VPC nima: subnetlar, security group va gatewaylar

VPC nima

VPC (Virtual Private Cloud) — ommaviy bulut ichida siz yaratadigan xususiy tarmoq. Jismonan serverlaringiz boshqa mijozlar bilan umumiy uskunada ishlaydi, lekin mantiqan o‘z manzillar maydonida yashaydi: uni hech kim ko‘rmaydi va siz ruxsat bermaguningizcha unga hech kim kira olmaydi.

VPC yaratishda CIDR ko‘rinishidagi IP diapazon tanlanadi, masalan 10.0.0.0/16. Ichkarida ishga tushirilgan har bir server, baza va balansirovkachi shu diapazondan xususiy manzil oladi. Standart holatda turli VPC dagi resurslar bir-birini ko‘rmaydi, internetdan esa ichkariga hech narsa o‘tmaydi.

AWS va Google Cloud buni VPC deb ataydi, Azure da xuddi shu g‘oya Virtual Network (VNet) deb nomlanadi. Tafsilotlar farq qiladi, ammo quyidagi qurilish bloklari hamma joyda bor.

Subnetlar: public va private

Subnet — VPC diapazonining kichikroq bo‘lagi, masalan 10.0.1.0/24. AWS da har bir subnet bitta availability zone da joylashadi, shuning uchun barqarorlik uchun subnetlar odatda kamida ikki zonada yaratiladi.

Subnetni «public» yoki «private» qiladigan narsa belgi emas, balki uning route table si:

• Public subnet — 0.0.0.0/0 (VPC dan tashqaridagi hamma narsa) marshruti internet gateway ga olib boradi. Bu yerdagi public IP li resurslarga internetdan murojaat qilish mumkin.
• Private subnet — internet gateway ga marshrut yo‘q. Resurslarda faqat xususiy manzillar bor, tashqaridan ularga yetib bo‘lmaydi.

Oddiy qoida: public subnetlarga faqat internetdan ulanishlarni qabul qilishi shart bo‘lgan narsani, masalan balansirovkachini joylang. Qolgan hammasi — private subnetlarga.

Gatewaylar: trafik qanday kiradi va chiqadi

NAT gateway public subnetda turadi. Private serverlar u orqali chiquvchi so‘rov yuboradi va javob oladi, ammo tashqaridan ular bilan ulanish boshlab bo‘lmaydi. Boshqariladigan NAT gateway alohida tarifikatsiya qilinadi, shuning uchun uni har bir zonaga qo‘yishdan oldin provayderingiz narxlarini tekshiring.

Security group va tarmoq ACL lari

Security group — resursga (server, baza, balansirovkachi) biriktirilgan virtual fayrvol. AWS dagi asosiy xususiyatlari:

• unda faqat ruxsat beruvchi qoidalar bor, ruxsat berilmagan hamma narsa bloklanadi;
• u stateful: kiruvchi so‘rovga ruxsat berilgan bo‘lsa, javob avtomatik chiqib ketadi;
• qoidada IP diapazon o‘rniga boshqa security group ko‘rsatish mumkin, masalan «5432-port faqat ilova serverlari guruhidan».

Network ACL subnet darajasida ishlaydi, holatni saqlamaydi va taqiqlovchi qoidalarni qo‘llab-quvvatlaydi. Kichik loyihalarning aksariyati ACL ni standart holatda qoldirib, barcha filtrlashni security group orqali bajaradi.

Veb-ilova uchun odatiy sxema

Backend va ma’lumotlar bazasi bor ilova uchun:

1. Ikki availability zone ni qamrab olgan VPC 10.0.0.0/16.
2. Public subnetlar (har zonaga bittadan): balansirovkachi va NAT gateway.
3. Ilova uchun private subnetlar: ilova serverlari yoki konteynerlar.
4. Ma’lumotlar uchun private subnetlar: baza, internetga hech qanday marshrutsiz.

Security grouplar:

• lb-sg: 0.0.0.0/0 dan 443 (va redirekt uchun 80) ga ruxsat;
• app-sg: ilova portiga faqat lb-sg dan ruxsat;
• db-sg: baza portiga faqat app-sg dan ruxsat.

Internetdan yagona kirish nuqtasi — balansirovkachi. Kimdir bazaning manzilini bilib olsa ham, unga tashqaridan yetib bo‘lmaydi.

Administratsiya uchun SSH ni butun dunyoga ochmang. Provayderning session manager xizmati, qat’iy qoidali bastion-xost yoki VPN dan foydalaning.

Ko‘p uchraydigan xatolar

• Baza public subnetda — «noutbukdan tezda ulanib olish uchun». Odatda shundayligicha qolib ketadi.
• Security group da 22 yoki 3306-port 0.0.0.0/0 uchun ochiq.
• VPC lar orasida yoki ofis tarmog‘i bilan ustma-ust tushadigan CIDR diapazonlar — keyinchalik peering va VPN ga xalaqit beradi.
• Juda kichik diapazon: VPC ni keyin o‘zgartirish boshidanoq /16 ni rejalashtirishdan qiyinroq.
• Sozlamalarini tekshirmasdan production ni default VPC da ishlatish.