Una nube privada virtual (VPC) es una red virtual aislada lógicamente dentro de un proveedor de nube pública, como AWS, en la que el cliente pone en marcha recursos al tiempo que controla sus propios rangos de direcciones IP, subredes y configuración de enrutamiento: una red privada construida íntegramente a partir de la infraestructura compartida del proveedor.
Puntos clave
- Una VPC es una red controlada por el cliente y aislada lógicamente dentro de una nube pública.
- Tú defines sus rangos de direcciones IP, subredes, tablas de enrutamiento y grupos de seguridad.
- Las puertas de enlace de Internet y las puertas de enlace VPN conectan una VPC con Internet o con entornos locales.
- Las puertas de enlace de tránsito y el emparejamiento de VPC conectan varias VPC en una única estructura de enrutamiento.
- Versa accede a las cargas de trabajo de VPC a través de IPsec a una puerta de enlace, o mediante VOS implementado en su interior.
En esta página: Por qué es importanteCómo funcionaTiposVPC y VersaPreguntas frecuentes
¿Por qué es importante una VPC?
La infraestructura de la nube pública está diseñada para ser compartida: miles de clientes ejecutan cargas de trabajo en los mismos servidores físicos. Una VPC es el límite que garantiza la seguridad: un segmento privado de espacio de direcciones y enrutamiento al que nada ajeno a la VPC puede acceder ni ver, a menos que se autorice explícitamente.
Ese aislamiento también convierte a una VPC en la base de un verdadero diseño de red, y no en una mera lista de servidores. Los equipos configuran las subredes, las tablas de enrutamiento y los grupos de seguridad tal y como diseñarían una red local, separando los niveles expuestos al público de los privados. Dado que el espacio de direcciones lo define el cliente, se puede numerar para evitar colisiones cuando la red se extiende a emplazamientos locales o a una estructura SD-WAN, lo que hace que la arquitectura híbrida resulte práctica en lugar de tener que recurrir a una solución alternativa de NAT.
¿Qué es una VPC?
Una VPC es un entorno de red virtual que permite al cliente poner en marcha recursos en la nube —máquinas virtuales, equilibradores de carga, almacenamiento— dentro de una sección lógicamente aislada de la infraestructura de un proveedor. El cliente define el rango de direcciones IP de la VPC como un bloque CIDR y, a continuación, lo divide en subredes, cada una de ellas vinculada a una zona de disponibilidad. Las tablas de enrutamiento controlan el tráfico entre subredes y hacia el exterior.
En el perímetro de la mayoría de las VPC hay dos componentes: una puerta de enlace a Internet, que permite que los recursos de la subred pública puedan acceder a Internet y que se pueda acceder a ellos desde allí, y los grupos de seguridad, unos cortafuegos con estado que controlan qué tráfico se permite hacia y desde cada recurso. Todo lo demás —VPN, puertas de enlace de tránsito, interconexión entre redes y equilibradores de carga— se integra en esta base.
Tipos de conectividad VPC
Una VPC rara vez funciona de forma aislada; la forma en que se conecta a otras redes se ajusta a unos pocos patrones generales. El «peering» entre VPC conecta dos VPC directamente, enrutando el tráfico entre sus espacios de direcciones privadas sin pasar por Internet: es sencillo, pero no resulta escalable cuando hay que conectar entre sí un gran número de VPC. La conectividad mediante puerta de enlace de tránsito resuelve este problema con un centro de enrutamiento gestionado: numerosas VPC y redes locales se conectan a una única puerta de enlace, que intercambia rutas de forma dinámica a través de BGP y centraliza las políticas. Las VPN de sitio a sitio o los circuitos dedicados amplían una VPC a una red local o a una superposición SD-WAN a través de un túnel cifrado, utilizando una puerta de enlace privada virtual como punto final. Los entornos con múltiples VPC suelen converger en el modelo de puerta de enlace de tránsito; las implementaciones con una sola VPC suelen comenzar con una VPN directa.
