Home » Cloud Networking: VPC, Peering, Transit Gateway, PrivateLink, Cloud WAN และ Multi-Cloud
Cloud Networking: VPC, Peering, Transit Gateway, PrivateLink, Cloud WAN และ Multi-Cloud
Cloud Networking: VPC, Peering, Transit Gateway, PrivateLink, Cloud WAN และ Multi-Cloud
Cloud Networking เป็นพื้นฐานของ cloud infrastructure ทั้งหมด VPC (Virtual Private Cloud) สร้าง isolated network ใน cloud, Peering เชื่อม VPCs เข้าด้วยกัน, Transit Gateway เป็น hub สำหรับ connect หลาย VPCs และ on-premises, PrivateLink ให้ private connectivity ไป services โดยไม่ผ่าน internet, Cloud WAN จัดการ global network และ Multi-Cloud เชื่อมต่อหลาย cloud providers
องค์กรส่วนใหญ่ใช้ 100+ VPCs ข้าม multiple accounts และ regions: การจัดการ connectivity ระหว่าง VPCs, on-premises data centers, และ cloud services ซับซ้อนมาก VPC Peering ไม่ scale (N×N mesh), Transit Gateway แก้ปัญหาด้วย hub-and-spoke model และ PrivateLink ให้ secure access ไป services โดยไม่ expose ไป public internet
VPC Fundamentals
| Feature |
AWS |
Azure |
GCP |
| Name |
VPC |
VNet (Virtual Network) |
VPC Network |
| Scope |
Regional |
Regional |
Global (subnets are regional) |
| Subnets |
AZ-specific (public/private) |
Regional |
Regional |
| CIDR |
/16 to /28 (secondary CIDRs) |
/16 to /29 |
Auto or custom subnets |
| Route Tables |
Per subnet (custom routes) |
Per subnet (UDR) |
Per VPC (policy-based) |
| Security |
Security Groups + NACLs |
NSG (Network Security Groups) |
Firewall Rules (VPC-level) |
| NAT |
NAT Gateway (managed) |
NAT Gateway |
Cloud NAT |
VPC Peering
| Feature |
รายละเอียด |
| คืออะไร |
Direct connection ระหว่าง 2 VPCs — traffic stays on cloud backbone (ไม่ผ่าน internet) |
| Non-Transitive |
VPC A ↔ VPC B + VPC B ↔ VPC C ≠ VPC A ↔ VPC C (ไม่ transitive) |
| Cross-Account |
Peer ข้าม AWS accounts ได้ |
| Cross-Region |
Peer ข้าม regions ได้ (inter-region peering) |
| Limitations |
No overlapping CIDRs, no transitive routing, N×N mesh ไม่ scale |
| Cost |
No hourly charge (data transfer charges only) |
| Scale Problem |
10 VPCs = 45 peerings, 50 VPCs = 1,225 peerings → use Transit Gateway instead |
Transit Gateway
| Feature |
รายละเอียด |
| คืออะไร |
Regional hub ที่ connect multiple VPCs, VPNs, Direct Connect ผ่าน single gateway |
| Hub-and-Spoke |
ทุก VPC connect ไป TGW → TGW routes ระหว่าง VPCs (transitive routing) |
| Route Tables |
Multiple route tables → segment traffic (production ไม่เห็น development) |
| Peering |
TGW Peering ข้าม regions → inter-region connectivity ผ่าน TGW |
| Scale |
5,000 VPCs per TGW, 50 Gbps per AZ bandwidth |
| Cost |
$0.05/hour per attachment + data processing ($0.02/GB) |
| vs Peering |
TGW: transitive, scalable, centralized | Peering: cheaper, simpler for few VPCs |
PrivateLink / Private Endpoints
| Feature |
AWS PrivateLink |
Azure Private Link |
GCP Private Service Connect |
| คืออะไร |
Private connectivity ไป AWS services หรือ partner services |
Private connectivity ไป Azure PaaS |
Private connectivity ไป Google APIs/services |
