Basisprincipes van cloudnetwerken

Een cloudapplicatie heeft naast computers ook een netwerk nodig. Een virtueel netwerk is een privénetwerk dat in software is gedefinieerd. Je kiest de adressen en verbindingen zonder switches of kabels te installeren. Met aparte netwerken kun je productiewerk scheiden van testen.

Lees de adressen

AWS noemt zijn netwerk Amazon VPC; Microsoft gebruikt Azure Virtual Network, of VNet; Google Cloud gebruikt VPC network. Een AWS VPC of Azure VNet heeft een overkoepelend adresbereik. De subnetten halen daaruit kleinere bereiken. Een Google Cloud VPC heeft geen overkoepelend bereik: elk subnet krijgt een eigen bereik.

De schrijfwijze 10.0.0.0/16 is CIDR-notatie. Het getal na de schuine streep telt de vaste bits aan het begin van het adres. Een kleiner getal betekent een groter bereik. Deze /16 omvat 10.0.0.0 tot en met 10.0.255.255: 65.536 adressen. De privéblokken zijn 10.0.0.0/8, 172.16.0.0/12 en 192.168.0.0/16. Het openbare internet routeert deze privéadressen niet.

Een subnet levert adressen aan één deel van een netwerk. Zo omvat 10.0.3.0/24 de adressen 10.0.3.0 tot en met 10.0.3.255. Een database daarin kan 10.0.3.20 krijgen. Met aparte web-, applicatie- en databasesubnetten kunnen teams verschillende routes en beveiligingsregels toepassen. Subnetbereiken in één netwerk mogen elkaar niet overlappen. Cloudaanbieders reserveren adressen voor netwerkdiensten: AWS en Azure reserveren er vijf per subnet; Google Cloud reserveert er vier in het primaire bereik van een subnet. Een subnet met 256 adressen heeft daardoor bij AWS of Azure 251 adressen over.

Plaats resources in meerdere zones

Neem een webwinkel bij AWS die 10.0.0.0/16 gebruikt. In zone A plaatst het bedrijf webservers in 10.0.1.0/24, applicatieservers in 10.0.2.0/24 en de database in 10.0.3.0/24. Om bij een zonestoring beschikbaar te blijven, herhaalt het bedrijf de lagen in zone B met 10.0.11.0/24, 10.0.12.0/24 en 10.0.13.0/24. De subnetten scheiden de rollen; door twee zones te gebruiken, scheid je de storingslocaties. Meerdere subnetten in alleen één zone zouden dat niet doen.

Verbind netwerken bewust

Virtuele netwerken bieden logische isolatie van andere klanten en andere netwerken. Voor communicatie zijn een netwerkroute en toestemming nodig. Met een peeringverbinding kunnen twee netwerken via privéadressen communiceren over het netwerk van de cloudaanbieder. Peering kan over grenzen van regio’s, accounts, abonnementen of projecten heen werken, maar de adresbereiken mogen elkaar niet overlappen.

Controleer de bereiken van kantoren en partners voordat je cloudbereiken kiest. Als zowel een kantoor als een VPC 10.0.0.0/16 gebruikt, kan een bestemming zoals 10.0.3.20 bij beide kanten horen. Door 10.1.0.0/16 voor de cloud te kiezen, voorkom je dat conflict. Een adresplan herstellen nadat servers zijn geïmplementeerd, kan de werking ervan verstoren.

Peering is niet transitief. Als A met B is gekoppeld en B met C, heeft A nog steeds een eigen verbinding met C nodig. Een privéroute versleutelt gegevens ook niet: gebruik daarvoor versleuteling. Het virtuele netwerk zelf aanmaken is bij deze cloudaanbieders gratis; gateways, openbare IPv4-adressen en gegevensoverdracht kunnen kosten met zich meebrengen.

Een bestemmingsadres vertelt een netwerk waar het verkeer naartoe probeert te gaan. Een routeringstabel vertelt het netwerk waar het dat verkeer vervolgens naartoe moet sturen. Routering biedt een route; beveiligingsregels bepalen of verkeer die mag gebruiken.

Kies de overeenkomende route

Elke route koppelt een bestemmingsbereik aan een doel. Een lokale route verbindt subnetten binnen hetzelfde virtuele netwerk. De IPv4-standaardroute, 0.0.0.0/0, komt overeen met elk adres, maar een specifiekere overeenkomende route krijgt voorrang. Een groter prefixgetal na de schuine streep betekent een specifieker bereik.

Stel dat een AWS-applicatiesubnet deze routes gebruikt:

Een verzoek van 10.0.2.15 naar database 10.0.3.20 komt met beide bereiken overeen. De /16 is specifieker dan /0, dus het verzoek blijft lokaal. Een verzoek aan updateserver 203.0.113.50 komt alleen overeen met de standaardroute en gaat naar de NAT-gateway. Beveiligingsregels moeten elke verbinding toestaan.

Sta openbare toegang bewust toe

Bij AWS verbindt een internetgateway een VPC met het internet. Een subnet met een standaardroute naar die gateway is een openbaar subnet. Het adresbereik kan nog steeds een privébereik zijn, zoals 10.0.1.0/24. “Openbaar” beschrijft de routering, niet de adresnotatie.

