חיבור שתי רשתות בענן
VPC Peering

בלי כתוביותעם כתוביות

מילון מושגים:

ענן - אספקת משאבי מחשוב כשירות דרך האינטרנט, כמו שרתים, אחסון ותוכנות, במקום להחזיק אותם מקומית.

VPC - רשת וירטואלית פרטית ומבודדת בתוך הענן, שבה הלקוח שולט בכתובות, בתת-רשתות ובכללי הגישה.

AWS - שירותי הענן של אמזון (Amazon Web Services), המספקים שרתים, אחסון, מסדי נתונים ושירותים נוספים לפי שימוש.

שרת אינטרנט - תוכנה או מחשב שמקבלים בקשות HTTP ומגישים דפי אינטרנט ומשאבים ללקוחות.

שער - התקן או נקודה שמחברים בין רשתות ומעבירים דרכם תעבורה החוצה, למשל שער ברירת המחדל ליציאה לאינטרנט.

SSH - פרוטוקול לחיבור מרוחק ומוצפן למחשב, בעיקר לשרתי Linux, לצורך ניהול דרך שורת הפקודה.

פרוטוקול - מערכת כללים מוסכמת שקובעת כיצד מכשירים או תוכנות מתקשרים ומחליפים מידע, למשל HTTP או TCP.

PuTTY - תוכנה חינמית ל-Windows לחיבור מרוחק לשרתים דרך SSH ופרוטוקולים נוספים.

חיבור שתי רשתות בענן VPC Peering

בשיעור זה אנו לומדים כיצד לחבר בין שתי רשתות וירטואליות בענן, גם באותו אזור וגם באזורים שונים ואפילו בחשבונות שונים, כך שהתקשורת תישאר בתוך הרשת הפנימית של AWS בלי לצאת לאינטרנט.

נושאי הסיכום המוצגים בשיעור:

1. המצב שאליו מגיעים: ייתכן שבאותו חשבון יהיו יותר מרשת וירטואלית אחת, בין אם הן באותו אזור גיאוגרפי ובין אם באזורים שונים, וברשתות האלה מכונות שביניהן רוצים תקשורת.

2. ברירת המחדל, אין תקשורת: כברירת מחדל אין תקשורת בין רשתות וירטואליות בתוך החשבון, ובטח ובטח שאין תקשורת בין רשתות של חשבונות שונים, בין אם באותו אזור ובין אם באזורים שונים, וכדאי לחשוב על הרשתות האלה כעל שני רשתות מקומיות נפרדות מעולם מרכז הנתונים.

3. הרשתות יושבות על אותה רשת פיזית: כל הרשתות הווירטואליות יושבות על עמוד השדרה של AWS, על הרשת של אמזון, כלומר על אותה רשת פיזית, אבל אין ביניהן חיבור.

4. האם לחבר דרך האינטרנט: אפשרות אחת היא לפתוח את הפורטים אל האינטרנט ולתת למכונות לדבר דרכו, אך זו איננה אפשרות נכונה, מכיוון שמבחינת אבטחת מידע התקשורת דרך האינטרנט אינה בטוחה, ומבחינת ביצועים עדיף שהתעבורה בין הרשתות תנצל את הרשת הפנימית המצוינת של AWS.

5. מהו Peering: פעולת ההתאמה בין רשתות היא הדרך לוודא שהתעבורה בין שתי הרשתות תישאר בתוך הרשת של AWS ולא תצא דרך האינטרנט, ויותר מזה, התחנות יוכלו לדבר האחת עם השנייה בעזרת הכתובות הפרטיות שלהן, למשל מסד נתונים ברשת אחת ושרת אינטרנט ברשת אחרת.

6. השלבים ליצירת חיבור: יוצרים בקשת התאמה בין רשת לרשת, מאשרים את הבקשה, מגדירים ניתוב שאומר שכשהרשת הזאת רוצה לדבר עם הרשת האחרת היא עוברת דרך שער ההתאמה, מוסיפים בקבוצות האבטחה את כתובות שתי הרשתות כדי שיוכלו לדבר זו עם זו, בין אם לצורך בדיקת זמינות, SSH או כל פרוטוקול אחר, ולבסוף בודקים שהכול עובד.

7. ההכנה בפועל: באזור גיאוגרפי אחר יוצרים רשת וירטואלית חדשה ומכונת לינוקס חדשה בתוכה, וכאן מזכירים גם את עבודת הסדר והניקיון של מחיקת כל רשתות ברירת המחדל שאינן בשימוש, ואחרי ההתחברות למכונה החדשה מגדירים את ההתאמה.

8. יצירת בקשת ההתאמה: מהאזור הראשון נכנסים לחיבורי ההתאמה של הרשתות, קוראים לחיבור בשם שמתאר את שתי הרשתות, בוחרים את הרשת המקומית שממנה מתחילים, מציינים שזהו חיבור בתוך אותו חשבון ולא עם חשבון אחר, מציינים שהרשתות באזורים שונים, בוחרים את האזור השני ומזינים את מזהה הרשת ששם, ויוצרים את חיבור ההתאמה.

