Röviden: A kezdeti CIDR- és alhálózat-tervezés csendben meghatározza a későbbi skálázást, a peeringet és a hibrid összeköttetést. Néhány döntést utólag nagyon fájdalmas javítani.
A zöldmezős VPC-tervezés az a feladat, amit mindenki gyorsan le akar tudni, hogy végre elindulhasson a tényleges munka. Pont ezért születik itt a legtöbb olyan döntés, amit két év múlva keservesen bánunk. A hálózati alapok ugyanis nehezen változtathatók: egy rosszul megválasztott címtartomány később átfedésbe kerül egy másik hálózattal, és onnan már csak fájdalmas migrációval van kiút.
A címtartomány nem véletlenszám
A leggyakoribb hiba, hogy az első kézre eső privát tartományt választjuk, mert „úgyis privát, mindegy”. Nem mindegy. Amint két hálózatot össze akarsz kötni — legyen az VPC peering, tranzithálózat vagy on-prem VPN —, az átfedő címtartományok kizárják egymást. Két azonos tartomány között nem lehet forgalmat irányítani.
Hagyj helyet a növekedésnek
A VPC mérete utólag korlátozottan bővíthető, az alhálózatoké gyakorlatilag nem. Ezért a kezdeti méretezésnél inkább légy bőkezű: egy szűkre szabott hálózat pár év alatt kifogy a címekből, és akkor jön a fájdalmas újratervezés. A nagyobb tartomány foglalása nem kerül semmibe, a hely hiánya viszont igen.
Alhálózati stratégia
Érdemes előre eldönteni a rétegzést, és következetesen tartani minden AZ-ben:
| Réteg | Cél | Internet-elérés |
|---|---|---|
| Publikus | Terheléselosztó, NAT | Közvetlen, be- és kifelé |
| Privát alkalmazás | Szolgáltatások, konténerek | Csak kifelé, NAT-on át |
| Privát adat | Adatbázis, cache | Nincs, csak belső |
Ez a háromrétegű minta nem kötelező, de jó alap: tisztán elkülöníti, mi érhető el kívülről, és mi nem. A konzisztencia AZ-k között azért fontos, hogy az automatizálás és a rendelkezésre állás kiszámítható legyen.
Multi-AZ már az elején
Akkor is tervezz több elérhetőségi zónára, ha ma egy is elég. Az alhálózatokat AZ-nként hozod létre, és utólag új réteget bevezetni egy meglévő, forgalmas VPC-be macerás. Ha az első naptól minden rétegből van legalább kettő-három AZ-ben, a rendelkezésre állás bővítése később csak konfiguráció, nem hálózati átépítés.
Gondolj a hibridre, még ha ma nem is kell
Sok csapat esküszik rá, hogy sosem lesz on-prem összeköttetése — aztán egy akvizíció, egy compliance-igény vagy egy migráció felülírja ezt. Ha a címtartományod eleve nem ütközik a tipikus vállalati hálózatokkal, a későbbi VPN vagy dedikált összeköttetés triviális lesz. Ha ütközik, újra kell címezni. Az olcsó biztosítás itt annyi, hogy nem a legelterjedtebb, mindenki által használt tartományt választod.
A visszafordíthatatlan döntések listája
- A VPC alap-címtartománya — utólag csak bővíthető, cserélni gyakorlatilag migráció.
- Az alhálózatok mérete — nem nyújtható, ha kifogy, új alhálózat kell.
- Az AZ-lefedettség mintája — a következetlenség később állandó kivételkezelést szül.
Ezeket a döntéseket éri meg lassan, körültekintően meghozni. Szinte minden más — biztonsági csoportok, route-ok, endpointok — később is kényelmesen módosítható.
A skálázás előretervezése
A jó VPC-terv nemcsak a mai igényt, hanem a következő évek növekedését is figyelembe veszi. Ha ma két alhálózat elég, tervezz úgy, hogy holnap tíz is elférjen. A címtartomány felosztásánál hagyj tudatosan üres, lefoglalt tartományokat a jövőbeli rétegeknek és környezeteknek. Ez a hely nem kerül semmibe, a hiánya viszont fájdalmas újratervezéshez vezet.
Egy hasznos gyakorlat, hogy a felosztást hierarchikusan tervezed: nagyobb blokkok környezetenként (prod, staging, dev), azon belül rétegenként (publikus, alkalmazás, adat), és azon belül AZ-nként. Ez a rendszeresség megkönnyíti az automatizálást és az átláthatóságot.
A biztonsági határok korai megalapozása
Bár a biztonsági csoportok és a hálózati szabályok később is módosíthatók, az alapstruktúrát érdemes az elején jól lefektetni. A háromrétegű minta (publikus, privát alkalmazás, privát adat) nemcsak áttekinthető, hanem biztonsági határokat is húz: az adatréteg soha ne legyen közvetlenül elérhető kívülről.
A dokumentáció mint befektetés
A VPC-terv csak akkor ér valamit hosszú távon, ha dokumentált. Egy egyszerű, karbantartott ábra és címtartomány-nyilvántartás felbecsülhetetlen, amikor két év múlva valaki új összeköttetést épít, vagy hibát keres. A hálózati döntések ritkán változnak, de amikor igen, a dokumentáció menti meg a napodat. Fektess bele időt az elején — a leendő önmagad hálás lesz.
Mit jelent ez neked?
A VPC-tervezés az a ritka feladat, ahol a lassúság kifizetődik. Válassz olyan címtartományt, ami nem ütközik semmivel, amivel valaha összekötheted, méretezz bőségesen, és tervezz több AZ-re már az első naptól. A biztonsági szabályokat később is átírhatod; a rosszul megválasztott címtartományt viszont a leendő önmagad fogja megkeserülni.