đ La Bible du RĂ©seau AWS : Du MatĂ©riel Physique au Cloud Global
Ce guide dĂ©taille comment les donnĂ©es circulent, sont protĂ©gĂ©es, routĂ©es et accĂ©lĂ©rĂ©es, en comparant le monde traditionnel (On-Premise) et lâinfrastructure moderne dâAWS.
1. Fondations : Le Matériel vs le Logiciel (SDN)
Pour comprendre AWS, il faut visualiser ce que le Cloud remplace.
- Hors Cloud : Un Routeur de Bordure physique (Cisco/Juniper) dans une baie. Un cĂąble fibre en sort pour aller chez lâopĂ©rateur. Câest un point de dĂ©faillance unique (si le boĂźtier grille, plus dâInternet).
- Sur AWS : Un service Software Defined Networking (SDN). Câest une porte logique redondante Ă lâĂ©chelle de la RĂ©gion. Elle ne sature jamais et ne tombe pas en panne physiquement.
- Hors Cloud : Un fichier stockĂ© dans la mĂ©moire vive (RAM) dâun routeur. Le processeur du boĂźtier analyse chaque paquet pour lâenvoyer vers le bon cĂąble.
- Sur AWS : Une base de donnĂ©es de configuration. AWS injecte ces rĂšgles directement dans la carte rĂ©seau Nitro de chaque serveur physique. Le routage est fait Ă la âsourceâ par le logiciel.
LâENI (Elastic Network Interface) Câest la carte rĂ©seau virtuelle. Chaque ressource (EC2, Lambda) en possĂšde une pour avoir une IP privĂ©e, une adresse MAC et des Security Groups. On peut la dĂ©tacher dâune instance pour la mettre sur une autre : lâidentitĂ© rĂ©seau âsuitâ la carte.
2. Le NAT : Masquage et Gestion des Flux Sortants
Le NAT permet Ă des machines privĂ©es (sans IP publique) dâaccĂ©der Ă Internet.
Le Principe du PAT (Port Address Translation) Câest le concept du âPlusieurs pour Unâ.
- MĂ©canisme : Le NAT utilise les numĂ©ros de ports pour diffĂ©rencier les requĂȘtes. (Ex: Lâinstance A utilise le port 10001, lâinstance B le port 10002).
- NAT Instance (Legacy) : Une EC2 classique qui fait le job. Limitée par sa RAM/CPU. Si elle a trop de demandes, la table de ports sature et le réseau coupe.
- NAT Gateway (AWS) : Service managĂ© surpuissant. GĂšre 55 000 connexions simultanĂ©es vers une destination unique. On peut ajouter jusquâĂ 8 IPs pour monter Ă 440 000 connexions.
3. Sécurité : La Double Ligne de Défense (SG vs NACL)
| Caractéristique | Security Group (SG) | Network ACL (NACL) |
|---|---|---|
| Niveau | LâInstance (ENI). | Le Subnet (le quartier). |
| Ătat (Stateful) | OUI : Si le paquet entre, il sort dâoffice. | NON (Stateless) : Il faut autoriser lâaller ET le retour. |
| Type de rĂšgle | Uniquement âAllowâ (Autoriser). | âAllowâ ET âDenyâ (Refuser). |
| Application | Sâapplique Ă la ressource. | Sâapplique Ă tout le sous-rĂ©seau. |
4. Architectures Multi-VPC : Peering vs Hub & Spoke
VPC Peering (Le Maillage)
- Routage : Connexion directe 1-Ă -1. Pas de transitivitĂ© (Si AâB et BâC, alors A ne voit pas C).
- Internet : Chaque VPC possĂšde sa propre IGW (1 sortie Internet par VPC).
- Routage : Un routeur central (Hub) oĂč lâon branche tous les VPC (Spokes). Supporte la transitivitĂ© totale.
- Internet : Permet de centraliser la sortie Internet. Une seule IGW dans le Hub sert Ă tous les Spokes. IdĂ©al pour lâinspection de sĂ©curitĂ© centralisĂ©e.
5. Connectivité Hybride & Privée (Relier son bureau au Cloud)
Le VPN Site-to-Site (Hybride via Internet) Connecte ton bureau physique à AWS via un tunnel chiffré sur Internet.
- Mise en place : Tu lies la CGW (Customer Gateway - ton IP publique de bureau) à la VGW (Virtual Private Gateway - la prise cÎté AWS). AWS te donne les IPs des tunnels et la clé (PSK).
- LâEncapsulation : Le paquet privĂ© (10.x) est chiffrĂ©, puis mis dans une enveloppe publique. Internet ne voit que le trajet entre les routeurs, pas le contenu.
AWS Direct Connect - DX(La Ligne Fibre DĂ©diĂ©e) Un cĂąble physique privĂ© tirĂ© entre ton entreprise et AWS. Pas dâInternet public.
- VPN vs DX : Le VPN est rapide Ă monter mais limitĂ© en bande passante (~1.25 Gbps) et passe par Internet. DX prend des mois Ă installer, coĂ»te trĂšs cher, mais offre une fibre privĂ©e massive (jusquâĂ 100 Gbps).
- Virtual Interfaces (VIF) : Dans ce cùble physique, on crée des tuyaux virtuels : Private VIF (pour ton VPC), Public VIF (pour S3/DynamoDB) ou Transit VIF (pour la Transit Gateway).
VPC Endpoints (LâAccĂšs 100% PrivĂ© aux Services AWS) Pour parler Ă S3 ou SQS sans passer par Internet ni payer une NAT Gateway.
