Expliquez-moi comment vous concevriez un VPC pour une charge de travail en production.

Choisissez un bloc CIDR assez large pour grandir et qui ne chevauche rien avec quoi vous pourriez faire du peering plus tard, puis répartissez-le sur au moins trois zones de disponibilité. Réservez les sous-réseaux publics aux load balancers et au NAT, les sous-réseaux privés au calcul, et des sous-réseaux isolés sans route sortante pour les bases de données. Contrôlez le trafic avec des security groups qui se référencent entre eux plutôt qu'avec des plages d'IP, et activez les flow logs dès le premier jour.

Je commence par l'adressage, parce que c'est la décision qu'on ne peut pas défaire à bon compte. Je prends un bloc avec beaucoup de marge et je le vérifie face à tous les autres réseaux avec lesquels on pourrait un jour faire du peering ou se reconnecter au bureau, puisque des plages qui se chevauchent transforment une connexion simple en projet de renumérotation de plusieurs mois. Ensuite trois zones de disponibilité, et un sous-réseau par niveau et par zone. Les sous-réseaux publics n'hébergent que le load balancer et les passerelles NAT. Les sous-réseaux privés hébergent l'application, qui sort vers internet via le NAT. Les bases de données sont dans des sous-réseaux isolés, sans aucune route sortante. Pour le contrôle, je m'appuie sur des security groups qui référencent d'autres security groups plutôt que des plages CIDR, si bien que la règle se lit comme le niveau applicatif peut joindre la base sur le port de la base, et elle reste correcte quand les instances changent. Les ACL réseau, je les garde grossières, surtout comme blocage brutal. Les flow logs sont activés tout de suite, parce que le jour où vous devez prouver qui a parlé à qui, vous ne pouvez pas les activer rétroactivement. J'ajoute aussi des gateway endpoints pour le stockage objet, ce qui garde ce trafic hors du NAT.