Om een server vanaf het internet te bereiken, moeten drie dingen kloppen: er is een route naar het internet, de server of een loadbalancer ervoor heeft een openbaar IP-adres en beveiligingsregels staan de verbinding toe. Een AWS-subnet kan openbaar zijn terwijl een bepaalde server daarin geen directe openbare toegang heeft.

Azure en Google Cloud bieden ingebouwde routes naar het internet zonder dat je een internetgateway zoals bij AWS hoeft te maken. Hun beveiligingsregels en openbare adressering blijven van belang. Een privésubnet in de algemene betekenis biedt internetgebruikers geen directe route naar de resources. Dat maakt het geschikt voor databases en interne applicatieservers.

Geef privéservers uitgaande toegang

Met een NAT-gateway kan een privéserver een internetverbinding starten. Die vervangt het privébronadres door een openbaar adres, volgt de verbinding en bezorgt het antwoord bij de juiste server. De gateway accepteert geen nieuwe verbinding die een internetgebruiker naar die privéserver start.

Bij AWS staat een openbare NAT-gateway in een openbaar subnet. De standaardroute van de privéapplicatie wijst ernaar en het subnet van de NAT-gateway heeft een route naar de internetgateway. De applicatie kan updates ophalen, terwijl het databasesubnet met alleen een lokale route geen route naar het internet heeft. Azure NAT Gateway wordt aan een subnet gekoppeld; Google Cloud biedt Cloud NAT. Voor NAT-diensten betaal je voor de gebruiksduur en de verwerking van gegevens.

Controleer de standaardinstellingen van de cloudaanbieder

De standaard-VPC-subnetten van AWS zijn openbaar en wijzen normaal openbare adressen toe aan nieuwe instances. Aan een VPC die je zelf maakt, moet je een internetgateway toevoegen. Gereserveerde statische openbare adressen blijven gelijk; AWS noemt zo’n adres een Elastic IP. Automatisch toegewezen adressen kunnen veranderen nadat je een machine stopt en start. Sinds februari 2024 brengt AWS kosten in rekening voor elk openbaar IPv4-adres, ook voor adressen die in gebruik zijn.

Azure gebruikt “privésubnet” specifiek voor een subnet waarvan de standaard uitgaande toegang is uitgeschakeld. Het heeft een expliciete methode voor uitgaand verkeer nodig, zoals NAT of een toegewezen openbaar IP-adres. Die instelling alleen blokkeert geen inkomend verkeer. De portal maakt standaard privésubnetten. Voor de API-versie die na 31 maart 2026 is uitgebracht, krijgen nieuwe virtuele netwerken ook standaard privésubnetten; eerdere API-versies behouden het oude gedrag en bestaande netwerken veranderen niet.

Een beheerde dienst kan buiten je virtuele netwerk draaien. Een eindpunt is het adres waarmee clients de dienst bereiken, meestal via een DNS-naam. Het netwerkpad van het eindpunt en de gegevensmachtigingen van de dienst lossen verschillende problemen op.

Maak onderscheid tussen openbare bereikbaarheid en gegevenstoegang

Een openbaar eindpunt wordt omgezet in een openbaar IP-adres. Internetclients kunnen proberen verbinding te maken, maar dat maakt de opgeslagen gegevens niet openbaar. Toegangsgegevens en machtigingen regelen normaal de toegang. Sommige diensten staan ook anonieme toegang toe als ze daarvoor zijn ingesteld; een fout in de machtigingen voor objectopslag kan bestanden blootstellen.

Gebruik HTTPS, dat TLS-versleuteling gebruikt, voor dienstverkeer. Stel HTTPS waar mogelijk verplicht en beperk welke adressen of netwerken verbinding mogen maken. Openbare bereikbaarheid, toegangsrechten en versleuteling zijn afzonderlijke instellingen. Een geautoriseerde applicatie kan een openbaar eindpunt veilig gebruiken, terwijl een slecht geconfigureerde dienst ook op een privénetwerk gegevens kan lekken.

Voeg een privéadres toe

Een privé-eindpunt geeft een ondersteunde dienst een privéadres binnen je netwerk. De cloudaanbieder maakt een netwerkinterface in een subnet en verkeer naar dat adres blijft op het netwerk van de aanbieder.

Kantoorsystemen kunnen privé-eindpunten ook bereiken via een VPN of exclusieve verbinding. Netwerken die via peering zijn gekoppeld, kunnen ze bereiken als routering, DNS en beveiligingsinstellingen de route ondersteunen.

Laat de dienstnaam naar het eindpunt verwijzen

Applicaties maken meestal verbinding met een dienstnaam, niet met een vast in de code opgenomen IP-adres. Privé-DNS zorgt ervoor dat die naam binnen het netwerk wordt omgezet in het privéadres van het eindpunt. Een interne client kan de naam van de opslagdienst bijvoorbeeld omzetten in 10.0.2.40. Clients buiten het netwerk kunnen nog steeds het openbare adres krijgen.

