Mục tiêu bài học
Đọc được đường đi của request qua VPC, subnet, route table, security group và DNS.
Bài giảng chi tiết
Bài toán thực tế
Một private application cần gọi ra ngoài để cập nhật package nhưng không được nhận inbound Internet; web tier cần nhận HTTP và database không được public. Người học phải đọc route và control path thay vì chỉ nhìn tên subnet.
Đừng học nội dung này như một danh sách tên dịch vụ. Hãy đi theo chuỗi: requirement → khái niệm → quyết định → bằng chứng. Một câu trả lời tốt phải nói được vì sao lựa chọn phù hợp, phương án gần nhất bị loại ở đâu, và kiểm tra nào chứng minh lựa chọn đó hoạt động.
Khái niệm được giải thích theo scenario
- VPC là network boundary; subnet thuộc một AZ; route table quyết định next hop.
- Public subnet thường có route đến Internet Gateway và addressing phù hợp; private subnet không có inbound route trực tiếp từ Internet.
- NAT Gateway hỗ trợ private subnet outbound, còn security group/NACL kiểm soát traffic ở các lớp khác nhau.
- Route 53 là DNS; record không tự tạo network path hay quyền truy cập.
Ví dụ khi gặp một scenario mới, hãy thay các từ khóa trong đề bằng một hệ thống cụ thể: ai là người dùng, dữ liệu đi qua đâu, thành phần nào có thể lỗi, quyền nào cần có và điều gì phải được quan sát. Cách làm này giúp phân biệt các đáp án gần đúng thay vì chọn theo trí nhớ tên service.
flowchart LR
A[Scenario / requirement] --> B[Concept and boundary]
B --> C[Service or control choice]
C --> D[Evidence and trade-off]
D --> E[Failure variant]
Khái niệm cốt lõi
VPC là network isolation logic; subnet thuộc một AZ. Subnet public cần route tới Internet Gateway và addressing phù hợp. NAT Gateway cho private subnet outbound mà không nhận inbound trực tiếp. Security group stateful, NACL stateless. Route 53 là DNS, còn record/routing policy quyết định câu trả lời.
Ví dụ giảng viên: phân loại một quyết định cloud
Đọc network theo từng hop: source, destination, route next-hop, SG/NACL và DNS. Một subnet chỉ được gọi là public khi route/addressing cho phép đường Internet; tên subnet không tạo connectivity. NAT giải quyết outbound từ private side, còn Route 53 chỉ trả lời tên nào ánh xạ tới endpoint nào.
Vẽ hai chiều request/response và đánh dấu failure khi route đúng nhưng SG chặn, khi NACL chặn ephemeral port, khi DNS resolve đúng nhưng không có route, và khi NAT đặt một AZ bị lỗi. Đây là bài tập phân biệt control plane/network path với service name.
Thực hành có kiểm soát
Vẽ public subnet, private subnet, IGW, NAT, route table và security group. Tự trả lời: private instance có download update qua NAT không? Có nhận inbound trực tiếp từ Internet không? Không mở toàn bộ port chỉ để “test cho nhanh”.
Expected state và recovery
Trước khi thực hành, ghi rõ target/account/region, trạng thái hiện tại và output mong đợi. Sau thao tác, kiểm chứng bằng trạng thái thực tế hoặc command phù hợp; nếu kết quả sai, giữ lại evidence, quay về thay đổi nhỏ nhất và cleanup đúng owner. Không coi exit code 0 hoặc thông báo “success” là bằng chứng duy nhất.
- Lần theo được đường đi của inbound HTTP và outbound update.
- Phân biệt route table với security group và NACL.
- Giải thích vì sao database private không đồng nghĩa chỉ cần đổi tên subnet.
- Xác định được single-AZ risk của NAT Gateway và nêu cách cân nhắc HA/cost.
Bẫy đề thi và cách tự kiểm tra
Internet Gateway không phải firewall. Security group không thay route table. DNS record không tự tạo network path. “Public subnet” là kết quả của route và addressing, không phải tên đặt tùy ý.