Réseau cloud : de l'adressage au filtrage par défaut

Ce module apprend à concevoir le réseau privé d'un environnement cloud : un plan d'adressage, un réseau régional réparti sur plusieurs zones, des routes, une sortie vers Internet par NAT et un filtrage qui refuse par défaut. Il s'adresse à qui sait ce qu'est une adresse IP et son masque (les rappels sur l'adressage, le routage, le DNS et le NAT suffisent sinon) et veut passer d'une machine qui répond à un réseau que l'on peut défendre. Les leçons sur les sous-réseaux, les tables de routage et le filtrage se pratiquent sans compte cloud sur l'émulateur Feint, avec les limites que chaque leçon annonce, et en gardant le même fichier d'état d'une leçon à l'autre. Les autres leçons sont des leçons de concepts, sans lab.

Pourquoi le réseau cloud est différent

Dans un datacenter traditionnel, le réseau est physique : câbles, switches, routeurs matériels. Les modifications prennent des jours et nécessitent des interventions manuelles. Dans le cloud, tout est virtualisé et programmable, vous pouvez créer un réseau complet en quelques minutes, mais cette flexibilité exige de comprendre les abstractions propres à chaque provider.

Datacenter traditionnel	Cloud
Matériel physique à provisionner	Ressources virtuelles à la demande
Modifications lentes (jours/semaines)	Changements instantanés via API
Coûts fixes (CAPEX)	Coûts variables (OPEX)
Expertise réseau spécialisée	Compétences DevOps transverses
Isolation physique	Isolation logique (multi-tenant)

Glissez pour voir

L'erreur la plus coûteuse

Le réseau est souvent la dernière chose à laquelle on pense lors d'un projet cloud, et la première source de problèmes en production. Un mauvais dimensionnement CIDR, une absence de segmentation, ou des Security Groups trop permissifs peuvent nécessiter une reconstruction complète de l'infrastructure. Prenez le temps de bien concevoir dès le départ.

Comment les leçons du module s'enchaînent-elles ?

Le module s'ouvre sur un rappel, puis construit un réseau de l'adresse au filtrage en trois leçons, chacune supposant la précédente. Le rappel sur l'IP, le CIDR, le routage, le DNS et le NAT fournit le vocabulaire et le calcul d'adresses dont les suivantes se servent. La leçon sur les VPC, VNet et sous-réseaux crée le réseau privé, le dimensionne, explique ce qui rend un sous-réseau « public » et le répartit sur plusieurs zones. Celle sur les tables de routage et les passerelles le relie à Internet, en entrée par une passerelle Internet et en sortie par un NAT. Celle sur la sécurité réseau ajoute la troisième condition pour être joignable, le filtrage, avec un refus par défaut. La leçon sur l'IPv6 vient juste après le filtrage, parce qu'elle montre ce qu'une règle écrite pour IPv4 ne couvre pas.

Deux leçons complètent le module pour la piste Architect. La connectivité hybride relie ce réseau à un datacenter ou à un autre cloud, par VPN, lien dédié et BGP. Les patrons d'architecture réseau assemblent le tout : zone démilitarisée, étoile, segmentation par rôle.

Le réseau passe avant le calcul, le stockage et l'exposition. Aucune machine ne devrait être créée, et rien ne devrait être exposé, avant que le réseau privé existe : c'est ce qui explique la place du module dans la formation. Les leçons sur la répartition de charge et TLS et le DNS managé restent dans cette section, mais appartiennent à l'exposition d'une application.

Quel modèle réseau chez chaque fournisseur ?

Le modèle diffère selon le fournisseur, et chaque leçon le dit. Chez Scaleway, le VPC, le Private Network et les sous-réseaux sont régionaux, les interfaces réseau privées se créent par zone, et la Public Gateway est zonale, reliée au réseau par une liaison par zone. Chez OUTSCALE, le Net est régional et chaque sous-réseau est lié à une sous-région. Le tableau donne la correspondance des termes entre quatre clouds, utile pour lire deux documentations en parallèle.

Concept	AWS	Azure	GCP	Outscale
Réseau privé virtuel	VPC	VNet	VPC	Net
Sous-réseau	Subnet	Subnet	Subnet	Subnet
Passerelle Internet	Internet Gateway	implicite	implicite	Internet Service
NAT sortant	NAT Gateway	NAT Gateway	Cloud NAT	NAT Service
Pare-feu instance	Security Group	NSG	Firewall Rules	Security Group
Pare-feu subnet	NACL	NSG (subnet)	Firewall Rules	Sans objet
Interconnexion dédiée	Direct Connect	ExpressRoute	Cloud Interconnect	DirectLink

Glissez pour voir

Scaleway n'est pas dans ce tableau parce que ses objets ne se superposent pas à ceux des autres : son groupe de sécurité d'Instance ne filtre que le trafic public, et ses Network ACL filtrent entre Private Networks. La leçon sur la sécurité réseau détaille ce point.

À retenir

Le réseau cloud repose sur des concepts universels (IP, routage, DNS) appliqués à une infrastructure virtualisée et programmable. La clé du succès est de :

• Maîtriser les fondamentaux avant de créer des ressources
• Planifier le dimensionnement (CIDR) dès le départ, c'est difficile à modifier ensuite
• Segmenter par fonction (public/privé) et par environnement (dev/prod)
• Appliquer la défense en profondeur, plusieurs couches de sécurité
• Documenter votre architecture, schémas et tableaux d'adressage

Contrôle de connaissances

Vérifiez que l'essentiel de ce guide est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →