1. Les tables de routage dans le Cloud

Chaque sous-réseau d’un VPC ou VNet est obligatoirement rattaché à une table de routage. Celle-ci contient un ensemble de règles (routes) déterminant la destination des paquets réseau selon leur adresse IP cible :

Destination        Cible (Target)          Commentaire
10.50.0.0/16       local                   Communication interne au VPC (implicite et prioritaire)
0.0.0.0/0          igw-0abc123def456       Trafic Internet public acheminé vers l'Internet Gateway

2. La passerelle Internet (Internet Gateway – IGW)

L’Internet Gateway (IGW) est un composant virtuel hautement disponible, redondant et scalable fourni par l’hyperscaler. Elle assure deux missions essentielles :

  • Assurer une cible de routage pour le trafic sortant vers le web.
  • Effectuer la translation d’adresses réseau (NAT 1:1) entre les adresses IP privées des instances du sous-réseau public et leurs adresses IP publiques élastiques.

3. La passerelle NAT managée (NAT Gateway)

Les serveurs situés dans des sous-réseaux privés ont souvent besoin de se connecter à l’extérieur pour télécharger des correctifs de sécurité (apt update, yum update) ou interroger des APIs tierces, mais ils ne doivent en aucun cas recevoir de connexions initiées depuis l’Internet. Ce problème est résolu par la Passerelle NAT (NAT Gateway) :

[ Instance Privée (10.50.10.5) ]
              |
         (Route 0.0.0.0/0)
              v
[ Passerelle NAT (Sous-réseau Public) ] -> Adresse IP Élastique publique
              |
              v
[ Internet Gateway ] --------------------> Internet extérieur
# Création d'une IP élastique pour la NAT Gateway
EIP_ALLOC=$(aws ec2 allocate-address --domain vpc --query 'AllocationId' --output text)

# Déploiement de la NAT Gateway dans le sous-réseau public
NAT_ID=$(aws ec2 create-nat-gateway --subnet-id subnet-public-2a 
    --allocation-id $EIP_ALLOC --query 'NatGateway.NatGatewayId' --output text)

# Association de la route par défaut vers la NAT Gateway dans la table de routage privée
aws ec2 create-route --route-table-id rtb-private-01 
    --destination-cidr-block 0.0.0.0/0 --gateway-id $NAT_ID

VPC Endpoints & PrivateLink : Pour dialoguer avec les services managés du fournisseur (ex: stockage Amazon S3, Azure Key Vault), privilégiez les Endpoints de service privés. Le trafic ne traverse ainsi jamais l’Internet public et reste confiné au backbone privé de l’hébergeur.

PreviousNext