Alleen het eindpunt maken verandert niet het DNS-antwoord voor elke client. Als een interne client het openbare adres blijft krijgen, blijft die de openbare route gebruiken. Koppel de privé-DNS-zone aan het netwerk en zorg voor DNS-doorsturing voor clients op eigen locatie. Om privétoegang verplicht te stellen, moet je ook het openbare eindpunt van de dienst uitschakelen of beperken. Als je een privé-eindpunt maakt, blijven de instellingen voor openbare toegang bestaan.

Herken verwante opties

Een AWS-gateway-eindpunt bereikt S3 of DynamoDB via een vermelding in een routeringstabel. Het maakt niet de privénetwerkinterface die een interface-eindpunt gebruikt en brengt geen extra kosten voor het eindpunt in rekening. Een Azure service endpoint identificeert een toegestaan subnet en transporteert het dienstverkeer daarvan over het netwerk van Microsoft, maar de dienst heeft nog steeds een openbaar IP-adres. Met Private Google Access kunnen machines met interne adressen Google-API’s en -diensten bereiken.

Neem een analyseserver die elke dag 500 GB uit regionale objectopslag leest. Als je die leesverzoeken via NAT stuurt, moet de NAT-dienst alle 500 GB verwerken. Bij AWS leidt een geschikt S3-gateway-eindpunt dat dienstverkeer via de eindpuntroute zonder extra kosten voor het gateway-eindpunt. Interface- en privé-eindpunten hebben eigen tarieven, dus vergelijk het volledige pad en de kosten daarvan. Het eindpunt verandert de verbinding; TLS zorgt nog steeds voor versleuteling tijdens transport.

Een server kan een route naar een ander netwerk hebben en toch het verkeer daarvandaan weigeren. Een beveiligingsgroep werkt als een virtuele firewall voor resources. Inkomende regels regelen verkeer dat bij een resource aankomt; uitgaande regels regelen verkeer dat de resource verlaat.

Lees een regel

Lees bij TCP of UDP het protocol, de poort en de bron of bestemming samen. De regel “sta TCP 443 toe vanaf 198.51.100.7/32” staat HTTPS-verkeer vanaf één adres toe. De bron 0.0.0.0/0 betekent elk IPv4-adres. Een inkomende bron kan ook een beveiligingsgroep aanduiden, zodat toegang de rol van een server volgt wanneer het IP-adres verandert.

Nuttige poorten zijn SSH 22, RDP 3389, HTTP 80, HTTPS 443, DNS 53, MySQL 3306, PostgreSQL 5432 en Microsoft SQL Server 1433. ICMP, dat door ping wordt gebruikt, heeft berichttypen in plaats van TCP- of UDP-poorten.

Begrijp toestandsafhankelijke filtering

Een toestandsafhankelijk filter onthoudt toegestane verbindingen. Als een inkomende regel een nieuwe HTTPS-verbinding toestaat, mogen antwoorden terug naar buiten zonder afzonderlijke uitgaande regel daarvoor. Dit staat de server niet toe om een willekeurige andere uitgaande verbinding te starten. Nieuwe verbindingen hebben nog steeds eigen toestemming nodig.

AWS-beveiligingsgroepen worden aan netwerkinterfaces gekoppeld. Meerdere resources kunnen een groep delen en een resource kan meerdere groepen hebben. Hun toestaanregels worden gecombineerd: verkeer wordt doorgelaten als een toepasselijke regel het toestaat. De regelvolgorde heeft geen effect en er is geen expliciete weigerregel die een ruime toestaanregel kan overrulen. Een nieuw aangemaakte groep staat geen inkomend verkeer en wel uitgaand verkeer toe, totdat je dat wijzigt.

Bouw een keten van toegestane rollen

Geef bij een applicatie met drie lagen elke laag alleen de benodigde inkomende verbindingen:

1. De loadbalancer staat TCP 443 toe van internetgebruikers.
2. De webservers staan TCP 443 toe vanuit de groep van de loadbalancer. Beheer via TCP 22 is beperkt tot het kantooradres van de beheerder.
3. De MySQL-database staat TCP 3306 toe vanuit de webservergroep.

Wanneer een vervangende webserver aan de webservergroep wordt toegevoegd, krijgt die de bedoelde databasetoegang zonder nieuwe regel op basis van het adres. Een rechtstreeks internetverzoek aan de database mislukt omdat de bron niet is toegestaan. Als een tweede gekoppelde groep dezelfde databasepoort echter ruim toestaat, geldt die ruime toestemming nog steeds; er is geen beperktere weigering in de eerste groep die die toestemming kan opheffen.

Vergelijk filters van cloudaanbieders

Een Azure-netwerkbeveiligingsgroep, of NSG, kan aan een subnet, een netwerkinterface of aan beide worden gekoppeld. Aangepaste prioriteiten lopen van 100 tot 4096, vóór de ingebouwde standaardwaarden 65000, 65001 en 65500. De standaard inkomende regels staan verkeer uit het virtuele netwerk en van de Azure-loadbalancer toe en weigeren daarna overig inkomend verkeer. Google Cloud selecteert doelmachines met tags of serviceaccounts; de impliciete regels weigeren inkomend verkeer en staan uitgaand verkeer toe.

