier subnet-xxxxxxxx Exemple de HA NAT Auto Scaling group (nommé “ha-nat-asg”):
  • 37. Exemple de HA NAT User Data : PRIVATE_SUBNETS="`aws ec2 describe-subnets --query 'Subnets[*].SubnetId’ --filters Name=availability- zone,Values=$AVAILABILITY_ZONE Name=vpc-id,Values=$VPC_ID Name=state,Values=available Name=tag:network,Values=private`” if [ -z "$PRIVATE_SUBNETS" ]; then die "No private subnets found to modify for HA NAT." else log "Modifying Route Tables for following private subnets: $PRIVATE_SUBNETS" fi for subnet in $PRIVATE_SUBNETS; do ROUTE_TABLE_ID=`aws ec2 describe-route-tables --query 'RouteTables[*].RouteTableId’ --filters Name=association.subnet-id,Values=$subnet`; if [ "$ROUTE_TABLE_ID" = "$MAIN_RT" ]; then log "$subnet is associated with the VPC Main Route Table. HA NAT script will NOT edit Main Route Table.” elif [ -z "$ROUTE_TABLE_ID" ]; then log "$subnet is not associated with a Route Table. Skipping this subnet." else aws ec2 create-route --route-table-id $ROUTE_TABLE_ID --destination-cidr-block 0.0.0.0/0 --instance-id $INSTANCE_ID && log "$ROUTE_TABLE_ID associated with $subnet modified to point default route to $INSTANCE_ID." if [ $? -ne 0 ] ; then aws ec2 replace-route --route-table-id $ROUTE_TABLE_ID --destination-cidr-block 0.0.0.0/0 --instance-id $INSTANCE_ID fi fi done
  • 38. Taggez Vite, Taggez Souvent! • Les stratégies de Tagging doivent faire partie de vos conceptions • Code project, centre de coût, environnement, version, business unit • Taggez les ressources dès leur création • Les Tags sont utiles pour gérer les permissions • Les Tags sont utiles pour la facturation AWS
  • 39. Rôle IAM EC2 pour Instance NAT HA { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:ModifyInstanceAttribute", "ec2:DescribeSubnets", "ec2:DescribeRouteTables", "ec2:CreateRoute", "ec2:ReplaceRoute" ], "Resource": "*" } ] }
  • 40. Automatiser la Haute Disponibilité des NAT avec les User Data EC2 Latest version of the script: https://github.com/ralex-aws/vpc
  • 41. Et si vos architectures exigent des bandes passantes NAT élevées ? • Appliquez le pattern « 1 HA NAT per Availability Zone » • Redimensionnez votre instance NAT vers un type d’instance avec une classification réseau plus élevée • Vérifiez méticuleusement vos métriques réseau m1.small Low m1.large Moderate m1.xlarge, c3.2xlarge High t1.micro Very Low
  • 42. Profitez du “Enhanced Networking” • Disponible uniquement en VPC • Plus de PPS, faible Latence, faible Jitter • Supporté par les instances de type C3, I2, R3 • Inclus dans Amazon Linux, mais supporté par plusieurs systèmes (y compris Windows) http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/enhanced-networking.html
  • 45. Cas d’usage les plus fréquents : • Isolation d’applications • Isolation des périmètres d’audit • Séparation des niveaux de risque • Isolation prod/hors-prod • Isolation des environnements multi-tenant • Alignement avec les Business Units de l’entreprise
  • 47. AWS region Application interne déployée dans un VPC Public-facing web app Internal company app VPN connection Customer data center
  • 48. Availability Zone A Private Subnet Private Subnet AWS region Virtual Private Gateway VPN connection Customer data center Intranet App Intranet App Availability Zone B Internal customers Route Table Destination Target 10.1.0.0/16 local Corp CIDR VGW Application interne déployée dans un VPC
  • 49. Mais… votre application stocke ses données là! Amazon S3
  • 50. Availability Zone A Private Subnet Private Subnet AWS region Virtual Private Gateway VPN connection Customer data center Intranet App Intranet App Availability Zone B Et vous ne souhaitez pas vraiment faire ça : Amazon S3 Internet Customer border router Customer VPN Internet
  • 51. Contrôlez l’accès à l’IGW avec du proxy • Déployez une couche de séparation proxy entre votre application et l’IGW • Restreignez les accès HTTP/S sortants uniquement aux destinations approvées, comme Amazon S3 • Supprimez toute route vers l’IGW pour les subnets privés • Contrôlez l’accès au proxy avec des security groups • Configurez les paramètres de proxy sur les systèmes d’exploitation des instances
  • 52. Availability Zone A Private Subnet Private Subnet AWS region VPN connection Customer data center Intranet App Intranet App Availability Zone B Internal customers Contrôle aux frontières Internal Load balancer Elastic Load Balancing Private Subnet Elastic Load Balancing Private Subnet ELB Multi AZ Auto Scaling group • Deployez un etage de Elastic Load Balancing reparti sur vos Availability Zones • Intégrez toutes les instances autorisées à « sortir » dans un security group • Référencez ce security group comme unique source autorisée à accéder l’étage de load balancing
  • 53. Placez vos Elastic Load Balancers dans leurs propres Subnets • Elastic Load Balancing c’est de l’Amazon EC2 dans vos subnets • Elastic Load Balancing consomme vos adresses privées • Subnets isolés = meilleure maîtrise • Distinguez bien l’étage de load balancing des autres étages applicatifs
  • 54. Availability Zone A Private Subnet(s) Private Subnet(s) AWS region VPN connection Customer data center Intranet App Intranet App Availability Zone B Internal customers Contrôle aux frontières Internal Load balancer Elastic Load Balancing Private Subnet Elastic Load Balancing Private Subnet • Etage de proxy Squid déployé entre l’IGW et l’étage de load balancing. Proxy Public Subnet Proxy Public Subnet Amazon S3 HTTP/S Multi AZ Auto Scaling group • Seuls les subnets proxy sont routés vers l’IGW. • Le security group des proxy ne permet l’accès qu’à partir de l’étage de load balancers. • Les proxy restreignent les URLs autorisées. Dans notre cas, s3.amazonaws.com est autorisée. • Les ACLs réseau de sortie forcent le protocole HTTP/S uniquement.
