Ένα πραγματικό VPC είναι ιδιότητα του hardware, όχι μια γραμμή στη βάση δεδομένων κάποιου άλλου.

Το «virtual private cloud» είναι από τις καλύτερες ονομασίες που έβγαλαν ποτέ οι hyperscalers. Ακούγεται σαν τόπος. Στην πραγματικότητα είναι μια γραμμή σε βάση δεδομένων: ένα software-defined overlay κομμένο από υποδομή που μοιράζεστε με άλλους ενοίκους, επιβεβλημένο από το ίδιο control plane που τρέχει όλων των άλλων. Αλλά το «private» σηκώνει πολύ βάρος σε αυτή την πρόταση, και αξίζει να ρωτήσουμε τι σημαίνει η λέξη όταν δεν στηρίζεται σε hardware.

Απομόνωση που είναι πραγματική

Στο fabric μας, ο διαχωρισμός ενοίκων δεν είναι ένας κανόνας firewall που πληκτρολόγησε κάποιος. Κάθε ένοικος παίρνει τον δικό του διαχωρισμό routing και τη δική του ταυτότητα εικονικού δικτύου στο fabric leaf-spine μας, όχι ένα κοινόχρηστο VLAN με μια access list βιδωμένη από πάνω. Το δίκτυό σας υπάρχει ως δική του οντότητα στους πίνακες προώθησης του silicon: οι διαδρομές σας δεν είναι σε πίνακα με κανενός άλλου, και δεν υπάρχει σειρά κανόνων που να γίνει διακριτικά λάθος ανάμεσα σε εσάς και τον γείτονά σας.

Αυτό σημαίνει ακτίνα επίπτωσης στο επίπεδο δικτύου. Μια λάθος διαμόρφωση, μια παραβίαση, ή μια πλημμύρα στο segment ενός ενοίκου δεν έχει διαδρομή προς το δικό σας, γιατί δεν υπάρχει κοινόχρηστο segment για να διασχίσει. Για όποιον λογοδοτεί σε ελεγκτή, η δικτύωση single-tenant είναι και η καθαρότερη πρόταση για να υπερασπιστεί: η απομόνωση είναι αρχιτεκτονική, μια στάση που αντιστοιχεί φυσικά σε συζητήσεις ISO 27001 αντί για μια πολιτική που αντιστοιχεί σε μια υπόσχεση.

Η ανθεκτικότητα είναι η προεπιλογή, όχι το upsell

Στο edge, το δίκτυο είναι multi-homed σε πολλαπλούς upstream carriers συν peering σε GR-IX και NetIX, οπότε η απώλεια ενός carrier είναι γεγονός routing για εμάς, όχι κάτι που προσέχετε εσείς. Μέσα, το fabric είναι leaf-spine. Δεν υπάρχει βαθμίδα ανθεκτικότητας για αγορά. Οι βαρετές αποτυχίες έχουν σχεδιαστεί έξω πριν φτάσετε.

Η ιδιωτική διασύνδεση

Η κίνηση ανάμεσα στα datacenters μας ταξιδεύει σε ένα μόνιμα ενεργό mesh κρυπτογραφημένο με IPsec, από datacenter σε datacenter, όχι στο ανοιχτό internet. Αν κάνετε replication storage μεταξύ sites ή τρέχετε DR σε δεύτερη τοποθεσία, αυτή η κίνηση είναι ιδιωτική εξ ορισμού: κανένα VPN να χτίσετε, κανένα δημόσιο transit να διασχίσουν τα δεδομένα σας, κανένας μετρητής ανά gigabyte να τρέχει στο δικό σας replication. Η ζεύξη είναι σχεδιασμένη για replication, όχι για best-effort internet.

Η ιστορία του storage και η ιστορία του δικτύου συναντιούνται ακριβώς εδώ: το cross-site replication που περιγράφεται στο Η κίνηση DR σας κάνει καθημερινά τη διαδρομή μέσω του δημόσιου internet ταξιδεύει σε αυτό το mesh. Όταν λέμε ότι το σημείο ανάκαμψής σας είναι απόφαση σχεδιασμού και όχι ελπίδα, η ιδιωτική διασύνδεση είναι ένα από τα κομμάτια που κάνουν την πρόταση αληθινή.

Γιατί αυτό χρειάζεται hardware που μας ανήκει

Τίποτα από τα παραπάνω δεν είναι διαθέσιμο σε πάροχο που νοικιάζει το δίκτυό του. Δεν μπορείς να δώσεις στους ενοίκους πραγματικό διαχωρισμό σε επίπεδο silicon σε νοικιασμένο backbone, και δεν μπορείς να υποσχεθείς ιδιωτική διασύνδεση όταν η κίνηση ανάμεσα στα sites σου ταξιδεύει στο ίδιο transit που αγόρασες με το gigabyte. Αυτό είναι το δικτυακό μισό της θέσης «να σας ανήκει το hardware», και ο λόγος που η πρώτη ερώτηση σε κάθε πάροχο είναι σε ποιον ανήκει το δίκτυο.

Σχεδιασμένο για τον φόρτο εργασίας

Η στάση δικτύου σχεδιάζεται ανά συνεργασία, με τον ίδιο τρόπο που διαστασιολογούμε υπολογιστική ισχύ και storage: βάθος απομόνωσης, διαδρομές DR και ανάγκες peering είναι ερωτήσεις που κάνουμε εμείς, όχι checkboxes που τικάρετε εσείς. Και ο κανόνας της τίμιας διαστασιολόγησης ισχύει κι εδώ. Αν ο φόρτος σας δεν χρειάζεται δεύτερο site, θα το πούμε πριν πληρώσετε για ένα. Ο οδηγός κάνει την ερώτηση για το disaster recovery δύο φορές ακριβώς γι' αυτόν τον λόγο.