Aws Vpc

🌐 La Bible du Réseau : Du Matériel Physique au Cloud AWS

Ce guide détaille comment les données circulent, sont protégées et routées, en comparant le monde traditionnel (On-Premise) et l’infrastructure moderne d’AWS.

---

1. Fondations : Le Matériel vs le Logiciel (SDN)

Pour comprendre AWS, il faut visualiser ce que le Cloud remplace.

L’Internet Gateway (IGW)

• Hors Cloud : Un Routeur de Bordure physique (Cisco/Juniper) dans une baie. Un câble fibre en sort pour aller chez l’opérateur. C’est un point de défaillance unique (si le boîtier grille, plus d’Internet).

• Sur AWS : Un service Software Defined Networking (SDN). C’est une porte logique redondante à l’échelle de la Région. Elle ne sature jamais et ne tombe pas en panne physiquement.

La Table de Routage

• Hors Cloud : Un fichier stocké dans la mémoire vive (RAM) d’un routeur. Le processeur du boîtier analyse chaque paquet pour l’envoyer vers le bon câble.

• Sur AWS : Une base de données de configuration. AWS injecte ces règles directement dans la carte réseau Nitro de chaque serveur physique. Le routage est fait à la “source” par le logiciel.

L’ENI (Elastic Network Interface)

C’est la carte réseau virtuelle. Chaque ressource (EC2, Lambda) en possède une pour avoir une IP privée, une adresse MAC et des Security Groups. On peut la détacher d’une instance pour la mettre sur une autre : l’identité réseau “suit” la carte.

---

2. Le NAT : Masquage et Gestion des Flux Sortants

Le NAT permet à des machines privées (sans IP publique) d’accéder à Internet.

Le Principe du PAT (Port Address Translation)

C’est le concept du “Plusieurs pour Un”.

• Mécanisme : Le NAT utilise les numéros de ports pour différencier les requêtes. (Ex: L’instance A utilise le port 10001, l’instance B le port 10002).

• NAT Instance (Legacy) : Une EC2 classique qui fait le job. Limitée par sa RAM/CPU. Si elle a trop de demandes, la table de ports sature et le réseau coupe.

• NAT Gateway (AWS) : Service managé surpuissant. Gère 55 000 connexions simultanées vers une destination unique. On peut ajouter jusqu’à 8 IPs pour monter à 440 000 connexions.

---

3. Sécurité : La Double Ligne de Défense (SG vs NACL)

Caractéristique	Security Group (SG)	Network ACL (NACL)
Niveau	L’Instance (ENI).	Le Subnet (le quartier).
État (Stateful)	OUI : Si le paquet entre, il sort d’office.	NON (Stateless) : Il faut autoriser l’aller ET le retour.
Type de règle	Uniquement “Allow” (Autoriser).	”Allow” ET “Deny” (Refuser).
Application	S’applique à la ressource.	S’applique à tout le sous-réseau.

---

4. Architectures Multi-VPC : Peering vs Hub & Spoke

VPC Peering (Le Maillage)

• Routage : Connexion directe 1-à-1. Pas de transitivité (Si A→B et B→C, alors A ne voit pas C).

• Internet : Chaque VPC possède sa propre IGW (1 sortie Internet par VPC).

Hub & Spoke (Transit Gateway)

• Routage : Un routeur central (Hub) où l’on branche tous les VPC (Spokes). Supporte la transitivité totale.

• Internet : Permet de centraliser la sortie Internet. Une seule IGW dans le Hub sert à tous les Spokes. Idéal pour l’inspection de sécurité centralisée.

---

5. Le VPN Site-to-Site (Hybride)

Connecte ton bureau physique à AWS via un tunnel chiffré sur Internet.

Mise en place technique :

1. CGW (Customer Gateway) : Tu enregistres l’IP publique de ton routeur de bureau dans AWS.

2. VGW (Virtual Private Gateway) : Tu crées cette “prise” VPN et tu l’attaches à ton VPC.

3. VPN Connection : Tu lies la CGW et la VGW. AWS te donne alors les IPs des tunnels et la clé de sécurité (PSK).

4. Routage : Tu ajoutes une route dans ton VPC : “Pour 192.168.1.0/24 (Bureau), vise la VGW”.

5. Configuration Physique : Tu configures ton routeur (Cisco, Fortinet) avec les paramètres d’AWS.

L’Encapsulation (La double enveloppe) :

Le paquet privé (10.x) est chiffré, puis mis dans une enveloppe publique adressée à l’IP de ton routeur. Internet ne voit que le trajet entre les deux routeurs, pas le contenu.

---

6. VPC Endpoints (Accès Privé aux Services AWS)

Pour parler à S3 ou SQS sans passer par Internet ni payer une NAT Gateway.

• Gateway Endpoint (S3, DynamoDB) : Gratuit. C’est juste une règle dans la Table de Routage.

• Interface Endpoint (PrivateLink) : Payant. AWS dépose une ENI (IP privée) dans ton subnet. Ton EC2 croit parler à un voisin local, mais elle parle directement au service AWS via le réseau interne (BackboError uploading file: net::ERR_NAME_NOT_RESOLVEDne).

---

💡 Aide-mémoire pour l’Architecte

• L’IGW est pour ce qui doit être vu.

• Le NAT est pour ce qui doit voir sans être vu.

• Le VPN est pour fusionner ton bureau et le Cloud.

• L’Endpoint est pour économiser de l’argent et rester 100% privé.