9. אישור הבקשה מהצד השני: עוברים אל האזור השני, שם ממתינה הבקשה במצב של המתנה לאישור, מסמנים אותה ומאשרים את הבקשה, והחיבור הופך לפעיל, כאשר יש שלב קצר של הקצאה שלוקח לפעמים כמה דקות.

10. קבוצות האבטחה משני הצדדים: אחרי האישור עדיין לא אפשר לבצע בדיקת זמינות בין המכונות, וחובה להגדיר את קבוצות האבטחה של שתי המכונות להרשות תעבורה נכנסת מכתובות הרשת השנייה, כלומר מהרשת הראשונה מרשים תעבורה מטווח הרשת השנייה, ומהרשת השנייה מרשים תעבורה מטווח הרשת הראשונה, וכרגע מדובר בכל הטווח של הרשת ולא בכתובת ספציפית.

11. הגדרת הניתוב: מגדירים את הניתוב בטבלאות הניתוב של הרשתות הרלוונטיות, כרגע מעניינת רק טבלת הניתוב של הרשת הציבורית, אם רוצים תקשורת בין רשתות נוספות יש להגדיר את טבלאות הניתוב גם עבורן, ובעריכת הניתוב מוסיפים שכתובת הרשת השנייה תגיע דרך חיבור ההתאמה, שהוא בעצם השער, ובצד השני עושים בדיוק את אותו הדבר לכיוון ההפוך, וכך נוצרו למעשה שני נתבי התאמה.

12. הבדיקה בשני הכיוונים: נכנסים למכונה שברשת הראשונה ומבצעים בדיקת זמינות אל הכתובת הפרטית של המכונה ברשת השנייה ומקבלים תשובה מוצלחת, וחשוב מאוד לבדוק גם את הגישה ההפוכה, להיכנס למכונה שברשת השנייה בעזרת PuTTY עם מפתח ה-SSH שלה שהומר כרגיל מפורמט PEM, ולבצע בדיקת זמינות אל הכתובת הפרטית של המכונה ברשת הראשונה, וכך יש לנו בדיקת זמינות בין שתי מכונות שיושבות ברשתות וירטואליות שונות על גבי הרשת הפנימית של AWS, וזהו עיקרון ההתאמה, שאפשר לבצע גם בין רשתות של חשבונות שונים, באותו אזור או באזורים שונים כמו במקרה זה.

לסיכום, בשיעור זה הבנו שכברירת מחדל אין תקשורת בין רשתות וירטואליות גם באותו חשבון ובטח בין חשבונות, למדנו למה עדיף שהתעבורה תישאר ברשת הפנימית של AWS מבחינת אבטחה וביצועים, וביצענו את כל שלבי יצירת ההתאמה בפועל, בקשה, אישור מהצד השני, קבוצות אבטחה הדדיות, ניתובים דרך שער ההתאמה בשני הכיוונים, ובדיקת זמינות הדדית בין שתי המכונות בעזרת הכתובות הפרטיות שלהן.

