AWS VPC (Virtual Private Cloud)
Tags: aws, devops, security, cloud
Published: 2022-11-04 23:39:06

**Anotações sobre o AWS VPC para ajudar na preparação das certificações AWS.**

Até o momento as anotações são para as certificações abaixo:

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/se0sqtegn424nami6rz8.png)

- [Link oficial](https://aws.amazon.com/pt/vpc/)
- [FAQ](https://aws.amazon.com/pt/vpc/faqs/)

##**Anotações gerais**

- Uma rede virtual dedicada a sua conta
- Subnets - Publica e Privada
- Route-Tables
- Virtual Private Gateway - VPN


---

##**Sempre 5 ips reservados no CIDR range - ex: 10.0.0.0/16**

- 10.0.0.0 - network address
- 10.0.0.1 - VPC router
- 10.0.0.2 - DNS
- 10.0.0.3 - Reserved
- 10.0.0.255 - broadcast

---
##**Subnets**

- Toda subnet default tem saída para internet
- 1 subnet por AZ

---

##**Internet Gateway**

- Provê acesso a internet
- Tem que "atachar" na VPC

---
##**Conjuntos de opções DHCP no Amazon VPC**
[Documentação oficial](https://docs.aws.amazon.com/pt_br/vpc/latest/userguide/VPC_DHCP_Options.html)

- Para utilizar o seu próprio servidor DNS, deve-se criar um novo DHCP personalizado
- Criar um novo **DHCP Options set** e substitua o existente

**Referências**
- [Criar um conjunto de opções DHCP](https://docs.aws.amazon.com/pt_br/vpc/latest/userguide/DHCPOptionSet.html#CreatingaDHCPOptionSet)

---
##**What is Traffic Mirroring?**
[Documentação oficial](https://docs.aws.amazon.com/pt_br/vpc/latest/mirroring/what-is-traffic-mirroring.html)

_Pode usar para copiar o tráfego de rede de uma interface de rede elástica do tipo interface. Você pode enviar o tráfego para dispositivos de segurança e monitoramento fora de banda para:_

- Inspeção de conteúdo
- Monitoramento de ameaças
- Solução de problemas

---
##**NAT Gateway vs NAT Instances**
[Documentação oficial](https://docs.aws.amazon.com/pt_br/vpc/latest/userguide/vpc-nat-comparison.html)
**NAT Gateway**

- Permitem que suas instâncias em suas sub-redes privadas acessem a Internet enquanto permanecem privadas
- São gerenciadas pela AWS
- **NAT Gateways não suportam IPv6**

**NAT Instances**

- Permitem que suas instâncias em suas sub-redes privadas acessem a Internet enquanto permanecem privadas
- Não são gerenciadas pela AWS
- Instâncias EC2 na subnet publica
- **Tem que desabilitar - Source/destination checks**

---
##**Network ACL vs Security Group**
**Network ACL - NACL**
[Documentação oficial](https://docs.aws.amazon.com/pt_br/vpc/latest/userguide/vpc-network-acls.html)

- É uma camada opcional de segurança para seu VPC que atua como um firewall para controlar o tráfego de entrada e saída de uma ou mais sub-redes
- **Eles têm regras ALLOW e DENY**
- Usado para bloquear trafego que vai até a EC2
- Incrementos na regra de 100 em 100
- IPV4 e IPV6
- Pode adicionar várias NACL em múltiplas subnets, mas somente uma Subnet por NACL
- Pode ser configurada adicionalmente a nível de subnet para controlar o tráfego de entrada e saída
- **Se não for especificado uma NACL na VPC, será atribuído uma automaticamente**
- Tem que adicionar a subnet na ACL
- As regras são executadas em sequencia (como IPTABLES)
- **O retorno do tráfego são em Ephemeral ports**
- **Pode Bloqueia IP´s**
- **Segurança a nível da Subnet**
- **NACL PADRÃO é tudo LIBERADO- Entrada e Saída**
- **NACL PERSONALIZADA é tudo BLOQUEADO - Entrada e Saída**
- Stateless - checa entrada e saída

**Security Group**
[Documentação oficial](https://docs.aws.amazon.com/pt_br/vpc/latest/userguide/VPC_SecurityGroups.html)

- Segurança a nível da Instância ou ENI
- Por padrão é todo bloqueado de entrada (_Inbound_) e tudo liberado na saída (_Outbound_)
- Pode ser atachado em múltiplas instâncias
- Baseado em Região/VPC
- Stateful - Não verifica o tráfego de retorno pois reconhece que é o mesmo pacote
- Referência IP ou Security Group


![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/dm2ib15i9tjab3xm82iw.png)


---

##**Direct Connect**
[Documentação oficial](https://aws.amazon.com/pt/directconnect/)

- Conexão dedicada com a AWS
- Taxa de transferência alta
- Estabelecer uma conexão privada dedicada entre o seu datacenter e a VPC.

---
##**Inspecionar os dados do pacote**

1 - Use um software proxy hospedado em uma instância do EC2.
2 - Use um agente baseado em host em uma instância do EC2. Observe que você só pode executar a análise de dados de pacote com soluções de terceiros.

---

##**Transit Gateway**
[Documentação oficial](https://aws.amazon.com/pt/transit-gateway/?whats-new-cards.sort-by=item.additionalFields.postDateTime&whats-new-cards.sort-order=desc)

O AWS Transit Gateway conecta suas Amazon Virtual Private Clouds (VPCs) e redes on-premises por meio de um hub central.
Sua rede é agilizada e escalável.

- O AWS Transit Gateway roteia todo o tráfego de e para cada VPC ou VPN, e você só tem um lugar para gerenciar e monitorar todas as operações.
- Conecta milhares de redes VPC e locais em um único gateway
- Suporta 1000 VPC em um Transit Gateway
- Utiliza AWS Private Network para o trafego entre VPC´s
- Controla por route-tables
- Suporta Multicast
- Conecta varias VPC´s e On Premisses juntos

---
##**DNS na VPC**
[Documentação oficial](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-dns.html)

**enableDNSHostnames**

- Determina se a VPC oferece suporte à atribuição de nomes de host DNS públicos a instâncias com endereços IP públicos.
- **O padrão para esse atributo é false, a menos que a VPC seja uma VPC padrão.**
- Se habilitar esta opção a **_enableDNSSupport _**também deve ser habilitada.

**enableDNSSupport**

- Determina se a VPC oferece suporte à resolução de DNS por meio do servidor DNS fornecido pela Amazon.
- **Se esse atributo for true, as consultas ao servidor DNS fornecido pela Amazon serão bem-sucedidas**.
- **O padrão para este atributo é true**.

**Caso não seja habilitado, basta apontar para alguns DNS externo como por exemplo o do google.com - 8.8.8.8**

---
##**Referências**
- [NACL - Portas efêmeras](https://docs.aws.amazon.com/pt_br/vpc/latest/userguide/vpc-network-acls.html#nacl-ephemeral-ports)
- [Tutorial DOJO - Amazon VPC](https://tutorialsdojo.com/amazon-vpc/)
- [Tutorial DOJO - 
Security Group vs NACL](https://tutorialsdojo.com/security-group-vs-nacl/)