Pas het principe van minimale rechten toe: sta alleen de vereiste poorten toe vanuit de kleinst bruikbare verzameling bronnen. Door SSH of RDP voor het hele internet open te stellen, stel je beheeraanmeldingsdiensten bloot aan geautomatiseerde aanvallen. Beheerde toegangsopties zijn onder meer AWS Systems Manager Session Manager, Azure Bastion en Google Cloud Identity-Aware Proxy. Een poortfilter kan een aanval die verborgen zit in toegestaan HTTPS-verkeer niet herkennen; applicatiebeveiliging en aanmeldingscontroles beschermen die laag.

Een AWS-netwerktoegangsbeheerlijst, of netwerk-ACL, filtert verkeer dat een subnetgrens passeert. Die geldt voor elke resource in dat subnet. Elk subnet heeft één netwerk-ACL en dezelfde ACL kan meerdere subnetten bedienen.

Volg de eerste overeenkomende regel

Regels van netwerk-ACL’s kunnen verkeer toestaan of weigeren. AWS controleert ze vanaf het laagste regelnummer en stopt bij de eerste overeenkomst. Een afsluitende regel * weigert verkeer dat met geen eerdere regel overeenkomt. De standaard-ACL van de VPC staat inkomend en uitgaand verkeer toe; een nieuw aangemaakte aangepaste ACL weigert verkeer totdat je toestaanregels toevoegt.

Stel dat regel 100 TCP 443 vanaf elk IPv4-adres toestaat, terwijl regel 110 verkeer vanaf 203.0.113.0/24 weigert. Een verzoek vanaf 203.0.113.77 naar poort 443 komt eerst overeen met regel 100 en wordt doorgelaten. De latere weigering komt nooit aan bod. Verplaats die weigering naar regel 90 om het bereik te blokkeren vóór de ruime HTTPS-toestemming.

Volg het antwoord als afzonderlijk pakket

Een ACL is toestandsloos: die onthoudt niet dat een verbinding is toegestaan. Een webverzoek gebruikt de bestemmingspoort 443 van de server, maar het antwoord gaat terug naar de tijdelijke poort van de client. Dat kan een hoog nummer zijn zoals 50432.

Voor een website met een werkende route en beveiligingsgroep:

1. Een client stuurt een verzoek van zijn tijdelijke poort naar serverpoort 443.
2. De subnet-ACL laat het inkomende pakket toe via de HTTPS-regel.
3. De server antwoordt naar de tijdelijke poort van de client.
4. De uitgaande ACL controleert die bestemmingspoort afzonderlijk.

Een uitgaande regel die alleen bestemmingspoort 443 toestaat, dekt dat antwoord niet. Het antwoord heeft een uitgaande toestaanregel nodig die de bestemmingspoort omvat; TCP 1024–65535 is een veelgebruikt ruim bereik voor tijdelijke poorten. Het vereiste bereik hangt af van de ondersteunde clients en het verkeer. De toestemming van een toestandsafhankelijke beveiligingsgroep omzeilt de afzonderlijke beslissing van de ACL niet.

Vergelijk de twee AWS-lagen

Inkomend internetverkeer moet beide lagen passeren. Verkeer tussen twee resources in hetzelfde subnet passeert de subnetgrens niet, dus de ACL van dat subnet filtert het niet. Beveiligingsgroepen van resources blijven wel van toepassing.

Gebruik onafhankelijke lagen

Gelaagde beveiliging beperkt de schade van één onjuiste instelling. Beveiligingsgroepen geven elke applicatierol nauwkeurige machtigingen. ACL’s voegen beleidswaarborgen voor het hele subnet toe, zoals het weigeren van een bekend kwaadaardig bereik. Firewalls van besturingssystemen, beheerde netwerkfirewalls, webapplicatiefirewalls, TLS en identiteitscontroles beschermen andere delen van de route. Netwerkstroomlogboeken leggen toegestane en geweigerde netwerkstromen vast; Amazon Inspector helpt kwetsbaarheden in workloads en onbedoelde blootstelling te herkennen.

Azure heeft geen aparte netwerk-ACL zoals AWS: NSG’s op subnetten en interfaces bieden die lagen en beide zijn toestandsafhankelijk. Voor inkomend Azure-verkeer moeten eerst de NSG van het subnet en daarna die van de interface het verkeer toestaan. Google Cloud gebruikt toestandsafhankelijke VPC-firewallregels en breder firewallbeleid, waaronder beleid voor organisaties en mappen.

Mensen onthouden namen zoals www.example.com; computers sturen verkeer naar IP-adressen. DNS, het Domain Name System, verbindt die twee. Cloudaanbieders hosten records via Amazon Route 53, Azure DNS en Google Cloud DNS.

Volg een naamopzoeking

Een client vraagt een resolver om een adres. Als de resolver geen antwoord in de cache heeft, vraagt die een rootserver waar de servers voor .com te vinden zijn. Die servers wijzen de autoritatieve naamservers van het domein aan. Een autoritatieve server bevat de records van het domein en geeft het antwoord terug, dat de resolver in de cache opslaat voor latere clients. Route 53 wijst vier autoritatieve naamservers toe aan een openbare gehoste zone. De client maakt daarna verbinding met het teruggegeven adres. DNS transporteert het applicatieverkeer van de website niet.