  • 55. Exemple de configuration Squid.conf : # CIDR AND Destination Domain based Allow # CIDR Subnet blocks for Internal ELBs acl int_elb_cidrs src 10.1.3.0/24 10.1.4.0/24 # Destination domain for target S3 bucket acl s3_v2_endpoints dstdomain $bucket_name.s3.amazonaws.com # Squid does AND on both ACLs for allow match http_access allow int_elb_cidrs s3_v2_endpoints # Deny everything else http_access deny all
  • 57. AWS region Public-facing web app Internal company app What’s next? VPN connection Customer data center
  • 58. AWS region Public-facing web app Internal company app #1 HA pair VPN endpoints Internal company app #2 Internal company app #3 Internal company app #4 Customer data center Customer gateways (CGW): • 1 par tunnel VPN • 1 IP publique par CGW • AWS fournit 2 terminaisons de tunnel par region
  • 59. Public-facing web app Internal company app #2 HA pair VPN endpointsCustomer data center Internal company app #3 Internal company app #4 Internal company app #1 Internal company Dev Internal company QA AWS region BackupAD, DNS Monitoring Logging
  • 60. AWS region Public-facing web app Internal company app #1 HA pair VPN endpoints Customer data center L’option VPN en étoile… Internal company app #2 Internal company app #3 Internal company app #4 Services VPC • Des instances Amazon EC2 pour le VPN vers la virtual private gateway centrale • Pour la Haute Dispo, deux terminaisons VPN Amazon EC2 par site • Un VPC de contrôle contient les services communs à toutes les applications et VPCs • Protocole de routage dynamique (BGP, OSPF) entre les sites et le VPC central.
  • 62. 10.1.0.0/16 10.0.0.0/16 • VPCs de la même Region Peer Request Peer Accept • Entre comptes AWS • Plans d’adressage IP disjoints • Un seul entre deux VPCs
  • 64. 10.1.0.0/16 10.0.0.0/16 Route Table Destination Target 10.1.0.0/16 local 10.0.0.0/16 PCX-1 Route Table Destination Target 10.0.0.0/16 local 10.1.0.0/16 PCX-1 PCX-1 • Ni IGW ni VGW requis A B • Pas de SPoF • Pas de goulots d’étranglements de bande passante
  • 65. 10.0.0.0/16 10.0.0.0/16 PCX-1 PCX-2 Subnet 1 10.1.1.0/24 Subnet 2 10.1.2.0/24 10.1.0.0/16 Route Table Subnet 1 Destination Target 10.1.0.0/16 local 10.0.0.0/16 PCX-1 Route Table Subnet 2 Destination Target 10.1.0.0/16 local 10.0.0.0/16 PCX-2 A B C
  • 66. 10.0.0.0/16 10.0.0.0/16 PCX-1 PCX-2 Subnet 1 10.1.1.0/24 Subnet 2 10.1.2.0/24 10.1.0.0/16 Route Table Subnet 1 Destination Target 10.1.0.0/16 local 10.0.1.11/32 PCX-1 Route Table Subnet 2 Destination Target 10.1.0.0/16 local 10.0.0.0/16 PCX-2 A B CSubnet 3 Route Table Subnet 3 Destination Target 10.0.0.0/16 local 10.1.1.0/24 PCX-1 10.0.1.11 Route Table Subnet 1 Destination Target 10.1.0.0/16 local 10.0.0.0/16 PCX-1
  • 72. AWS region Public-facing web app Internal company app #1 HA pair VPN endpoints company data center Vue 360… Internal company app #2 Internal company app #3 Internal company app #4 Services VPC • Service d’infrastructure communs placés dans un VPC. Internal company Dev Internal company QA AD, DNS Monitoring Logging • Peering 1-1 = Isolation des Apps • Les Security Groups et les ACLs réseau s’appliquent • Security Groups sont quand même rattachés à un seul VPC.
