Ediciones ENI Editorial | líder en informática
Crear una red en AWS
Introducción
En los capítulos anteriores, hemos analizado en profundidad la gestión de múltiples cuentas, la Infrastructure as Code y la postura de seguridad. Ahora queda por construir la columna vertebral que transporta los paquetes, aísla los entornos y dirige cada solicitud hacia el recurso adecuado: la red. AWS ofrece un amplio abanico de herramientas, desde una simple VPC privada hasta una cobertura global con latencias de dos dígitos. A continuación, se presentan los principios esenciales para diseñar, proteger, conectar y optimizar tus flujos de red.
Amazon VPC: crear y segmentar su red de AWS
Una Virtual Private Cloud (VPC) va más allá de la simple agrupación de instancias: define el espacio de red de su aplicación, aísla los componentes sensibles y controla el flujo del tráfico. Su diseño se basa en tres decisiones: el bloque de direcciones que se va a reservar, la forma de dividirlo en subredes y las reglas que rigen los intercambios entre estas zonas.
1. Elegir el espacio de direcciones: el arte de pensar a lo grande sin desperdiciar recursos
Un bloque CIDR se debe elegir con método: servirá de referencia cuando tenga que conectar la VPC a su red interna, a una VPC asociada o a un nuevo entorno en la misma región. Por lo tanto, comience haciendo un inventario de los rangos ya utilizados. Si la red de la sede ocupa todo el 10.0.0.0/8, selecciona mejor un espacio como 172.20.0.0/16; así evitarás cualquier solapamiento de direcciones cuando llegue el momento de crear enlaces privados o VPN.
El otro escollo es subestimar las necesidades. Un /24 (256 direcciones IP) parece suficiente para un servicio pequeño, hasta que un clúster de Kubernetes requiere el triple de direcciones para sus nodos y sus pods. La regla empírica consiste en reservar al menos un /20 (4096 direcciones) por cada entorno principal (desarrollo, preproducción, producción), aunque al principio solo se utilice una fracción. Si...
Seguridad de red: Security Group, NACL et Bastion Host security group
En cuanto una VPC empieza a alojar aplicaciones reales, la cuestión ya no es solo saber "dónde" circulan los paquetes, sino "quién" tiene permiso a enviarlos y "cuándo" pueden cruzar una frontera. En AWS, este control del tráfico se lleva a cabo en dos niveles (la interfaz de red y la subred) y culmina en una puerta de acceso humano cuidadosamente controlada: el bastion host o, cada vez más, el túnel cifrado de Systems Manager.
1. Security Group: la guardia de cerca de cada recurso
Un security group actúa como un cortafuegos de estado asociado a cada interfaz (ENI) o a cada servicio gestionado que pueda residir en una VPC. Se especifica el origen del tráfico entrante, el puerto en cuestión y, opcionalmente, el protocolo; si se admite la solicitud, la respuesta saliente pasa sin que sea necesario abrir la regla inversa. Esta lógica "stateful" simplifica la configuración: basta con autorizar HTTPS desde el load balancer hacia las instancias de la aplicación; los paquetes de retorno encontrarán naturalmente su camino.
La sintaxis favorece la legibilidad: se hace referencia a otro security group en lugar de a una dirección IP, lo que evita tener que escribir direcciones CIDR fijas. Un grupo "ALB-Ingress" apunta a un grupo «App-Fleet»...
VPN, Direct Connect y Transit Gateway: conectar AWS con el resto del mundo
La frontera de una VPC no debe permanecer hermética; tarde o temprano, sus aplicaciones tendrán que comunicarse con un centro de datos, una sede central o una segunda VPC. AWS ofrece tres mecanismos complementarios para establecer estas conexiones: la VPN de sitio a sitio, el circuito privado Direct Connect y el orquestador central Transit Gateway. Cada uno responde a una necesidad concreta; combinarlos permite obtener tanto la flexibilidad de Internet como la previsibilidad de un enlace dedicado.
1. VPN de sitio a sitio: poner la en marcha en pocos minutos
La VPN de AWS se basa en un túnel IPsec establecido entre su puerta de enlace local (Customer Gateway) y la puerta de enlace virtual de la VPC (Virtual Private Gateway) o, más recientemente, una conexión a Transit Gateway. La puesta en marcha se limita a unos pocos campos: la dirección IP de la puerta de enlace del cliente, el tipo de BGP o de enrutamiento estático y la clave precompartida IKE. De forma predeterminada se crean dos túneles redundantes; si uno falla, el tráfico se redirige en menos de treinta segundos. El ancho de banda tiene un límite de 1,25 Gb/s por túnel, la latencia depende de la ruta de Internet y el coste se limita a una tarifa por hora más los datos salientes. Para un laboratorio, un entorno de recuperación o una conexión...
Load Balancers, Route 53 y Global Accelerator: optimizar la distribución del tráfico
Una vez configurada la red y establecidas las interconexiones, queda por dirigir cada solicitud hacia el destino correcto, absorber los picos de carga y mantener la calidad del servicio cuando un nodo, una zona o incluso una región quede indisponible. En AWS, la distribución del tráfico se basa en tres niveles complementarios: el load balancing regional, la resolución DNS inteligente y la aceleración de red global.
1. Equilibrio de carga en la región: de ALB a NLB
En el primer nivel, Elastic Load Balancing ofrece tres variantes. El Application Load Balancer gestiona los flujos HTTP y HTTPS. Descifra el TLS, inspecciona el encabezado Host o la ruta de la URL y, a continuación, dirige la solicitud al destino adecuado: un grupo de instancias, tareas de ECS o pods de EKS. También actúa como punto de autenticación; al activar la integración OIDC, se puede obligar a un usuario a pasar por el SSO antes de acceder a cualquier página.
Por su parte, el Network Load Balancer se centra en el rendimiento bruto. Situado en la capa de transporte, gestiona los protocolos TCP o UDP sin inspeccionar el contenido. Su latencia es prácticamente nula y conserva la dirección IP de origen hasta el destino, algo indispensable para ciertos esquemas de cifrado punto a punto o para el registro preciso de los logs. Admite varios millones de conexiones simultáneas...