Multi-VPC-Architektur auf AWS: Schritt-für-Schritt-Anleitung

In der Cloud-Computing-Welt ist die Trennung von Netzwerken ein zentraler Bestandteil moderner Architekturen. Viele Einsteiger beginnen mit einem einzelnen Virtual Private Cloud (VPC), doch spätestens bei der Skalierung oder der Umsetzung von Sicherheitsvorgaben stoßen sie an Grenzen. Warum? Weil reale Umgebungen oft mehrere VPCs erfordern – etwa für verschiedene Teams, Umgebungen oder Sicherheitszonen.

Doch wie lassen sich diese isolierten Netzwerke sicher miteinander verbinden? In diesem praxisnahen Leitfaden zeigen wir Ihnen, wie Sie eine robuste Multi-VPC-Architektur auf AWS erstellen. Dabei lernen Sie nicht nur die technischen Schritte, sondern auch die zugrundeliegenden Konzepte kennen, die für Cloud-Engineers, DevOps-Experten und Solutions-Architekten unverzichtbar sind.

Warum eine Multi-VPC-Architektur sinnvoll ist

Die Gründe für die Trennung von Netzwerken sind vielfältig und reichen über reine Sicherheitsaspekte hinaus:

• Sicherheit: Isolierung von Workloads reduziert Angriffsflächen und minimiert die Ausbreitung von Sicherheitsvorfällen.
• Skalierbarkeit: Getrennte VPCs ermöglichen eine unabhängige Skalierung einzelner Komponenten.
• Team-Isolation: Unterschiedliche Teams oder Abteilungen arbeiten in separaten Netzwerken, ohne sich gegenseitig zu beeinflussen.
• Umgebungssegmentierung: Klare Trennung zwischen Entwicklung, Test und Produktion verhindert unbeabsichtigte Änderungen in produktiven Systemen.

Doch die größte Herausforderung liegt oft im zweiten Schritt: Wie kommunizieren diese isolierten Netzwerke sicher miteinander?

Schritt-für-Schritt: Zwei VPCs verbinden

In diesem Projekt erstellen wir zwei VPCs mit jeweils öffentlichen und privaten Subnetzen und verbinden sie über eine VPC-Peering-Verbindung. Das Ergebnis ist eine grundlegende Multi-VPC-Architektur, wie sie in vielen Produktionsumgebungen eingesetzt wird.

Architektur im Überblick

Die folgende Grafik veranschaulicht die geplante Struktur:

VPC-A (10.10.0.0/16)          VPC-B (10.20.0.0/16)
┌─────────────────────┐        ┌─────────────────────┐
│  Öffentliches      │        │  Öffentliches      │
│  Subnetz           │        │  Subnetz           │
│  (10.10.1.0/24)    │        │  (10.20.1.0/24)    │
└───────────┬────────┘        └───────────┬────────┘
            │                             │
            ▼                             ▼
┌─────────────────────┐        ┌─────────────────────┐
│  Privates          │        │  Privates          │
│  Subnetz           │        │  Subnetz           │
│  (10.10.2.0/24)    │        │  (10.20.2.0/24)    │
└─────────────────────┘        └─────────────────────┘
            ▲                             ▲
            │                             │
            └────────────── VPC Peering ─────────┘

Wichtig: Diese Kommunikation erfolgt rein intern – weder Internet-Gateways noch NAT-Gateways sind erforderlich.

Praktische Umsetzung: VPC-A und VPC-B erstellen

Schritt 1: VPC-A anlegen

Beginnen wir mit der ersten VPC:

• Name: VPC-A
• CIDR-Block: 10.10.0.0/16

Dieser Block bietet ausreichend Adressraum für die geplanten Subnetze.

Schritt 2: Subnetze in VPC-A definieren

In VPC-A legen wir zwei Subnetze an:

• Öffentliches Subnetz: 10.10.1.0/24
• Privates Subnetz: 10.10.2.0/24

Das öffentliche Subnetz ist für Ressourcen gedacht, die direkten Internetzugang benötigen, während das private Subnetz für interne Dienste wie Datenbanken oder Backend-Server genutzt wird.