| How |
ENI ใน VPC → private IP → traffic stays in AWS network |
Private Endpoint ใน VNet → private IP |
Forwarding rule → private IP in VPC |
| No Internet |
ไม่ต้อง NAT Gateway, ไม่ต้อง Internet Gateway |
ไม่ผ่าน public internet |
ไม่ผ่าน public internet |
| Services |
S3, DynamoDB, RDS, ELB, SaaS (marketplace) |
Storage, SQL, Cosmos DB, Key Vault |
Cloud Storage, BigQuery, Cloud SQL |
| Security |
Traffic ไม่ออก VPC → ลด attack surface significantly |
NSG on private endpoint |
Firewall rules |
Cloud WAN
| Feature |
รายละเอียด |
| AWS Cloud WAN |
Managed global network — connect VPCs, branches, on-prem across regions ด้วย single policy |
| Azure Virtual WAN |
Hub-and-spoke architecture — connect VNets, branches, VPN, ExpressRoute ผ่าน managed hub |
| GCP Network Connectivity Center |
Hub สำหรับ connect on-prem, other clouds, Google Cloud resources |
| Benefit |
Centralized policy, automated routing, global backbone, simplified operations |
| Use Case |
Enterprise ที่มี 50+ VPCs ข้าม 5+ regions + on-premises connectivity |
Multi-Cloud Networking
| Approach |
How |
Tools |
| VPN (Site-to-Site) |
IPsec tunnel ระหว่าง cloud providers |
AWS VPN ↔ Azure VPN Gateway ↔ GCP Cloud VPN |
| Dedicated Interconnect |
Private circuit ผ่าน colocation/IX |
Equinix Fabric, Megaport, PacketFabric |
| Multi-Cloud NVA |
Third-party router/firewall ใน each cloud |
Aviatrix, Alkira, Prosimo |
| Service Mesh |
Application-layer connectivity across clouds |
Consul, Istio multi-cluster |
Cloud Network Security
| Control |
Purpose |
| Security Groups / NSG |
Stateful firewall per instance/NIC (allow rules, implicit deny) |
| NACLs (AWS) / NSG subnet |
Stateless firewall per subnet (allow + deny rules) |
| Cloud Firewall (NGFW) |
Centralized inspection: AWS Network Firewall, Azure Firewall, GCP Cloud NGFW |
| WAF |
Web Application Firewall for HTTP/HTTPS (CloudFront/ALB WAF, Azure WAF, Cloud Armor) |
| Flow Logs |
VPC Flow Logs → capture traffic metadata → SIEM analysis |
| Traffic Mirroring |
Copy traffic for deep inspection (NDR, IDS) |
ทิ้งท้าย: Cloud Networking = Connect, Secure, Scale
Cloud Networking VPC: isolated network (regional), subnets, security groups, route tables, NAT Peering: direct VPC-to-VPC (non-transitive, doesn’t scale beyond 10-20 VPCs) Transit Gateway: hub-and-spoke (transitive, 5000 VPCs, route table segmentation) PrivateLink: private connectivity to PaaS services (no internet, reduced attack surface) Cloud WAN: managed global network (AWS Cloud WAN, Azure vWAN, GCP NCC) Multi-Cloud: VPN, dedicated interconnect (Equinix/Megaport), multi-cloud NVA (Aviatrix/Alkira) Security: SG/NSG (instance), NACL (subnet), cloud NGFW (centralized), WAF (L7), flow logs Key: start with VPC design → peering for few → TGW for many → PrivateLink for services → Cloud WAN for global
อ่านเพิ่มเติมเกี่ยวกับ SD-WAN Architecture Overlay Underlay SASE และ Kubernetes Networking CNI Service Mesh ที่ siamlancard.com หรือจาก icafeforex.com และ siam2r.com
