Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Un sous-réseau est une plage d'adresses IP dans votre VPC. Vous pouvez créer des AWS ressources, telles que EC2 des instances, dans des sous-réseaux spécifiques.
Table des matières
Principes de base des sous-réseaux
Chaque sous-réseau doit résider entièrement dans une zone de disponibilité et ne peut pas s'étendre sur plusieurs zones. En lançant AWS des ressources dans des zones de disponibilité distinctes, vous pouvez protéger vos applications contre la défaillance d'une seule zone de disponibilité.
Table des matières
Plage d'adresses IP du sous-réseau
Lorsque vous créez un sous-réseau, vous spécifiez ses adresses IP, en fonction de la configuration du VPC :
-
IPv4 uniquement — Le sous-réseau possède un bloc d'adresse IPv4 CIDR, mais pas de bloc d'adresse IPv6 CIDR. Les ressources d'un sous-réseau IPv4 réservé doivent communiquer entre elles. IPv4
-
Double pile : le sous-réseau possède à la fois un bloc IPv4 CIDR et un bloc IPv6 CIDR. Le VPC doit comporter à la fois un bloc d'adresse IPv4 CIDR et un IPv6 bloc d'adresse CIDR. Les ressources d'un sous-réseau à double pile peuvent communiquer via IPv4 et. IPv6
-
IPv6 uniquement — Le sous-réseau possède un bloc d'adresse IPv6 CIDR, mais pas de bloc d'adresse IPv4 CIDR. Le VPC doit disposer d'un bloc IPv6 CIDR. Les ressources d'un sous-réseau IPv6 réservé doivent communiquer entre elles. IPv6
Note
Les ressources des sous-réseaux IPv6 uniquement se voient attribuer des adresses IPv4 locales de lien à partir du bloc CIDR 169.254.0.0/16. Ces adresses sont utilisées pour communiquer avec des services disponibles uniquement dans le VPC. Pour des exemples, consultez la section Link-local addresses dans le guide de EC2 l'utilisateur Amazon.
Pour de plus amples informations, veuillez consulter Adressage IP pour votre réseau VPCs et vos sous-réseaux.
Types de sous-réseaux
Le type de sous-réseau est déterminé par la façon dont vous configurez le routage pour vos sous-réseaux. Par exemple :
-
Sous-réseau public : le sous-réseau possède une route directe vers une passerelle Internet. Les ressources d'un sous-réseau public peuvent accéder à l'Internet public.
-
Sous-réseau privé : le sous-réseau ne comporte pas de route vers une passerelle Internet. Les ressources d'un sous-réseau privé nécessitent un périphérique NAT pour accéder à l'Internet public.
-
Sous-réseau VPN uniquement : le sous-réseau dispose d'une route vers une connexion Site-to-Site VPN via une passerelle privée virtuelle. Le sous-réseau ne dispose pas d'un acheminement vers une passerelle Internet.
-
Sous-réseau isolé : le sous-réseau ne possède aucune route vers des destinations en dehors de son VPC. Les ressources d'un sous-réseau isolé ne peuvent accéder ou être accessibles que par d'autres ressources du même VPC.
Diagramme de sous-réseau
Le schéma suivant montre un VPC avec des sous-réseaux dans deux zones de disponibilité et une passerelle Internet. Chaque zone de disponibilité possède un sous-réseau public et un sous-réseau privé.
Pour les diagrammes illustrant les sous-réseaux dans les zones locales et les zones de longueur d'onde, consultez les sections How AWS Local Zones work et How AWS Wavelength works.
Routage des sous-réseaux
Chaque sous-réseau doit être associé à une table de routage, qui indique les routes autorisées pour le trafic sortant quittant le sous-réseau. Chaque sous-réseau que vous créez est automatiquement associé à la table de routage principale de votre VPC. Vous pouvez modifier cette association, mais aussi le contenu de la table de routage principale. Pour de plus amples informations, veuillez consulter Configuration des tables de routage.
Paramètres du sous-réseau
Tous les sous-réseaux possèdent un attribut modifiable qui détermine si une IPv4 adresse publique et, le cas échéant, une adresse sont attribuées à une interface réseau créée dans ce sous-réseau. IPv6 Cela inclut l'interface réseau principale (par exemple, eth0) créée pour une instance lorsque vous lancez une instance dans ce sous-réseau. Quel que soit l'attribut du sous-réseau, vous pouvez toujours remplacer ce paramètre pour une instance spécifique lors du lancement.
Après avoir créé un sous-réseau, vous pouvez modifier les paramètres suivants pour le sous-réseau :
Attribution automatique des paramètres IP : vous permet de configurer les paramètres d'attribution automatique des adresses IP pour demander automatiquement un public IPv4 ou une IPv6 adresse pour une nouvelle interface réseau dans ce sous-réseau.
Paramètres du nom basé sur les ressources (RBN) : vous permettent de spécifier le type de nom d'hôte pour les EC2 instances de ce sous-réseau et de configurer la manière dont les requêtes d'enregistrement DNS A et AAAA sont traitées. Pour plus d'informations, consultez les types de noms d'hôte des EC2 instances Amazon dans le guide de EC2 l'utilisateur Amazon.
Sécurité des sous-réseaux
Pour protéger vos AWS ressources, nous vous recommandons d'utiliser des sous-réseaux privés. Utilisez un hôte bastion ou un périphérique NAT pour fournir un accès Internet aux ressources, telles que les EC2 instances, dans un sous-réseau privé.
AWS fournit des fonctionnalités que vous pouvez utiliser pour renforcer la sécurité des ressources de votre VPC. Les groupes de sécurité autorisent le trafic entrant et sortant pour les ressources associées, telles que EC2 les instances. Le réseau ACLs autorise ou refuse le trafic entrant et sortant au niveau du sous-réseau. Dans la plupart des cas, les groupes de sécurité peuvent répondre à vos besoins. Cependant, vous pouvez utiliser le réseau ACLs si vous souhaitez une couche de sécurité supplémentaire. Pour de plus amples informations, veuillez consulter Comparez les groupes de sécurité et le réseau ACLs.
Dans sa conception, chaque sous-réseau doit être associé à une liste ACL réseau. Chaque sous-réseau que vous créez est automatiquement associé à l'ACL réseau par défaut du VPC. L'ACL réseau par défaut permet tout le trafic entrant et sortant. Vous pouvez mettre à jour l'ACL réseau par défaut ou créer un réseau personnalisé ACLs et l'associer à vos sous-réseaux. Pour de plus amples informations, veuillez consulter Contrôler le trafic des sous-réseaux à l’aide de listes de contrôle d’accès réseau.
Vous pouvez créer un journal de flux sur votre VPC ou sous-réseau pour capturer ces flux vers et en provenance des interfaces réseau dans votre VPC ou sous-réseau. Vous pouvez aussi créer un journal de flux sur une interface réseau individuelle. Pour de plus amples informations, veuillez consulter Journalisation du trafic IP à l'aide des journaux de flux VPC.