פרקי ההרצאה: חיבור שתי רשתות בענן VPC Peering

תמלול ההרצאה: חיבור שתי רשתות בענן VPC Peering

הטקסט המלא של הדקות הראשונות בהרצאה «חיבור שתי רשתות בענן VPC Peering» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
חזרנו לנושא ה-VPC והנושא הוא נושא הפירינג. ישנם מצבים שבהם באותו חשבון יהיו לנו יותר מ-VPC אחד, בין אם ה-VPC האלה הם באותו ריג'ן ובין אם הם בריג'ן שונים.
00:16
יש מצב שיהיו לי יותר מ-VPC אחד, יהיו לי שני VPC וב-VPC האלה יהיו לי מכונות ואני ארצה שיהיה ביניהם תקשורת. אז חשוב לציין שכברירת מחדל אין תקשורת בין ה-VPCים אצלכם בחשבון.
00:30
תחשבו על אותם VPCים כעל מעין 2 וילאנים לאלה שבאים מעולם ה-Own-Premise, מעולם ה-Data Center. כברירת מחדל, אין תקשורת בין שני VPCים בתוך החשבון או שלושה VPCים, ובטח ובטח שאין תקשורת בין VPCים בין חשבונות שונים, בין אם הם באותו ה-region, ב-region שונה,
00:50
בחשבון אחר, אין חיבור בין אותם VPCים. איפה יושבים ה-VPCים האלה? ה-VPCים האלה יושבים על AWS Backbone, על הנטוורק של AWS, על הנטוורק של אמזון.
01:02
כלומר, הם יושבים על אותה רשת פיזית, אבל אין ביניהם קונקשן. מה קורה אם אני רוצה ליצור ביניהם קונקשן? נגיד שיש לי פה VPC ב-US-West 2, במכונה פה יש לי פה ג'אמבוקס.
01:14
אפשר לומר לי, תפתח את הפורטים ביניהם לאינטרנט, באינטרנט תדאג שהם ידברו האחד עם השני. זה אכן אפשרות, אבל האם זו אפשרות נכונה?
01:25
לא כל כך. תחשבו למשל שאני רוצה שיהיה לי תקשורת בין שני VPCים והתקשורת הזאת צריכה לעבור באינטרנט זה לא הדבר הכי בטוח שיש גם מבחינת ביצועים הייתי מעדיף שהטראפיק בין ה-VPCים האלה לא יצא דרך האינטרנט הוא ישתמש וינצל את הרשת המטורפת והמגניבה של AWS אם זה מסיבה של אבטחת מידע ואם זה מסיבה של פרופורמנט של ביצועים
01:53
אני מאוד מאוד אשמח אבל מאוד אשמח אם ה-VPC האלה יוכלו לדבר האחד עם השני על גבי הרשת של AWS והדבר הזה כדי שהוא יקרה נקרא פירינג אני צריך ליצור פירינג בין שני ה-VPCים האלה על מנת לדאוג שהטראפיק ביניהם יישאר בתוך הרשת של AWS ולא יצא דרך האינטרנט יותר מזה התחנות האלה יוכלו לדבר האחד עם השני עם הכתובות
02:22
הפנימיות שלהם הם יוכלו לעשות פירינג לתקשר יכול להיות שיש לי כאן דאטאבס כאן יש לי וב סרבר אז הרעיון של פירינג הוא מאוד מאוד פשוט וטריוויאלי.
02:32
אם אנחנו רוצים שיהיה לנו תקשורת בין VPC, בין שני רשתות, בתוך אותו חשבון, בתוך אותו ריג'ין, בין שני ריג'ין, בין שני חשבונות, אם אנחנו רוצים שתהיה תקשורת בין הרשתות בתוך ה-VPC, והתקשורת תישאר ברשת של AWS הפנימית, והחבר'ה האלה יוכלו לדבר עם הכתובות הפרטיות שלהם,
02:54
אנחנו צריכים להשתמש במאג'יק באיזשהו קוסמות שנקראת Peering של VPC. מאוד מאוד קריטי לדעת איך לעשות את זה וזה מאוד מאוד פשוט. על מנת לעשות את ה-VPC הזה, ליצור את ה-VPC, מה שאנחנו צריכים לעשות זה, אנחנו נצטרך ליצור Peer Request בין VPC אחד ל-VPC אחר, אנחנו נצטרך לאשר את ה-Peer Request, אנחנו נצטרך להגדיר ראוט שאומר כשהרשת הזאת רוצה לדבר עם הרשת הזאת, דרך מה היא צריכה
03:22
לעבור? היא צריכה לעבור דרך ה-Peer Gateway, ואז אנחנו כמובן נצטרך להוסיף בסקיוריטי גרופים, נצטרך להוסיף את הכתובות IP של שני הרשתות כדי שהם יוכלו לדבר האחד עם השנייה, בין אם זה עבור פינג, SSH, איזשהו פרוטוקול, ובסוף אנחנו נעשה בדיקה של זה שאכן זה עובד.
03:38
אז הרעיון של פירינג זה להגדיר תקשורת בין VPCים, בין רשתות, בין אם הן הרשתות שלי או שלי ושל חשבון אחר, של חברה אחרת, כאשר הטראפיק צריך להישאר בתוך הרשת של AWS מבחינת ביצועים ומבחינת אבטחת מידע, זה הדבר הנכון לעשות בהרבה מאוד מהמקרים.
03:56
אז בואו ניגש ונעשה את זה. מה שאני אעשה עכשיו, כמו שאתם יכולים לראות, יש לנו את ה-VPC הראשון שלי בוורג'יניה.
04:03
מחקתי את המכונה פרייבט שעשינו באיזשהו סרטון קודם. יש לי מכונה אחת שנמצאת בפאבליק סאבנט. אני אגש עכשיו לאיזשהו ריג'ין אחר, למשל לאורגון.
04:14
אני אצור שם עכשיו vpc חדש והvpc הזה אני גם אצור בתוכו מכונה וירטואלית אוקיי כמו שאתם יכולים לראות אצלכם אולי אתם תראו שיהיה לכם איזשהו default vpc זוכרים דיברנו על זה שאחד הדברים שאנחנו רוצים לעשות מעין housekeeping זה למחוק את כל ה-default vpc בוודאות אם אין בהם כמובן שום דבר אוקיי אז ברשותכם אני עושה pause לסרטון
04:38
ואני הולך להתקין פה vpc חדש עם מכונה לינוקס חדשה אני אתחבר אליה ואז נגדיר את הפירינג. אז הנה ה-VPC החדש שלי באורגון וקראתי לו VPC2.
04:50
עכשיו אני אגש וניצור מכונה. אפשר לראות שאני מרים עכשיו מכונת לינוקס חדשה ב-VPC2. קראתי לה JumboX VPC2. שוב פעם, אפשר לראות שיש לנו בווירג'יניה את המכונה הראשונה שלנו, JumboX Linux 1. אפשר לראות שבנטוורקינג הכתובת IP זה הכתובת IP הזו.
05:09
בואו נראה מה הכתובת IP של המכונה באורגון.