Belajar Network Engineer - Cloud Networking
Membawa skill jaringan ke awan: anatomi VPC dari subnet sampai route table, perbedaan security group versus NACL, NAT gateway untuk subnet privat, jenis load balancer Layer 4 dan 7, konektivitas hybrid lewat Site-to-Site VPN dan Direct Connect, serta desain hub-spoke multicloud
#Pendahuluan
Setelah di episode 14 kalian memahami SDN sebagai paradigma, inilah buktinya paling masif di dunia nyata: cloud. VPC adalah SDN komersial skala raksasa — dan network engineer yang tidak bisa berpindah antara switch fisik dan console cloud akan kehilangan setengah medan kerjanya.
Kabar baiknya: semua konsep kalian — subnetting, routing, NAT, firewall stateful, LB — berlaku persis; yang berubah hanya bahasanya. Episode ini memetakan terjemahan itu lalu mendesain arsitektur hybrid.
#Anatomi VPC
VPC (Virtual Private Cloud; Azure menyebut VNet) adalah jaringan privat virtual dalam region cloud. Komponen penyusunnya:
- CIDR block: ruang alamat utama, misal
10.50.0.0/16— pilih sekali dengan hati-hati (episode 3!). - Subnet: pemotongan CIDR, selalu terikat availability zone. Subnet publik vs privat dibedakan satu hal saja: apakah route-nya menuju internet gateway.
- Route table: aturan forwarding per subnet — logikanya identik tabel routing episode 5.
- Internet Gateway (IGW): pintu dua arah ke internet.
- NAT Gateway: PAT keluar untuk instance privat (ingat episode 8).
Terjemahan istilah AWS ↔ Azure ↔ on-premise yang sering ditanya:
| Konsep | AWS | Azure | On-Premise Padanan |
|---|---|---|---|
| Jaringan virtual | VPC | VNet | — |
| Firewall instance-level | Security Group | NSG (bisa subnet juga) | host firewall |
| Filter subnet | NACL | NSG subnet | ACL |
| Inter-VPC router | Transit Gateway | Virtual WAN hub | core router |
#Security Group vs NACL
Dua lapis filter yang sering dikacaukan — padahal analogi klasiknya sudah kalian kuasai:
| Aspek | Security Group | NACL |
|---|---|---|
| Level | Instance/ENI | Subnet |
| State | Stateful (return traffic otomatis lolos) | Stateless (rule balik ditulis manual) |
| Rule | Allow saja | Allow + deny eksplisit |
| Evaluasi | Semua rule digabung | Urutan nomor, first match |
Pola praktis yang sehat: NACL sebagai garis kasar anti-lintasan tak sengaja antar-subnet; security group sebagai presisi per-peran (web-sg menerima 443 dari dunia, mengizinkan keluar ke app-sg; db-sg hanya menerima 5432 dari app-sg). Perhatikan pola terakhir itu: security group bisa saling mereferensi — firewall berbasis identitas grup, bukan daftar IP yang cepat usang.
#Desain Referensi: Two-Tier VPC
Arsitektur web standar yang wajib kalian bisa gambar dari ingatan:
Keputusan desainnya:
- Load balancer publik satu-satunya yang expose port ke internet.
- Tier aplikasi & DB di subnet privat tanpa IGW route — kompromi tidak bisa dinegosiasikan.
- Multi-AZ minimal dua: tiap tier tersebar dua zona; AZ mati = degradasi, bukan mati total.
- Egress privat lewat NAT Gateway di tiap AZ agar update package tetap jalan.
Implementasi via CLI untuk merasakannya (praktik lab):
aws ec2 create-vpc --cidr-block 10.50.0.0/16
aws ec2 create-subnet --vpc-id vpc-xxx --cidr-block 10.50.1.0/24 --availability-zone ap-southeast-1a
aws ec2 create-internet-gateway && aws ec2 attach-internet-gateway ...Di pekerjaan nyata langkah-langkah ini ditulis sebagai Terraform/IaC, bukan klik console — konsisten dengan mindset NetDevOps kita.
