Redes em nuvem

01

Sua própria rede na nuvem: redes virtuais e intervalos de IP

Um data center de nuvem roda, lado a lado, os servidores de um número enorme de clientes. Mesmo assim, os seus servidores devem conversar só entre si e ficar separados dos servidores dos outros. Por isso a nuvem dá a cada cliente uma rede isolada logicamente, chamada rede virtual. Os cabos e switches físicos são compartilhados, mas os endereços, as rotas e as regras são só seus.

A primeira coisa que você decide ao criar uma rede virtual é a faixa de endereços IP que ela vai usar (o intervalo de endereços). Normalmente você escolhe dentro dos intervalos privados, que são reservados para nunca serem usados na internet pública. Qualquer empresa ou casa pode reutilizar esses endereços privados — e é justamente por isso que eles não conseguem sair sozinhos para a internet (o capítulo 3 mostra como eles saem).

CIDR: como ler o número depois da barra

Um endereço IPv4 tem 32 bits. 10.0.0.0/16 quer dizer “os primeiros 16 bits (10.0) são fixos, e esta rede pode usar os 16 bits restantes”. Isso dá 2^16 = 65.536 endereços. Quanto maior o número depois da /, mais bits ficam fixos e menor fica o intervalo. Essa notação se chama CIDR, e o intervalo que ela descreve é um bloco CIDR. Experimente mudar o tamanho da sub-rede na cena abaixo.

Depois você divide o intervalo da rede virtual em sub-redes. Uma sub-rede é uma área onde você agrupa servidores com o mesmo papel — por exemplo, uma camada web voltada para a internet e uma camada de banco de dados que você mantém escondida. Cada sub-rede pode ter as próprias rotas (capítulo 2) e regras de firewall (capítulo 4).

Não dá para usar todos os endereços de uma sub-rede

Em toda sub-rede, a nuvem reserva alguns endereços para ela mesma: o primeiro endereço (o endereço de rede), o gateway que leva para fora da sub-rede, o DNS e assim por diante. Quantos ela reserva depende do provedor de nuvem. Então, mesmo em uma sub-rede /24, sobram para os seus servidores um pouco menos de 256 endereços.

Comece grande e não se sobreponha

Intervalos de endereços são difíceis de mudar depois de criados. Pense nos servidores e serviços que vão chegar mais adiante, escolha um intervalo folgado e confira se ele não se sobrepõe à sua rede corporativa nem às suas outras redes virtuais. Esta é a parte que costuma confundir: se a rede do escritório usa 192.168.0.0/16 e a rede na nuvem usa o mesmo intervalo, quando você tentar conectar as duas mais tarde, nada vai saber de qual lado é o 192.168.1.10 — e a conexão simplesmente não funciona (capítulo 7).

Você já dividiu o seu intervalo em sub-redes. Mas, quando um servidor de uma sub-rede envia um pacote, como esse pacote sabe para onde ir?

02

Sub-redes e roteamento: o que torna uma sub-rede pública ou privada

Quando um servidor envia um pacote, quem decide para onde ele vai é a tabela de rotas associada à sub-rede dele. Uma tabela de rotas é uma lista de linhas que dizem “pacotes que vão para este intervalo saem por aquela porta”. Toda rede virtual já começa com uma rota padrão que diz “endereços de dentro da rede são entregues dentro da rede”, então as sub-redes conversam entre si sem nenhuma configuração extra.

Destino           Próximo salto (para onde enviar)
10.0.0.0/16       Dentro da rede (local)
172.16.0.0/12     Conexão VPN → rede corporativa
0.0.0.0/0         Gateway da internet

A tabela de rotas procura a linha que corresponde ao endereço de destino do pacote e o envia para o próximo salto dessa linha. Digamos que um servidor web envie um pacote para um servidor de banco de dados na mesma rede (10.0.2.15). 10.0.2.15 está dentro de 10.0.0.0/16, então corresponde à primeira linha. Só que 0.0.0.0/0 quer dizer “qualquer endereço”, então ele corresponde também à última.

Quando várias linhas correspondem, vence a mais específica — a que tem o maior número depois da /. Isso se chama correspondência de prefixo mais longo (longest prefix match). Um /16 é mais específico que um /0, então esse pacote é entregue dentro da rede. Já um site na internet (203.0.113.10) não corresponde às duas primeiras linhas. Ele só corresponde a 0.0.0.0/0, então vai para o gateway da internet. É por isso que 0.0.0.0/0 se chama rota padrão: é para lá que vai qualquer endereço que não corresponde a mais nada. Experimente mudar o destino e o tipo de sub-rede na cena abaixo.

Sub-redes públicas e sub-redes privadas

Uma sub-rede com rota para a internet (0.0.0.0/0 → internet) é chamada de sub-rede pública, e uma sem essa rota é uma sub-rede privada. Esta é a parte que costuma confundir: quem decide é a rota, e não o nome que você deu à sub-rede. E, mesmo em uma sub-rede pública, um servidor precisa de um IP público para falar diretamente com a internet. Um servidor só com IP privado não pode ser alcançado pela internet, mesmo estando em uma sub-rede pública.

Um serviço web típico fica organizado assim.

Você escondeu o banco de dados e os servidores de app em sub-redes privadas. Mas eles ainda precisam de atualizações de segurança e precisam chegar ao serviço de armazenamento da nuvem. Sem rota para a internet, como eles saem?

03

Como sair de uma sub-rede privada: NAT e endpoints privados

O NAT (tradução de endereços de rede) age em nome dos seus servidores privados. Quando um servidor envia um pacote para a internet, o NAT troca o endereço de origem do pacote pelo próprio IP público e o envia. Quando a resposta volta, o NAT lembra quem fez a requisição e entrega a resposta ao servidor certo.

O segredo está na direção. O NAT só cuida de conexões que começam do lado de dentro. Uma conexão que começa do lado de fora é descartada, porque o NAT não faz ideia de para qual servidor ela é. Então, quando uma questão diz “os servidores precisam receber atualizações, mas não podem ser acessados pela internet”, a resposta é NAT. Se você precisar mesmo aceitar requisições da internet, vai precisar de um balanceador de carga (capítulo 5) ou de um IP público no servidor.

Normalmente você usa o NAT como um serviço que a nuvem gerencia para você. Também dá para transformar um servidor seu em uma instância NAT, mas, se ele cair, a sub-rede privada inteira perde a saída — então a alta disponibilidade e a manutenção ficam por sua conta. Onde um NAT gerenciado fica (em uma única zona ou na região inteira) depende do provedor.

Como chegar aos serviços da nuvem sem a internet: endpoints privados

Serviços gerenciados da nuvem, como armazenamento, filas e gerenciamento de chaves, costumam ter endereços públicos, voltados para a internet. Se um servidor privado simplesmente chama esses serviços, o tráfego sai pelo NAT para a internet e volta. Com um endpoint privado, esse trajeto fica dentro da sua rede. Existem dois tipos.

Agora os pacotes sabem para onde ir. Mas ter uma estrada não quer dizer deixar qualquer um passar por ela. Você precisa de um guardião que decida quais pacotes entram e quais são barrados.