Un vero VPC è una proprietà dell'hardware, non una riga nel database di qualcun altro.

«Virtual private cloud» è uno dei pezzi di naming migliori che gli hyperscaler abbiano mai consegnato. Suona come un luogo. In realtà è una riga di database: un overlay software-defined ritagliato da un'infrastruttura che condividete con altri tenant, applicato dallo stesso control plane che gestisce quello di tutti gli altri. Ma «privato» fa molto lavoro in quella frase, e vale la pena chiedersi cosa significhi la parola quando non è sostenuta dall'hardware.

Isolamento reale

Sul nostro fabric, la separazione dei tenant non è una regola firewall che qualcuno ha digitato. Ogni tenant ottiene la propria separazione di routing e la propria identità di rete virtuale sul nostro fabric leaf-spine, non una VLAN condivisa con un'access list avvitata sopra. La vostra rete esiste come cosa a sé nelle tabelle di forwarding del silicio: le vostre rotte non sono in una tabella con quelle di nessun altro, e non c'è un ordinamento di regole da sbagliare sottilmente tra voi e il vostro vicino.

Questo è ciò che blast radius significa al livello di rete. Una configurazione errata, una compromissione o un flood nel segmento di un tenant non ha alcun percorso verso il vostro, perché non c'è un segmento condiviso da attraversare. Per chiunque risponda a un auditor, il networking single-tenant è anche la frase più pulita da difendere: l'isolamento è architetturale, una postura che si mappa naturalmente sulle conversazioni ISO 27001, invece di una policy che si mappa su una promessa.

La resilienza è l'impostazione predefinita, non l'upsell

All'edge, la rete è multi-homed su più carrier upstream più peering a GR-IX e NetIX, quindi perdere un carrier è un evento di routing per noi, non qualcosa che notate. Dentro, il fabric è leaf-spine. Non c'è un livello di resilienza da comprare. I guasti noiosi sono progettati via prima che arriviate.

L'interconnessione privata

Il traffico tra i nostri datacenter viaggia su una mesh sempre attiva cifrata IPsec, da datacenter a datacenter, non sull'internet aperta. Se replicate storage tra siti o fate DR verso una seconda sede, quel traffico è privato per impostazione predefinita: nessuna VPN da costruire, nessun transito pubblico che i vostri dati debbano attraversare, nessun contatore per gigabyte che gira sulla vostra stessa replica. Il collegamento è progettato per la replica, non per internet best-effort.

La storia dello storage e la storia della rete si incontrano esattamente qui: la replica tra siti descritta in Il vostro traffico DR fa il pendolare sull'internet pubblica viaggia su questa mesh. Quando diciamo che il vostro recovery point è una decisione di progetto e non una speranza, l'interconnessione privata è una delle parti che rendono vera la frase.

Perché questo richiede hardware di proprietà

Nulla di quanto sopra è disponibile a un host che affitta la propria rete. Non potete dare ai tenant una vera separazione a livello di silicio su una backbone affittata, e non potete promettere un'interconnessione privata quando il vostro traffico tra siti viaggia sullo stesso transito che avete comprato a gigabyte. Questa è la metà di rete della tesi del possedere l'hardware, e il motivo per cui la prima domanda da fare a qualsiasi host è chi possiede la rete.

Progettata sul carico

La postura di rete viene progettata per ogni incarico, allo stesso modo in cui dimensioniamo calcolo e storage: profondità dell'isolamento, percorsi DR ed esigenze di peering sono domande che facciamo, non caselle che spuntate. E la regola del dimensionamento onesto vale anche qui. Se il vostro carico non ha bisogno di una seconda sede, lo diremo prima che ne paghiate una. La procedura guidata fa la domanda sul disaster recovery due volte esattamente per questo motivo.