मुझे बताइए कि किसी production workload के लिए VPC आप कैसे डिजाइन करेंगे।

इतना बड़ा CIDR block चुनें कि आगे बढ़ने की जगह रहे और जिससे आप बाद में peer कर सकते हैं उससे कोई overlap न हो, फिर उसे कम से कम तीन availability zone में बांटें। public subnet सिर्फ load balancer और NAT के लिए रखें, compute के लिए private subnet, और databases के लिए बिना किसी outbound route वाले isolated subnet। traffic को IP range की जगह एक दूसरे को reference करने वाले security group से कंट्रोल करें, और पहले दिन से flow logs चालू कर दें।

मैं addressing से शुरू करता हूं, क्योंकि यही वह फैसला है जिसे सस्ते में पलटा नहीं जा सकता। मैं खूब गुंजाइश वाला block चुनता हूं और उसे हर उस दूसरे नेटवर्क के मुकाबले जांचता हूं जिससे हम कभी peer कर सकते हैं या ऑफिस से जुड़ सकते हैं, क्योंकि overlap होती range ही एक साधारण connection को महीनों लंबे renumbering प्रोजेक्ट में बदल देती है। फिर तीन availability zone, और हर zone में हर tier के लिए एक subnet। public subnet में सिर्फ load balancer और NAT gateway रहते हैं। private subnet में application रहती है, जो NAT के जरिये outbound इंटरनेट तक पहुंचती है। databases बिना किसी बाहर जाने वाले route के isolated subnet में बैठते हैं। कंट्रोल के लिए मैं CIDR range की जगह दूसरे security group को reference करने वाले security group पर टिकता हूं, ताकि नियम ऐसे पढ़ा जाए कि app tier database को database port पर पहुंच सकती है, और instance बदलने पर भी वह सही बना रहे। network ACL मैं मोटे रखता हूं, ज्यादातर एक भोंडे block की तरह। flow logs तुरंत चालू होते हैं, क्योंकि जिस दिन आपको साबित करना हो कि किसने किससे बात की, उस दिन आप उन्हें पीछे की तारीख से चालू नहीं कर सकते। मैं object storage के लिए gateway endpoint भी जोड़ता हूं, जिससे वह traffic NAT से हट जाता है।