Что такое VPC в AWS?

Question

Accepted Answer

**VPC** (Virtual Private Cloud) — это ваша собственная **изолированная виртуальная сеть** в AWS, где вы запускаете ресурсы (например, экземпляры EC2) с контролем над диапазонами IP, подсетями, маршрутизацией и безопасностью. Это основа сетевого взаимодействия для ресурсов AWS.

## Что такое VPC

```text
A VPC is a logically ISOLATED virtual network in AWS that YOU control:
  → define your IP address range (CIDR block, e.g. 10.0.0.0/16)
  → divide it into SUBNETS; control ROUTING and security
  → your resources (EC2, RDS, etc.) live inside it, isolated from other networks
→ Like having your own private network in the cloud.
```

## Ключевые компоненты

```text
SUBNET → a segment of the VPC's IP range, placed in one Availability Zone:
  PUBLIC subnet  → has a route to the internet (via an Internet Gateway) — for
    public-facing resources (web servers, load balancers)
  PRIVATE subnet → NO direct internet route — for backend resources (databases, app
    servers) that shouldn't be publicly reachable
INTERNET GATEWAY → connects the VPC to the internet (for public subnets)
NAT GATEWAY → lets PRIVATE subnet resources reach OUT to the internet (e.g. updates)
  without being reachable FROM the internet
ROUTE TABLES → control where traffic goes
SECURITY GROUPS / NACLs → firewalls controlling traffic to resources/subnets
```

## Типичная архитектура

```text
VPC (10.0.0.0/16)
  ├─ PUBLIC subnet  → load balancer, bastion (internet-facing)
  └─ PRIVATE subnet → app servers, DATABASE (no direct internet access — more secure)
→ Public subnet handles incoming traffic; private subnet protects backend resources.
```

## Почему это важно

Понимание VPC важно, потому что они являются **основой сетевого взаимодействия** для ресурсов AWS — практически всё запускается внутри VPC — поэтому это необходимые фундаментальные знания AWS для безопасного развёртывания ресурсов.

VPC предоставляет вашу собственную **изолированную виртуальную сеть** в AWS, где вы контролируете диапазоны IP, подсети, маршрутизацию и безопасность, давая вам возможность архитектурировать сеть как локальную сеть, но в облаке.

Понимание **ключевых компонентов** необходимо для правильного развёртывания ресурсов: **подсети** (сегменты сети, критически разделённые на **публичные** подсети с доступом в интернет для публично доступных ресурсов и **приватные** подсети без прямого доступа в интернет для backend-ресурсов), **интернет-шлюзы** (подключение к интернету), **NAT-шлюзы** (позволяют приватным ресурсам подключаться наружу, оставаясь недоступными снаружи), таблицы маршрутизации и группы безопасности/NACL (брандмауэры).

**Различие между публичными и приватными подсетями особенно важно для безопасности**: размещение backend-ресурсов (особенно баз данных) в **приватных подсетях** — защищённых от прямого доступа из интернета, а публично доступные ресурсы (load balancers, веб-серверы) обрабатывают входящий трафик в публичных подсетях — это фундаментальная архитектура безопасности, которая предотвращает прямое открытие чувствительных backend-систем.

Понимание этой типичной архитектуры (публичная подсеть для компонентов, доступных из интернета, приватная подсеть, защищающая базы данных и серверы приложений) отражает надёжный и безопасный сетевой дизайн.

Поскольку практически все ресурсы AWS работают внутри VPC и правильная архитектура сети (особенно разделение публичных и приватных подсетей) критична для безопасности, и поскольку понимание VPC, подсетей и компонентов необходимо для правильного и безопасного развёртывания ресурсов AWS, понимание основ VPC является необходимым фундаментальным знанием AWS — сетевым слоем, лежащим в основе развёртывания AWS, и темой, где паттерн безопасности разделения публичных и приватных подсетей особенно важен для защиты backend-ресурсов, что делает его ключевым знанием для тех, кто архитектурирует инфраструктуру AWS.