VPC y Versa
Versa Conecta las sucursales SD-WAN y los usuarios remotos de SASE con las cargas de trabajo dentro de una VPC mediante tres modelos. El más sencillo es un túnel IPsec de sitio a sitio entre la pasarela SASE y la pasarela privada virtual de la VPC, con intercambio de rutas mediante eBGP, adecuado para una única VPC. En el caso de varias VPC o regiones, la pasarela SASE se conecta en su lugar con una pasarela de tránsito, centralizando así el enrutamiento. Un tercer modelo implementa el propio VOS como una instancia de EC2 dentro de la VPC, convirtiéndola en una sucursal SD-WAN completa. Consulte «Versa », «Networks » y «SASE Gateway Integration with AWS Cloud» para ver una comparación de los tres modelos; «Deploy a VOS Branch in AWS Using Transit Gateway» para una implementación con puerta de enlace de tránsito que abarca varias VPC; y «VOS High Availability in AWS Using Gateway Load Balancer» para instancias redundantes de VOS que inspeccionan el tráfico de la VPC.
Preguntas frecuentes
¿Cuál es la diferencia entre una VPC y una red tradicional?
Una VPC ofrece los mismos componentes básicos que una red física —direccionamiento, subredes, enrutamiento, cortafuegos—, pero está construida íntegramente a partir de la infraestructura virtualizada de un proveedor de servicios en la nube. No hay que instalar hardware ni tender cables; todo se configura a través de una consola o una API.
¿Puede una VPC conectarse a una red local?
Sí. Una VPC puede conectarse a una red local a través de una VPN de sitio a sitio, un circuito dedicado como Direct Connect o una superposición SD-WAN. La estructura « Secure SD-WAN » de Versase extiende hasta una VPC a través de cualquiera de estas rutas, tratando la carga de trabajo como si fuera simplemente otro sitio de la red.
¿Cuál es la diferencia entre una VPC y una subred?
Una VPC es la red aislada global; una subred es un rango de direcciones IP más reducido extraído de su espacio de direcciones, vinculado a una zona de disponibilidad. Una VPC suele contener varias subredes; por ejemplo, subredes independientes para el tráfico de gestión, WAN y LAN.
¿Una VPC es exclusiva de AWS?
VPC es el nombre que AWS da a este concepto, pero todas las principales nubes públicas cuentan con un equivalente: Azure lo denomina «red virtual» y Google Cloud utiliza el mismo término. La idea subyacente —una red aislada y controlada por el cliente— es común a todos los proveedores.
¿Cómo protege « Versa » el tráfico hacia y desde una VPC?
Versa Inspecciona el tráfico de la VPC a través de una puerta de enlace de « SASE » local a la que se accede mediante IPsec, o bien a través de instancias de VOS implementadas dentro de la VPC como dispositivos EC2. En cualquier caso, el tráfico está sujeto a políticas de cortafuegos, NAT y SD-WAN al entrar, salir o desplazarse entre VPC.
Más información sobre VPC
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| NIST SP 800-145: La definición del NIST de la computación en la nube | Alianza para la Seguridad en la Nube |
|---|---|
| El documento normativo que define los términos fundamentales de la computación en la nube, incluido el modelo de agrupación de recursos y aislamiento que implementa una VPC. | Investigación y orientación independientes de cualquier proveedor sobre la seguridad de la infraestructura en la nube, incluidas prácticas de aislamiento de redes como las VPC. |
Términos relacionados
Si estás leyendo sobre VPC, te conviene echar un vistazo a lo siguiente.
| Red virtual | SD-WAN | Sucursal |
|---|---|---|
| Denominación que utiliza Azure para referirse al mismo concepto: una red virtual aislada lógicamente para recursos en la nube, con sus propios rangos de direcciones IP y enrutamiento. | El enfoque de red superpuesta que utiliza Versa para acceder a las cargas de trabajo de una VPC desde sucursales, centros de datos y usuarios de SASE . | Una sede SD-WAN basada en VOS; VOS también puede ejecutarse como una instancia de EC2 dentro de una VPC, lo que convierte a la propia VPC en una sucursal. |