Een zone is de beheerde verzameling records voor een domein. Om de openbare zone van een nieuwe cloudaanbieder te gebruiken, stel je de naamservers van die aanbieder in bij de domeinregistrar. Zonehosting en domeinregistratie zijn afzonderlijke diensten: Route 53 biedt beide, terwijl Azure DNS zones host zonder domeinregistraties te verkopen.

Kies het record

Het zonehoofddomein is het kale domein, zoals example.com. Een standaard CNAME kan daar niet staan omdat het zonehoofddomein ook NS- en SOA-records nodig heeft. Aliasrecords van Route 53 en aliasrecordsets van Azure kunnen ondersteunde records op het zonehoofddomein naar cloudresources laten verwijzen en wijzigingen in hun adressen volgen.

Houd rekening met antwoorden in de cache

De TTL, of geldigheidsduur, van een record geeft aan hoeveel seconden een resolver het antwoord in de cache mag bewaren. Stel dat een resolver om 9.55 uur een antwoord met een geldigheidsduur van 3.600 seconden in de cache opslaat. Als je het record om 10.00 uur wijzigt, verdwijnt die kopie niet: die kan geldig blijven tot 10.55 uur. Verlaag een TTL minstens één oude TTL vóór een geplande verhuizing naar 300 seconden, zodat de oude kopieën met een lange geldigheidsduur tijd hebben om te verlopen. Als je de TTL pas op het moment van de verhuizing verlaagt, kun je de geldigheidsduur van al opgeslagen kopieën niet verkorten.

DNS-routeringsbeleid beïnvloedt de antwoorden op zoekopdrachten. Eenvoudige routering geeft een rechttoe rechtaan antwoord. Gewogen routering geeft antwoorden in gekozen verhoudingen, zoals 90% voor de huidige versie en 10% voor een nieuwe versie; routering op basis van latentie geeft de voorkeur aan de laagste gemeten latentie; geolocatieroutering selecteert op basis van de locatie van de gebruiker; failoverroutering schakelt van een primair eindpunt over naar een stand-byeindpunt wanneer statuscontroles een storing aantonen. Elke statuscontroleur van Route 53 stuurt normaal elke 30 seconden een controle. Azure Traffic Manager en Google Cloud DNS bieden ook DNS-routeringsopties.

Bij een webwinkel met een primaire omgeving in Frankfurt en een stand-byomgeving in Ierland zorgt een mislukte statuscontrole van de primaire omgeving ervoor dat nieuwe antwoorden naar de stand-byomgeving verwijzen. Bestaande antwoorden in de cache blijven geldig totdat ze verlopen; een korte TTL zoals 60 seconden verkleint die vertraging. Gewogen routering verdeelt eveneens DNS-antwoorden, geen exacte aantallen gebruikers of applicatieverzoeken: één antwoord in de cache kan veel gebruikers bedienen. Een loadbalancer verwerkt inkomend verkeer op een andere laag.

Zet interne namen om

Een privé-DNS-zone geeft antwoorden aan gekoppelde virtuele netwerken. Die kan db.internal.example.com koppelen aan een privédatabaseadres of een dienstnaam naar een privé-eindpunt leiden. Clients op eigen locatie hebben een geschikt pad voor DNS-doorsturing over hun VPN of exclusieve verbinding nodig, met opties zoals Route 53 Resolver endpoints of Azure DNS Private Resolver. Een werkende netwerktunnel alleen vertelt een kantoorresolver niet waar die naar de privénamen van de cloud moet vragen.

Route 53 en Azure DNS publiceren SLA’s voor 100% beschikbaarheid van hun DNS-diensten. Een SLA is een contractuele dienstverplichting; een antwoord in de cache kan nog steeds verwijzen naar een applicatieserver die niet beschikbaar is.

Een contentdistributienetwerk, of CDN, bewaart tijdelijke kopieën van content dicht bij gebruikers. De bronserver bevat de oorspronkelijke bestanden of produceert de antwoorden van de applicatie. Amazon CloudFront, Azure Front Door en Google Cloud CDN bieden deze dienst via edgelocaties over de hele wereld.

Volg een verzoek

De browser zet de CDN-naam om in een adres en maakt verbinding met een nabijgelegen edgelocatie. CloudFront kan gebruikers leiden met DNS-antwoorden; Azure Front Door en Google Cloud CDN gebruiken anycast-adressering, waarbij meerdere locaties hetzelfde IP-adres aankondigen en routering gebruikers naar een nabijgelegen locatie brengt. Een edgelocatie is geen volledige cloudregio en cloudaanbieders hebben veel meer edgelocaties dan regio’s.

Een cachetreffer ontstaat wanneer de edgelocatie een actuele, bruikbare kopie heeft en die levert. Bij een cachemisser haalt de edgelocatie content op bij de bronserver, geeft die terug en kan die voor latere verzoeken in de cache opslaan. Afbeeldingen, scripts, stijlbladen, downloads en video werken vaak goed omdat veel gebruikers dezelfde content opvragen.