- Gateway Endpoint (S3, DynamoDB) : Gratuit. Câest juste une rĂšgle dans la Table de Routage.
- Interface Endpoint (PrivateLink) : Payant. AWS dépose une ENI (IP privée) dans ton subnet. Ton EC2 croit parler à un voisin local, mais elle parle au service AWS via le réseau interne (Backbone).
6. Diffusion Globale et RĂ©partition de Charge
CloudFront : Le Réseau de Distribution (CDN) Rapproche ton contenu des utilisateurs finaux pour réduire la latence.
- Le MĂ©canisme : Utilise des Edge Locations (400+ mini-data centers dans le monde). Si lâimage est en cache (Hit), elle est servie instantanĂ©ment. Sinon (Miss), CloudFront va la chercher Ă lâOrigine (S3, EC2).
- SĂ©curitĂ© (OAC) : Origin Access Control permet de verrouiller ton bucket S3 pour quâil nâaccepte que les requĂȘtes venant de CloudFront (empĂȘche le contournement).
Global Accelerator (LâAutoroute Globale)
- Contrairement à CloudFront (conçu pour le HTTP/cache), Global Accelerator fonctionne au niveau réseau (TCP/UDP) et ne met rien en cache.
- Il te donne 2 IPs fixes Anycast. Ton trafic entre sur le rĂ©seau AWS au plus prĂšs de chez toi et fonce vers ton application via le rĂ©seau privĂ© ultra-rapide dâAWS (Backbone). IdĂ©al pour le jeu en ligne ou lâIoT.
Elastic Load Balancing (ELB) : Les Aiguilleurs locaux
- ALB (Application Load Balancer - Couche 7) : Lâintelligent. Il lit le HTTP et route selon lâURL (ex:
/imagesvs/api). - NLB (Network Load Balancer - Couche 4) : La brute de performance. Il gĂšre du TCP/UDP brut, encaisse des millions de requĂȘtes avec une latence ultra-faible, et fournit une IP statique.
7. LâIntelligence du Routage : DNS vs Load Balancer
Câest une confusion classique : les deux font du âroutageâ, mais pas Ă la mĂȘme Ă©chelle.
- Route 53 (Le GPS Global) : Intervient avant la connexion. Il donne lâadresse IP de destination. Niveau DNS (Macro).
- Load Balancer (Le Vigile Local) : Intervient aprĂšs. Il reçoit la connexion sur lâIP donnĂ©e par Route 53 et distribue les paquets aux serveurs en arriĂšre-plan. Niveau Connexion/Applicatif (Micro).
LâIntelligence âAveugleâ de Route 53
Le DNS est âstatelessâ (sans Ă©tat). Route 53 ne voit ni le CPU, ni la RAM de tes serveurs. Il prend ses dĂ©cisions grĂące Ă des bases de donnĂ©es et des probabilitĂ©s :
- Routing Simple & Alias : Fait pointer un nom vers une IP. LâAlias (spĂ©cifique AWS) permet de pointer gratuitement vers une ressource AWS dont lâIP change (comme un Load Balancer).
- Weighted (PondĂ©rĂ©) : La loi des probabilitĂ©s. Pour un ratio 80/20, Route 53 lance un âdĂ© virtuelâ. Sur 10 000 requĂȘtes, la rĂ©partition sera exactement de 80% pour A et 20% pour B.
- Latency (Latence) : AWS cartographie en permanence la vitesse entre ses RĂ©gions et les fournisseurs dâaccĂšs (FAI) mondiaux. Route 53 regarde le FAI de lâutilisateur et renvoie lâIP de la RĂ©gion AWS la plus rapide historiquement.
- Geolocation : Route 53 utilise un annuaire GeoIP gĂ©ant. Il regarde lâIP de lâutilisateur, dĂ©duit son pays, et le route selon tes rĂšgles (ex: lâEurope va sur le serveur de Francfort).
- Failover (Basculement) & Health Checks : AWS dĂ©ploie des âsondesâ mondiales qui testent ton serveur principal toutes les 10-30 secondes. Si trop de sondes Ă©chouent, Route 53 dĂ©clare la cible âUnhealthyâ et bascule le trafic DNS sur lâIP de secours.
â ïž Le PiĂšge Ultime : Route 53 ne gĂšre jamais la charge serveur. Si le Serveur A est Ă 100% de CPU mais rĂ©pond toujours âOKâ aux Health Checks, Route 53 continuera de lui envoyer du trafic. Câest le rĂŽle du Load Balancer (placĂ© derriĂšre) de vĂ©rifier la charge locale rĂ©elle.
đĄ LâAide-mĂ©moire Ultime de lâArchitecte
- LâIGW est pour ce qui doit ĂȘtre vu.
- Le NAT est pour ce qui doit voir sans ĂȘtre vu.
- Le VPN fusionne ton bureau et le Cloud à moindre coût via Internet.
- Direct Connect est pour une connexion fibre 100% privée, stable et dédiée.
- LâEndpoint permet dâaccĂ©der aux services AWS en restant 100% privĂ© (sans NAT ni IGW).
- Route 53 rĂ©pond Ă : âOĂč dois-je aller ?â (LâAiguilleur).
- CloudFront rĂ©pond Ă : âDonne-moi ce fichier le plus vite possible.â (Le Cache).
- Global Accelerator rĂ©pond Ă : âJe veux accĂ©lĂ©rer du trafic TCP/UDP sans cache.â (LâAutoroute).
- LâALB route en fonction du contenu (URL), le NLB route en fonction de la vitesse pure (IP/Port).