Schritt 3: VPC-B erstellen

Analog zu VPC-A legen wir nun die zweite VPC an:

• Name: VPC-B
• CIDR-Block: 10.20.0.0/16

Auch hier verwenden wir zwei Subnetze:

• Öffentliches Subnetz: 10.20.1.0/24
• Privates Subnetz: 10.20.2.0/24

Schritt 4: VPC-Peering-Verbindung einrichten

Damit die beiden VPCs miteinander kommunizieren können, erstellen wir eine Peering-Verbindung:

1. Öffnen Sie die VPC-Konsole und navigieren Sie zu Peering-Verbindungen.
2. Klicken Sie auf Peering-Verbindung erstellen.
3. Wählen Sie:

• Anforderer: VPC-A
• Empfänger: VPC-B

1. Bestätigen Sie die Anfrage. Die Peering-Verbindung ist nun eingerichtet, allerdings noch nicht funktionsfähig.

Wichtig: Eine Peering-Verbindung bedeutet nur, dass die VPCs logisch verbunden sind. Ohne weitere Konfiguration findet keine Kommunikation statt.

Routen anpassen: Der kritische Schritt

Hier scheitern viele Einsteiger. Damit die VPCs tatsächlich Daten austauschen können, müssen die Route-Tabellen angepasst werden.

Route-Tabelle für VPC-A

Fügen Sie eine neue Route hinzu:

• Ziel: 10.20.0.0/16
• Ziel: VPC-Peering-Verbindung (die Sie zuvor erstellt haben)

Route-Tabelle für VPC-B

Ebenso muss die Route-Tabelle von VPC-B angepasst werden:

• Ziel: 10.10.0.0/16
• Ziel: VPC-Peering-Verbindung

Ohne diese Einträge bleibt die Kommunikation unterbrochen.

Funktionsweise der Verbindung

Nach der Konfiguration funktioniert die Kommunikation wie folgt:

• Datenverkehr von VPC-A zu VPC-B wird über die Peering-Verbindung geleitet.
• Der umgekehrte Weg (VPC-B zu VPC-A) folgt derselben Logik.

Dadurch entsteht eine private, sichere Kommunikation zwischen den Netzwerken – komplett ohne Umweg über das Internet.

Testen der Konfiguration

Um die Einrichtung zu überprüfen, können Sie folgende Schritte durchführen:

1. Starten Sie in jeder VPC eine EC2-Instanz. Platzieren Sie sie im privaten Subnetz.
2. Verwenden Sie die privaten IP-Adressen, um die Instanzen gegenseitig per Ping zu erreichen.

Bei korrekter Konfiguration sollten die Instanzen erfolgreich miteinander kommunizieren.

Wichtige Einschränkungen von VPC Peering

Bevor Sie diese Architektur in Produktion einsetzen, sollten Sie die folgenden Limitierungen kennen:

• Keine transitive Routing: Eine Verbindung von VPC-A zu VPC-B und weiter zu VPC-C funktioniert nicht automatisch.
• Keine überlappenden CIDR-Blöcke: Die IP-Adressbereiche der VPCs dürfen sich nicht überschneiden.
• Manuelle Konfiguration: Jede Route muss explizit definiert werden.

Was Sie durch dieses Projekt lernen

Diese Übung vermittelt Ihnen wertvolle Einblicke in die Welt der Cloud-Netzwerke:

• Wie reale Architekturen segmentiert werden.
• Wie sich Cloud-Netzwerke von traditionellen Netzwerken unterscheiden.
• Wie Routing die Kommunikation zwischen Netzwerken ermöglicht.
• Wie Sie sichere, isolierte Systeme entwerfen.

Reale Anwendungsszenarien

Diese Multi-VPC-Architektur findet in der Praxis vielfältige Verwendung:

• Verbindung von Dev- und Produktionsumgebungen für sichere Bereitstellungen.
• Trennung von Anwendungsebenen (z. B. Frontend, Backend, Datenbank).
• Team-basierte Architekturen, bei denen jedes Team sein eigenes Netzwerk erhält.
• Kommunikation zwischen Microservices, die in verschiedenen VPCs laufen.

Mit diesem Wissen sind Sie bestens gerüstet, um professionelle Cloud-Architekturen zu gestalten – sei es für Ihr eigenes Projekt oder im beruflichen Umfeld.

Die Cloud-Computing-Welt entwickelt sich rasant weiter. Wer heute die Grundlagen beherrscht, ist morgen für die Herausforderungen von morgen gewappnet.