Meet het voordeel

Bij verzoeken over lange afstanden duurt elke netwerkretour langer. Een pagina die vanuit Sydney wordt bekeken, heeft vier opeenvolgende retouren naar de bronserver in Frankfurt nodig. Bij 250 ms per retour is dat 1.000 ms wachttijd voor die retouren. Via een edgelocatie in Sydney met 15 ms per retour duren de vier retouren 60 ms. Dit voorbeeld meet de vertraging door retouren, niet de volledige laadtijd van de pagina.

Het cachetrefferpercentage is:

Bij 9.200 treffers op 10.000 verzoeken is het percentage 92%. In dit eenvoudige voorbeeld bereiken de 800 missers de bronserver. Een hoog trefferpercentage vermindert het werk van de bronserver en de hoeveelheid gegevens die die verstuurt. Dat helpt bij een plotselinge toename van het aantal bezoekers.

Beheer de actualiteit

Een CDN-TTL bepaalt hoelang content opnieuw mag worden gebruikt. De bronserver kan Cache-Control: max-age=86400 sturen, waarmee caching gedurende één dag is toegestaan, of de CDN-instellingen kunnen de geldigheidsduur bepalen. Een bestand op de bronserver wijzigen vervangt actuele kopieën in de cache niet direct.

Om een dringende correctie te publiceren, invalideer of verwijder je het pad uit de cache. Een andere aanpak is een nieuwe bestandsnaam publiceren, zoals app.v2.js, en de pagina aanpassen zodat die het nieuwe bestand opvraagt. De nieuwe naam duidt een ander object aan. Voorkom dat gepersonaliseerde pagina’s, zoals een accountpagina of winkelwagen, als openbare content in de cache worden gedeeld. Ook als een antwoord niet in de cache kan worden opgeslagen, kan de edgelocatie de levering verbeteren door TLS dichtbij te beëindigen en verbindingen naar de bronserver opnieuw te gebruiken.

Maak onderscheid tussen caching en andere netwerkdiensten

Loadbalancers kunnen regionaal of wereldwijd zijn. Global Accelerator levert vaste anycast-adressen en kan geschikt zijn voor game- of spraakverkeer dat geen voordeel heeft van caching van webcontent.

De edgelocatie kan ook HTTPS-certificaten en regels voor een webapplicatiefirewall toepassen. Het grote netwerk vangt veel DDoS-aanvallen op; CloudFront bevat AWS Shield Standard. Beperkingen op de bronserver, zoals CloudFront origin access control voor S3, kunnen voorkomen dat gebruikers het CDN omzeilen. De kosten hangen vooral af van de geleverde gegevens en het aantal verzoeken. Gebruikers die al dicht bij de bronserver zijn, of applicaties met vrijwel uitsluitend unieke antwoorden, hebben minder voordeel van caching. Kopieën op edgelocaties zijn tijdelijk en kunnen uit de cache worden verwijderd. De bronserver heeft daarom nog steeds eigen betrouwbare opslag en een back-up nodig.

Een kantoor moet mogelijk een applicatie op een privéadres in de cloud gebruiken. Een hybride netwerk verbindt netwerken op eigen locatie met cloudnetwerken. Een VPN, of virtueel privénetwerk, transporteert dat verkeer in een versleutelde tunnel over het openbare internet.

Kies wat verbinding maakt

Een site-to-site-VPN verbindt een heel kantoor- of datacenternetwerk. Een router of firewall met VPN-functionaliteit verzorgt de tunnel voor die locatie. Een point-to-site-VPN, of client-VPN, verbindt een afzonderlijk apparaat waarop clientsoftware draait. AWS Client VPN en point-to-site-verbindingen van Azure VPN Gateway ondersteunen gebruikers op afstand.

Site-to-site-VPN’s gebruiken IPsec. De uiteinden van de tunnel authenticeren elkaar, vaak met een gedeelde sleutel of certificaten. Met IKE, Internet Key Exchange, worden versleutelingssleutels afgesproken; daarna beschermt IPsec de pakketten door de tunnel. Een VPN gebruikt een gedeelde internetroute, ook al is de inhoud versleuteld.

Herken beide uiteinden

Bij AWS wordt een virtual private gateway aan één VPC gekoppeld; een transit gateway kan meerdere VPC’s bedienen. Azure implementeert de VPN-gateway in een exclusief subnet met de naam GatewaySubnet. Google Cloud biedt HA VPN-gateways. Op kantoor vormt een router of firewall met een openbaar adres het andere uiteinde; AWS noemt dit het customer gateway device.

De gateways hebben ook routes nodig. Die kunnen statisch worden geconfigureerd of met BGP, Border Gateway Protocol, worden geleerd. Met BGP kunnen routers de adresbereiken uitwisselen die ze kunnen bereiken. Een versleutelde tunnel zonder de juiste routes geeft een applicatie geen bruikbare route van begin tot eind.

Volg een privéverzoek

Neem een kantoor dat 192.168.10.0/24 gebruikt en een AWS VPC die 10.0.0.0/16 gebruikt:

1. Het team maakt de cloudgateway en configureert de kantoorrouter voor de VPN.
2. De kantoorroute voor 10.0.0.0/16 wijst de tunnel in.
3. De cloudroute voor 192.168.10.0/24 wijst terug via de VPN-gateway.
4. De beveiligingsgroep van de applicatie staat het vereiste kantoorverkeer toe.

