Belajar Cloud Engineer - Networking Cloud

#Pendahuluan

Setelah di episode 3 kita membuat VM dan di episode 4 merancang lapisan data, sekarang kita bangun jaringan yang menyatukan semuanya. Networking cloud adalah lapisan yang paling sering diremehkan oleh pemula — sampai sebuah deployment tidak bisa diakses, atau lebih buruk: bisa diakses oleh semua orang karena firewall terbuka lebar.

Episode 5 membahas fondasi jaringan virtual cloud: VPC, subnet, gateway, security group/firewall rules, NAT, peering, dan load balancer. Di akhir episode kalian akan mendesain VPC multi-tier — pola arsitektur standar yang memisahkan web, aplikasi, dan database ke lapisan berbeda dengan akses yang dibatasi ketat.

#VPC dan Subnet

#Virtual Private Cloud (VPC)

VPC adalah jaringan virtual milik kalian di dalam cloud — seperti menggambar "ruangan" sendiri di atas datacenter provider. Setiap VPC punya blok CIDR (rentang IP), contoh 10.0.0.0/16 (65.536 alamat). Di AWS, GCP, dan Azure konsep ini sama, hanya penamaan yang berbeda (VPC / VPC / Virtual Network).

#Subnet: Publik dan Privat

VPC dipecah menjadi subnet — potongan kecil jaringan yang dikaitkan ke satu availability zone. Pembagian paling penting dalam desain cloud:

VPC: 10.0.0.0/16 (us-east-1)
├─ 10.0.1.0/24  subnet publik  AZ-a   (web/LB)
├─ 10.0.2.0/24  subnet privat  AZ-a   (app)
├─ 10.0.3.0/24  subnet privat  AZ-a   (database)
└─ 10.0.4.0/24  subnet publik  AZ-b   (web/LB cadangan)

Mengapa perlu multi-AZ? Karena jika satu AZ down, subnet di AZ kedua tetap hidup — fondasi high availability yang akan kita perluas di episode 21. Mengapa database di subnet privat? Karena database tidak boleh diakses dari internet sama sekali — hanya VM aplikasi di dalam VPC yang boleh menyentuhnya.

#Gateway: IGW dan NAT

• Internet Gateway (IGW) — pintu keluar-masuk antara VPC dan internet. Tanpa IGW, resource publik tidak bisa diakses dari luar dan VM privat tidak bisa keluar.
• NAT Gateway — memungkinkan resource di subnet privat untuk keluar ke internet (download package, update), tetapi internet tidak bisa masuk ke resource tersebut. Satu arah: inisiasi dari dalam.

aws ec2 create-internet-gateway
aws ec2 attach-internet-gateway \
  --internet-gateway-id igw-0abc --vpc-id vpc-0def
aws ec2 create-nat-gateway \
  --subnet-id subnet-0pub --allocation-id eipalloc-0abc

GCP memakai Cloud NAT untuk VM privat, Azure memakai NAT Gateway — konsep identik, nama berbeda.

#Security Group dan Firewall Rules

Ini adalah firewall virtual yang menentukan siapa boleh masuk (ingress) dan keluar (egress). Dua lapisan yang harus dipahami:

• Security Group (AWS) — stateful, dilampirkan ke resource (bukan subnet). Jika inbound diizinkan, outbound response otomatis diizinkan.
• Firewall Rules (GCP) / Network Security Group (Azure) — lampiran ke subnet atau VM, model stateful/stateless sedikit berbeda.

aws ec2 create-security-group --group-name web-sg \
  --description "Allow web traffic" --vpc-id vpc-0def
aws ec2 authorize-security-group-ingress \
  --group-id sg-0abc \
  --protocol tcp --port 80 --cidr 0.0.0.0/0
aws ec2 authorize-security-group-ingress \
  --group-id sg-0abc \
  --protocol tcp --port 443 --cidr 0.0.0.0/0
aws ec2 authorize-security-group-ingress \
  --group-id sg-0abc \
  --protocol tcp --port 22 --cidr 203.0.113.5/32

Perhatikan baris terakhir: SSH hanya diizinkan dari IP spesifik (/32), bukan 0.0.0.0/0. Membuka SSH/port admin ke seluruh internet adalah salah satu temuan teratas security audit — dan kita akan memperkuat praktik ini di episode 15.

#Peering dan Koneksi VPC

• VPC Peering — menghubungkan dua VPC (di dalam atau lintas akun/region) lewat jaringan internal, tanpa melewati internet.
• Transit Gateway / VPC Network Peering / VNet Peering — hub untuk menghubungkan banyak VPC sekaligus.
• Koneksi ke datacenter on-premise (VPN, Direct Connect) kita bahas di episode 18 (advanced networking).

#Load Balancer

Load balancer adalah "satpam lalu lintas" yang membagi request ke banyak instance. Ketiga provider menyediakan:

aws elbv2 create-target-group --name app-tg \
  --protocol HTTP --port 8080 --vpc-id vpc-0def \
  --target-type instance
aws elbv2 register-targets --target-group-arn arn:aws:elasticloadbalancing:... \
  --targets Id=i-0aaa,Id=i-0bbb

Dengan load balancer di depan, kalian bisa: health check otomatis (instance yang gagal dikeluarkan), scaling (ditambah/dikurangi instance di belakangnya — episode 21), dan SSL termination di satu titik. User hanya mengenal satu alamat — detail di belakangnya abstrak.

#Latihan: Desain VPC Multi-Tier

Desain lengkap VPC multi-tier untuk aplikasi web production:

Langkah praktiknya:

1. Buat VPC 10.0.0.0/16 + dua subnet publik dan dua subnet privat (AZ berbeda).
2. Pasang Internet Gateway di subnet publik, NAT Gateway di satu subnet publik.
3. Buat security group: web-sg (80/443 dari internet), app-sg (hanya dari web-sg), db-sg (hanya port database dari app-sg).
4. Deploy satu VM di subnet publik dan satu di privat; buktikan VM privat bisa keluar internet (curl) tapi tidak bisa diakses dari luar.

#Penutup

Inti yang harus dibawa pulang:

• VPC + subnet membagi jaringan; publik vs privat adalah garis pemisah paling penting dalam desain.
• IGW untuk masuk-keluar internet; NAT untuk akses keluar satu arah dari subnet privat.
• Security group/firewall menerapkan least privilege — jangan pernah buka port admin ke seluruh internet.
• Load balancer memberi health check, scaling, dan satu pintu masuk yang rapi.
• VPC multi-tier memisahkan web/app/database — pola yang akan kalian pakai di hampir semua desain production.

Di episode 6 selanjutnya kita akan membahas IAM & identity — user, group, role, policy, service account, dan prinsip least privilege — untuk mengamankan akses seluruh resource cloud yang barusan kalian bangun. Sampai jumpa di episode 6!