  • 73. Utilisez IAM pour définir et contrôler vos operations VPC Les « EC2 Run Resource Permissions » permettent : • Quelle AMI peut être instanciée • Quel VPC ou subnet peut être manipulé • Quels Security Groups doivent être mis en place • Quels VPC autorisent le Peering http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_IAM.html Pour des exemples de stratégies IAM :
  • 74. AWS region Public-facing web app HA pair VPN endpoints Customer data center AWS region Prod QA Dev
  • 76. Customer data center Point de présence AWS Direct Connect La Private Virtual Interface (PVI) de AWS Direct Connect relie la VGW du VPC • 1 PVI par VPC • Les Tags VLAN 802.1Q isolent le trafic dans le lien AWS Direct Connect Connexion fibre privée Multiple de 50 – 500 Mbps, 1 Gbps or 10 Gbps Simplifier l’accès avec AWS Direct Connect Public-facing web app AWS region Prod QA Dev
  • 77. Un point sur AWS Direct Connect… • Connexions privées, dédiées vers AWS • Interfaces privées (VPC) ou publiques vers AWS • Données sortantes moins chères que sur internet (données entrantes toujours gratuites) • Performances réseau constantes en comparaison d’internet • Au moins un point de présence par région AWS • Vous pouvez même redonder vos connexions • Plusieurs comptes AWS peuvent partager une même connexion
  • 78. Evolution des architectures VPC • Concepts d’architecture VPC • NAT fiable et évolutif • Un VPC, Deux VPC, … • Contrôle des frontières • VPC Peering • Garder le contact
  • 79. © 2014 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified, or distributed in whole or in part without the express consent of Amazon.com, Inc. Témoignage eFront Laurent Delhomme, Olivier Paillon
  • 80. Qui sommes nous • Olivier Paillon – Fondateur de Waterton Consulting – 17+ ans d’expèrience dans l’infrastructure et la transformation de SI • Laurent Delhomme – DSI adjoint – 17+ ans d’expèrience dans l’infrastructure et la transformation de SI – Accompagne la croissance d’eFront depuis 7 ans
  • 81. La Mission d’eFront • Editeur de logiciel dans le monde de la finance • Supporter l’industrie des investissements alternative • Du front office au back office • Aide à la décision d’investissement
  • 82. eFront en quelques lignes 15 20 27 37 55 64 2008 2009 2010 2011 2012 2013 (Million Euro €) 30% CAGR. Profitable. • 700+ clients dans 40+ pays • 500+ employés dans 20 bureaux • Reconnu comme in leader Européen : • Ernst & Young survey “preferred vendor for European Fund Admin”
  • 83. Une présence globale Beijing Montreal Boston London Jersey Paris Cologn e Dubai Hong Kong Singapore Dallas Abu Dhabi San Francisco Mumba i Tamp a Chicago Luxembour g eFront office Client presence Sydney New York Belgrade
  • 84. La stratégie datacenter d’eFront • Impératif : consolidation des datacenters • Couverture mondiale • Haut niveau de certification • Multiplateforme / ouvert • Transition par hybridation • Time to market
  • 85. Le cas des VLAN / l’objectif isolation • L’isolation par vlan est incontournable dans nos datacenters … mais non disponible dans une VPC • Un modèle matriciel ACL Network + Security Group couvre ce besoin
  • 86. Un cas concret chez eFront Web server Database server Load balancer Web server Database server Load balancer SG-ELB Allow TCP 443 from 0.0.0.0/0 SG-WSRV Allow TCP 443 from SG-ELB SG-DBSRV Allow 1433 from SG-WSRV WebApp1 WebApp2 Subnet webapp1 / CIDR 10.40.100.0/24 Subnet webapp2 / CIDR 10.40.102.0/24 VPC CIDR: 10.40.0.0 /16 Subnet webapp1 / CIDR 10.40.100.0/24
  • 87. Les + de la solution • Absence de gateway interne – Pas de limitation du modèle en étoile • Limite des interfaces • SPOF et complexité de la gestion des changements – Montée en charge linéaire – Sauvegarde linéaire • Lecture matricielle • Auditable
  • 88. Les enseignements • Nouvelles opportunités • Accompagnement au changement – Nouvelles pratiques
  • 89. © 2014 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified, or distributed in whole or in part without the express consent of Amazon.com, Inc. Evolution des architectures VPC Pierre Gilot. 13 Mai 2014 Merci !