Kantoorapparaat 192.168.10.25 kan nu verbinding maken met applicatie 10.0.2.15. Het verkeer wordt tussen de VPN-uiteinden versleuteld. Doordat de bereiken elkaar niet overlappen, kan elke kant lokale van externe bestemmingen onderscheiden. Voor privédienstnamen is daarnaast DNS-doorsturing nodig; de tunnel configureert dat niet automatisch.

Neem enkelvoudige storingspunten weg

Een AWS Site-to-Site VPN-verbinding levert twee tunnels naar verschillende AWS-eindpunten. Configureer beide, zodat één tunnel verkeer kan transporteren tijdens onderhoud of een storing. Azure ondersteunt actief-actieve gateways. Google Cloud HA VPN kan een SLA voor 99,99% beschikbaarheid bieden met de vereiste redundante tunnelconfiguratie over beide interfaces. Een tweede kantoorrouter en een tweede internetaanbieder beschermen tegen storingen die twee tunnels aan de cloudzijde alleen niet kunnen oplossen.

VPN’s zijn met bestaande internettoegang meestal binnen enkele uren op te zetten. De kosten bestaan vooral uit verbindingstijd en gegevensoverdracht. Internetcongestie en afstand beïnvloeden latentie en doorvoersnelheid; een standaard AWS-tunnel ondersteunt maximaal 1,25 Gbps, geen gegarandeerde aanhoudende overdrachtssnelheid. Een VPN biedt vaak de eerste toegang terwijl een exclusieve verbinding wordt aangelegd en blijft daarna als versleutelde back-uproute bestaan. Een openbare website die al voor internetgebruikers is bedoeld, heeft voor die bezoekers geen site-to-site-VPN nodig.

Sommige organisaties hebben een cloudverbinding nodig met stabielere prestaties dan een internetroute biedt. Een exclusieve privéverbinding verbindt het netwerk van de organisatie met de cloudaanbieder zonder het openbare internet te gebruiken. De diensten zijn AWS Direct Connect, Azure ExpressRoute en Google Cloud Interconnect.

Volg de fysieke route

Cloudaanbieders ontmoeten klanten en telecomnetwerken in colocatiedatacenters, datacenters waar veel netwerken apparatuur hebben staan. Staat de router van de klant daar al, dan verbindt een kruisverbinding, een korte fysieke kabel, die met de apparatuur van de aanbieder. Anders legt een telecom- of connectiviteitspartner een verbinding van het kantoor of datacenter naar dat ontmoetingspunt.

De aanschaf van de poort aan de cloudzijde neemt niet weg dat je die locatie moet bereiken. De installatie kan een machtigingsbrief, een bestelling voor een kruisverbinding, een telecomverbinding en onderling afgestemde tests omvatten. Reken op weken voorbereiding. De kosten kunnen bestaan uit de poort, de dienst van de partner, de telecomverbinding en de overgedragen gegevens.

Stem de dienst af op de capaciteit

Een exclusieve poort is verkrijgbaar in grote vaste capaciteiten. AWS Direct Connect biedt exclusieve verbindingen van 1, 10, 100 en 400 Gbps. Opties via partners, zoals AWS hosted connections en Google Partner Interconnect, bieden kleinere capaciteitsstappen, vanaf ongeveer 50 Mbps. ExpressRoute wordt doorgaans via een connectiviteitsaanbieder geleverd.

Een gehoste verbinding van 50 Mbps heeft minder capaciteit dan een standaard AWS-VPN-tunnel met een limiet van 1,25 Gbps. Het woord “exclusief” beschrijft hoe de verbinding is ingericht; het belooft niet dat de bandbreedte groter is dan die van elke VPN. Vergelijk de werkelijk afgenomen capaciteit en de gemeten doorvoersnelheid.

Maak onderscheid tussen privacy en versleuteling

Door het gedeelde internet te vermijden, worden de prestaties consistenter en ontstaat een privéroute. Verbindingen met hoge capaciteit ondersteunen regelmatige grote overdrachten en privéroutes kunnen voldoen aan eisen dat verkeer buiten het openbare internet blijft. Voor uitgaande gegevensoverdracht van AWS via Direct Connect gelden ook lagere tarieven per gigabyte dan voor uitgaande overdracht via het internet, hoewel de vaste verbindingskosten van belang blijven.

Een privéverbinding is standaard niet versleuteld. Als vertrouwelijkheid versleuteling vereist, kies dan een geschikte methode: TLS in de applicaties, een IPsec-VPN over de privéverbinding of MACsec op ondersteunde exclusieve poorten. TLS beschermt applicatiesessies; IPsec beschermt IP-verkeer in tunnels; MACsec versleutelt frames op ondersteunde verbindingen. Aan een eis voor een privéroute en een eis om verkeer te versleutelen moet afzonderlijk worden voldaan.

