Справжній VPC є властивістю обладнання, а не рядком у чиїйсь базі даних.

«Virtual private cloud» є одним із кращих найменувань, які hyperscalers колись випустили. Звучить як місце. Насправді це рядок у базі даних: програмно визначена надбудова, вирізана з інфраструктури, яку ви ділите з іншими орендарями, і забезпечена тією самою площиною керування, що обслуговує всіх інших. Але слово «private» виконує в цьому реченні багато роботи, і варто запитати, що воно означає, коли за ним не стоїть обладнання.

Ізоляція, яка справжня

На нашій fabric розділення орендарів не є правилом firewall, яке хтось набрав. Кожен орендар отримує власне розділення маршрутизації і власну ідентичність віртуальної мережі на нашій leaf-spine fabric, а не спільний VLAN із причепленим списком доступу. Ваша мережа існує як окрема сутність у таблицях пересилання кремнію: ваші маршрути не лежать у таблиці разом із чиїмись іще, і немає порядку правил, у якому можна тонко помилитися між вами і вашим сусідом.

Ось що означає радіус ураження на мережевому рівні. Неправильна конфігурація, компрометація або шквал у сегменті одного орендаря не мають шляху у ваш, бо немає спільного сегмента, який вони могли б перетнути. Для будь-кого, хто відповідає перед аудитором, мережа одного орендаря є і чистішим реченням для захисту: ізоляція архітектурна, і ця позиція природно лягає в розмови про ISO 27001, замість політики, що лягає в обіцянку.

Стійкість є типовою, а не додатковою опцією

На edge мережа має multi-homing на кількох upstream-операторах плюс peering на GR-IX і NetIX, тож втрата оператора є подією маршрутизації для нас, а не чимось, що ви помічаєте. Усередині fabric є leaf-spine. Немає рівня стійкості, який треба купувати. Нудні відмови спроєктовані геть ще до вашого приходу.

Приватне з’єднання між майданчиками

Трафік між нашими дата-центрами іде постійно ввімкненим mesh із шифруванням IPsec, від дата-центру до дата-центру, а не відкритим інтернетом. Якщо ви реплікуєте сховище між майданчиками або тримаєте DR у другому місці, цей трафік приватний за замовчуванням: вам не треба будувати VPN, вашим даним не треба перетинати публічний транзит, і на вашій власній реплікації не крутиться лічильник за гігабайт. Канал спроєктований для реплікації, а не для інтернету за принципом «як вийде».

Історія сховища та історія мережі зустрічаються саме тут: реплікація між майданчиками, описана в дописі Ваш трафік DR щодня їздить публічним інтернетом, іде цим mesh. Коли ми кажемо, що ваша точка відновлення є проєктним рішенням, а не надією, приватне з’єднання є однією з частин, що роблять це речення правдивим.

Чому для цього потрібне власне обладнання

Нічого з переліченого не доступне провайдеру, який орендує мережу. Не можна дати орендарям справжнє розділення на рівні кремнію на орендованому backbone, і не можна обіцяти приватне з’єднання між майданчиками, коли ваш міжмайданчиковий трафік іде тим самим транзитом, який ви купили за гігабайт. Це мережева половина тези про володіння обладнанням і причина, чому перше запитання до будь-якого провайдера є таким: хто володіє мережею.

Спроєктовано під навантаження

Мережева конфігурація проєктується під кожен проєкт, так само як ми розраховуємо обчислення і сховище: глибина ізоляції, шляхи DR і потреби в peering є запитаннями, які ставимо ми, а не галочками, які ставите ви. І правило чесного підбору діє і тут. Якщо вашому навантаженню не потрібен другий майданчик, ми скажемо це до того, як ви за нього заплатите. Майстер ставить запитання про аварійне відновлення двічі саме з цієї причини.