Belajar Cloud Architect - Networking Architecture
Jaringan adalah tulang punggung arsitektur cloud: desain VPC yang salah akan menyebalkan selama bertahun-tahun. Episode ini membahas perencanaan CIDR, multi-AZ & multi-region, segmentasi jaringan, kontrol akses, serta koneksi hybrid ke datacenter on-premise
#Pendahuluan
Setelah memilih compute (episode 4) dan data (episode 5), kini saatnya menghubungkan semuanya. Networking architecture adalah bagian yang paling sulit diubah setelah dibangun: mengubah CIDR VPC yang sudah terpasang di ratusan resource hampir mustahil. Keputusan jaringan harus benar di awal.
Episode ini membahas desain VPC dan subnet, pola multi-AZ & multi-region, segmentasi dan kontrol akses jaringan, serta cara menghubungkan cloud dengan datacenter on-premise. Fokusnya adalah pola yang berlaku lintas provider — AWS VPC, GCP VPC, dan Azure VNet hanyalah nama berbeda dari konsep yang sama.
#Desain VPC dan Subnet
#Perencanaan CIDR
Pilihan blok CIDR menentukan kapasitas masa depan. Prinsip: sisakan ruang untuk tumbuh dan hindari tumpang tindih antar-network yang akan di-peer atau dihubungkan.
| Skala Organisasi | Saran Blok | Kapasitas |
|---|---|---|
| Kecil (1-2 env) | 10.0.0.0/16 per env | 65.536 alamat |
| Menengah (prod/staging/dev) | 10.0.0.0/16, 10.1.0.0/16, 10.2.0.0/16 | Terpisah per env |
| Enterprise (multi-region) | 10.x.0.0/16 per region, x unik | Tidak tumpang tindih |
Kesalahan fatal: memakai blok yang sama untuk prod dan staging, lalu mencoba menghubungkannya nanti — address akan bentrok. Rencanakan dari awal seolah semua environment akan saling terhubung.
#Subnet: Publik vs Privat
Setiap VPC dipecah menjadi subnet yang dikaitkan ke satu availability zone. Pemisahan paling penting: publik (memiliki route ke Internet Gateway) dan privat (tidak — hanya bisa keluar via NAT/egress gateway).
10.0.0.0/16 (VPC)
├─ 10.0.0.0/24 subnet publik AZ-1 (load balancer, NAT)
├─ 10.0.1.0/24 subnet privat AZ-1 (aplikasi)
├─ 10.0.2.0/24 subnet privat AZ-1 (database)
├─ 10.0.3.0/24 subnet publik AZ-2 (load balancer, NAT)
├─ 10.0.4.0/24 subnet privat AZ-2 (aplikasi)
└─ 10.0.5.0/24 subnet privat AZ-2 (database)Perhatikan polanya: setiap AZ mendapat subnet publik + privat aplikasi + privat database. Dengan begini, satu AZ down tidak melumpuhkan seluruh sistem — fondasi high availability yang akan kita perkaya di episode 8.
#Multi-AZ vs Multi-Region
- Multi-AZ: dua atau lebih availability zone dalam satu region (jarak fisik beberapa kilometer). Melindungi dari kegagalan perangkat keras/datacenter. Wajib untuk workload production.
- Multi-region: beberapa region (jarak ratusan kilometer). Melindungi dari bencana regional dan mendekatkan aplikasi ke user. Jauh lebih kompleks dan mahal (episode 15).
Satu AZ ── titik kegagalan tunggal (tidak untuk production)
Multi-AZ ── standar production (episode 8)
Multi-region ── disaster recovery & latency global (episode 15)#Segmentasi dan Kontrol Akses
#Security Group / Firewall Rules
Kontrol akses diterapkan di dua lapis: security group (melekat ke resource, stateful di AWS) dan network ACL/route (level subnet). Prinsip yang selalu dipakai:
- Least privilege: buka port hanya yang dibutuhkan, hanya dari sumber yang benar.
- Default deny: mulai dari tertutup, buka satu per satu.
- Segregasi lapisan: database hanya boleh diakses dari subnet aplikasi, bukan dari internet.
aws ec2 authorize-security-group-ingress \
--group-id sg-0db \
--protocol tcp --port 5432 --cidr 10.0.1.0/24Perhatikan 10.0.1.0/24 — bukan 0.0.0.0/0. Database yang terbuka ke seluruh internet adalah temuan teratas di security audit (kita perdalam di episode 19).
#Segmentasi Antar-Environment
Pisahkan environment dengan tegas: prod, staging, dev di VPC berbeda (atau minimal subnet terpisah). Bukan hanya soal keamanan — environment yang tercampur menyebabkan eksperimen dev merusak data produksi.
#Koneksi Hybrid (Cloud + On-Premise)
Saat cloud harus terhubung ke datacenter yang sudah ada, ada dua opsi utama:
| Opsi | Karakter | Dipakai Untuk |
|---|---|---|
| VPN (IPsec) | Melalui internet, latency lebih tinggi | Backup koneksi, biaya rendah |
| Direct Connect / Interconnect / ExpressRoute | Koneksi fisik privat, latency rendah | Koneksi utama, SLA tinggi |
Pola yang umum: Direct Connect sebagai primary, VPN sebagai failback. Dengan begitu arsitektur tetap tersedia saat link privat bermasalah. Detail topologi lanjutan — transit gateway, peering — akan dibahas di episode 16 (hybrid & multi-cloud).
#Praktik: Merancang Jaringan untuk Workload Baru
Kerangka desain yang bisa langsung dipakai:
- Alokasikan blok CIDR yang unik per environment dan region.
- Buat subnet publik/privat di minimal 2 AZ per region.
- Letakkan load balancer di subnet publik; aplikasi & database di subnet privat.
- Terapkan security group default deny; hanya buka port yang dibutuhkan.
- Rencanakan koneksi hybrid (Direct Connect + VPN failback) jika ada datacenter.
Dokumentasikan semuanya di diagram (Mermaid/draw.io) dan ADR — jaringan adalah keputusan paling sulit untuk diubah nanti.
#Penutup
Inti yang harus dibawa pulang:
- Rencanakan CIDR dengan ruang tumbuh; jangan pernah tumpang tindih antar-env.
- Pisahkan subnet publik/privat di setiap AZ; database harus di subnet privat.
- Multi-AZ wajib untuk production; multi-region adalah tingkat berikutnya (episode 15).
- Terapkan least privilege di security group; default deny.
- Koneksi hybrid: Direct Connect primary + VPN failback.
Di episode 7 selanjutnya kita akan membahas security architecture & zero trust — security by design, defense in depth, model zero trust, dan pemetaan compliance ke CIS/NIST. Sampai jumpa di episode 7!