Houd rekening met een verbroken verbinding

Eén fysieke verbinding kan uitvallen door een doorgesneden kabel, een routerstoring of een storing in het datacenter. Een ExpressRoute-circuit heeft twee verbindingen met twee Microsoft-edgerouters, maar kritieke workloads hebben nog steeds baat bij verbindingen via twee locaties. Bij twee verbindingen via hetzelfde datacenter blijft dat datacenter een gedeeld storingspunt.

Een site-to-site-VPN kan een goedkopere back-up bieden als de privéverbinding uitvalt. De routes en machtigingen moeten klaarstaan en de lagere of sterker wisselende doorvoersnelheid moet voldoende zijn voor essentieel verkeer. De internetroute van de back-up voldoet mogelijk niet aan een strikte eis dat verkeer altijd buiten het internet blijft; zowel beschikbaarheids- als routevereisten beïnvloeden de keuze.

Exclusieve verbindingen bereiken resources in virtuele netwerken via privéadressering. Met aanvullende configuratie kunnen ze ook ondersteunde openbare clouddiensten bereiken, bijvoorbeeld via een AWS public virtual interface of ExpressRoute Microsoft peering. Het zijn netwerkverbindingen met de cloud; de bestaande servers van de organisatie blijven waar ze zijn.

Een verbindingskeuze begint bij het werk dat de verbinding moet ondersteunen. Bepaal wie toegang nodig heeft, hoeveel gegevens worden overgedragen, wat de deadline is, welke consistentie nodig is, wanneer de verbinding moet worden geïnstalleerd, wat de beveiligingsvereisten zijn en wat het effect van een storing is. Verschillende antwoorden leiden tot verschillende verbindingen.

Beperk de keuze

Een bedrijf met 40 kantoormedewerkers en een deadline volgende week kan beginnen met een site-to-site-VPN. Voor 300 medewerkers die afzonderlijk thuiswerken, geeft een client-VPN elk apparaat toegang tot interne hulpmiddelen. Voor een bank die dagelijks terabytes verplaatst, kunnen exclusieve verbindingen via verschillende locaties en versleuteling gerechtvaardigd zijn. Een fabrikant die op een verbinding wacht, kan eerst een VPN gebruiken en die als back-up behouden.

Controleer het overdrachtsvenster

Bandbreedte is de capaciteit van een verbinding; doorvoersnelheid is de daadwerkelijk behaalde snelheid. Latentie is de vertraging voor een overtocht. Een verbinding met veel capaciteit kan een groot bestand snel overdragen, terwijl een grote afstand elke retour nog steeds vertraagt.

Gebruik decimale gegevenseenheden: 1 GB is één miljard bytes en 1 TB is één biljoen bytes. Elke byte bevat 8 bits. Gebruik voor de hoeveelheid gegevens en de snelheid overeenkomstige eenheden in bits:

Een back-up van 2 TB bevat 16 biljoen bits. Bij een effectieve snelheid van 500 Mbps deel je door 500 miljoen bits per seconde en krijg je 32.000 seconden, ongeveer 8,9 uur. Dat past niet in een venster van 8 uur. Bij een aanhoudende snelheid van 10 Gbps geeft de berekening 1.600 seconden, ongeveer 27 minuten. Gebruik de effectieve doorvoersnelheid voor een praktische schatting; een opgegeven poortsnelheid alleen houdt geen rekening met protocoloverhead, gedeeld gebruik of een trage bronschijf.

Bij een uitzonderlijk grote eenmalige migratie kan een netwerk te veel tijd kosten, zelfs als het volledig wordt benut. Het versturen van 500 TB via 1 Gbps duurt 4.000.000 seconden, ongeveer 46 dagen. Fysieke overdrachtsdiensten zoals Azure Data Box kunnen grote hoeveelheden gegevens verplaatsen door een gevuld apparaat te verzenden. Vergelijk het volledige migratieschema, niet alleen de netwerkoverdracht.

Controleer beveiliging en gedrag bij storingen

Een VPN biedt versleuteld transport over het internet. Een exclusieve verbinding biedt een privéroute en heeft aanvullende versleuteling nodig als die is vereist. Als beide eigenschappen vereist zijn, zijn beide maatregelen nodig. Als een exclusieve verbinding uitvalt, herstelt een VPN-back-up een route, maar kan die mogelijk niet dezelfde gegevens binnen het oorspronkelijke venster overdragen. Bepaal welke applicaties moeten blijven werken en hoeveel de back-up kan verwerken.

Controleer ongeacht de transportmethode of adresbereiken elkaar niet overlappen, of er routes in beide richtingen zijn, of de firewallmachtigingen voor resources kloppen en of DNS-doorsturing voor privénamen werkt. Een grotere verbinding kan een adresconflict of een ontbrekende retourroute niet oplossen. Evenmin kan een werkende tunnel een privénaam omzetten zonder de juiste resolverroute.

Koppel voor de definitieve beslissing elke keuze aan een genoemde behoefte. “VPN omdat het kantoor morgen privétoegang nodig heeft en het verkeer beperkt is” is een bruikbare uitleg. “Exclusief omdat het sneller is” laat de afgenomen capaciteit, het overdrachtsvenster, de levertijd en het storingsplan buiten beschouwing.