Teorica 9 (VDC, Cloud)

Question 1

Cloud computing

Answer 1

acceso a recursos de tecnologia manejados por expertos
Disponibilidad a demanda
Mas eficiente q hacerlo nosotros mismos
Acceso a traves de internet
Sin inversion inicial
Pago por lo que uso
Cuando estamos empezando suele ser mas economico hacer en cloud pero en algun punto termina siendo mas barato hostear on premise

Question 2

VDC

Answer 2

Virtual Data Center
Amazon tiene varios data centers en fisicos en distintas regiones con distintas zonas de disponibilidad

Question 3

Regiones

Answer 3

una region es una ubicacion fisica compuesta por multiples Availability zones (AZ)
Cada az lo podes pensar como un datacenter separado

Question 4

Availability Zones

Answer 4

Zonas de fallo independientes entre si
separadas a max 100km
infra en 1 o mas datacenters
ej: us-east-1a y us-east-1b

Question 5

Instancias EC2

Answer 5

Son maquinas virtuales de amazon
basadas en una imagen de un sistema operativo (windows 11, ubuntu, etc)
puedo attachearle discos y placas de red virtuales (todo se paga)
se pueden detener y reiniciar a demanda

Question 6

VPC

Answer 6

Es la red dentro de la nube
Es una parte de la nube AWS logicamente segregada donde podemos lanzar recursos en una red virtual (ej: EC2, discos, etc)
Se definen dentro de una region determinada (NO es cross region)
Define una lista de bloques CIDR (minimo /28 maximo /16)
NO se puede cambiar el CIDR original una vez creada la VPC
Se pueden crear nuevos bloques para expandir la VPC

Question 7

VPC - Subnets

Answer 7

Dentro de una VPC puedo definir subnets
Cada subnet se define con un bloque CIDR de la vpc
No se pueden redefinir, hay que eliminarla y recrearla
Asociada a una AZ especifica

Question 8

VPC - Route tables

Answer 8

Controla el trafico de la red VPC
La VPC tiene una tabla de ruteo default que aplica a toda la VPC

Question 9

Public subnet

Answer 9

Conexion directa a internet
Las instancias EC2 obtienen una IP publica y una privada
Permite asignar Elastic IPs
usos tipicos: DMZ para web servers, load balancers, etc

Question 10

Private subnet

Answer 10

sin acceso directo a internet
Las instancias EC2 solo obtienen IP privada
Si algun recurso quiere salir a internet debe usar NAT
Usos tipicos: Application servers, bases de datos

Question 11

ENI - Elastic Network Interface

Answer 11

Es una placa de red virtual
Se crean en una AZ determinada
Se pueden attachear a las instancais EC2 de la misma AZ
Pueden tener asociadas IPs publica y/o privada

Question 12

Elastic IP

Answer 12

Amazon tiene un pool de IPs publicas que podes reservar o tmb podes traer las tuyas y amazon se encarga de ahcer todo el funcionamiento por detras

Question 13

Failover en Elastic IP

Answer 13

Supongamos que ttengo redundancia en un server por si uno se cae tener el otro de backup. En ese caso lo que puedo hacer es reasignar la IP a la otra instancia (es una opcion manual, no esta automatizada)
Hay mejores opciones

Question 14

IGW - Internet Gateway

Answer 14

Un router de toda la vida con nombre fancy
Conecta subnets a internet
Debe estar attacheado a una VPC
Crea NAT stateless entre ip publica y privada
Si se necesita Statefull se debe usar NAT Gateway
Es el Default Gateway de la VPC
No tenes que darle una ip ni nada, anda por ahi en el metaverso dando vueltas dentro de la VPC

Question 15

NAT Gateway

Answer 15

Conexiones de salida hacia otras redes (i.e. internet)
Permite que las instancias en una subred privada se conecten a servicios fuera de tu VPC, pero los servicios externos no pueden iniciar una conexión con esas instancias
Alta disponibilidad
Requiere asignarle una Elastic IP porque va a salir en nombre de la instancia EC2 que esta en la subnet privada
Sigo necesitando el IGW para que el NAT Gateway salga
SIEMPRE SE PONE EN LA MISMA VPC

Question 16

NAT GW vs IGW

Answer 16

NAT GW solo tiene salida a internet u otra red mientras q IGW tiene I/O desde y hacia internet
NAT GW se ubica en public subnets mientras que IGW esta en VPC-Level
NAT GW es statefull mientras que IGW stateless
NAT GW se usa tipicamente conectarse a redes externas usando NAT mientras que IGW se usa tipicamente para publicar una instancia/servicio en internet

Question 17

VPC Peering

Answer 17

Por default los VPC estan aislados de otras redes privadas. Cuando tenemos multiples VPC podemos conectarlas entre si para que interactuen como si estuvieran en la misma red
Se crea una tabla de ruteo con destino a equipo que hace el Peering

Question 18

Transit Gateway

Answer 18

Actua como un router regional
Simplifica la conexion de multiples peering, centro de computos On-Premise
Permite redes de tipo estrella
Se decclaran los ID de todas las VPC

Question 19

Como armo una red en AWS

Answer 19

1. Crear VPC
2. Definir subnets dentro de la VPC
3. Armar las tablas de ruteo
4. Provisionar Internet Gateway /NAT gateway

Question 20

AWS Direct Connect

Answer 20

Permite conextion directa a la red de AWS
Colocacion: llevar equipamiento (router) a AWS o bien usar un Partner que ya tenga equipos en AWS (es mas caro pero usa una red privada que no depende de la latencia de internet)
Se accede directo a la region asociada (sin pasar por internet)
El router debe soportar BGP

Question 21

AWS Private Link

Answer 21

Permite conexion directa entre una VPC y otro servicio sin pasar por Internet
Se crea un VPC endponit para el servicio externo
Esto genera una ENI en nuestra subnet con una ip privada que sirve de punto de entrada para el trafico destinado al servicio
Se puede usar tanto para servicios de AWS (ej un bucket de s3) como externos (no es lo mas comun)

Question 22

Zero Trust Policy

Answer 22

Es un modelo conceptual de seguridad que se basa en la idea de que el acceso no depende solamente de la ubicacion de la red
No hay que tener reglas duras de como se puede acceder a un servicio sino que es importante tener en cuenta el contexto en el que se esta accediedo

Question 23

Principios de Zero Trust Policy

Answer 23

El rol de los controles en la red y los perimetros siguen siendo importantes para la arquitectura de seguridad general
Los conceptos deben ser aplicados de acuerdo al valor asignado a los sistemas y datos que estamos protegiendo