#Load Balancing di Cloud
Konsep L4/L7 dari dunia fisik langsung transfer, kini sebagai layanan:
- Layer 4 (Network LB): distribusi TCP/UDP ultra-cepat, IP statis, health-check level koneksi — cocok game/streaming/gRPC.
- Layer 7 (Application LB): routing berbasis HTTP path/host/header, TLS termination, WAF integrasi — default aplikasi web modern.
- Gateway LB: pola untuk menyalurkan trafik ke appliance keamanan pihak ketiga.
Perilaku yang wajib dipahami engineer jaringan: health check menentukan hidup-mati backend, idle timeout memutus koneksi panjang (WebSocket butuh tuning!), dan cross-zone balancing mempengaruhi distribusi beban lintas AZ.
#Konektivitas Hybrid
Jembatan data center ↔ cloud, dua opsi dengan karakter berbeda:
#Site-to-Site VPN
Tunnel IPsec over internet (konsep episode 19!) — cepat disiapkan (jam), murah, tapi bandwidth tergantung jalur internet dan latensinya fluktuatif. Cocok: mulai hybrid, DR, workload ringan.
#Direct Connect / ExpressRoute / Interconnect
Sirkuit privat dedicated ke cloud — bandwidth terjamin (1/10 Gbps+), latency konsisten, SLA formal; provisioning berminggu-minggu dan mahal. Cocok: migrasi besar, database replikasi, bebas jitter.
Desain matang umumnya kombinasi: DX sebagai primer, VPN sebagai backup otomatis — pola redundansi yang persis seperti floating static episode 5.
#Hub-Spoke: Jawaban atas Skala
Sepuluh VPC saling peering berpasangan = 45 koneksi dan CIDR harus unik semua. Arsitektur jawabannya hub-and-spoke: Transit Gateway/Virtual Hub sebagai pusat, spoke VPC hanya menempel ke hub, inspeksi trafik terpusat di sana (dengan firewall appliance jika perlu). Ini collapsed core versi cloud — hierarki episode 2 tidak mati, ia bereinkarnasi.
Warning
Kesalahan hybrid nomor satu: rentang CIDR yang overlap antar-VPC atau antara on-premise dan cloud. Peering tertolak, rute ambigu, migrasi macet berbulan-bulan. Tetapkan rencana alamat global SEBELUM VPC pertama dibuat — pelajaran episode 3 yang paling mahal harganya di cloud.
#Multicloud: Realitas dan Harga
Perusahaan besar kini menjalankan dua provider sekaligus. Tantangan network-nya spesifik:
- Fragmentasi tooling: tiap provider punya istilah dan konsol sendiri — IaC (Terraform) menjadi bahasa penghubung.
- Egress cost: trafik antar-cloud dikenakan biaya keluar di kedua sisi; arsitektur yang salah bikin tagihan meledak tanpa performa naik.
- Identitas & kebijakan terpisah: zero-trust overlay (topik episode 19) sering menjadi benang merah akses lintas cloud.
Strategi pragmatisnya: standardisasi pola desain (landing zone, hub-spoke, naming), bukan standardisasi vendor.
#Common Pitfalls
- Default "semua boleh" security group — 0.0.0.0/0 pada SSH/RDP masih jadi penyebab insiden cloud paling umum; batasi sumber, pakai SSM/Bastion.
- Satu AZ untuk hemat — outages AZ riil terjadi tiap tahun; multi-AZ adalah harga tiket minimum produksi.
- Lupa egress path subnet privat — instance tak bisa update patch; NAT Gateway per-AZ bagian dari baseline.
- Peering penuh antar semua VPC — spaghetti rute tanpa kontrol; transit/hub sejak VPC keempat-pulimat.
#Penutup
Inti yang harus dibawa pulang:
- VPC = jaringan virtual dengan subnet per-AZ, route table, IGW/NAT GW — semua konsep klasik kalian, bahasa baru.
- Security group stateful per-instance, NACL stateless per-subnet — gunakan berlapis sesuai perannya.
- Two-tier design (LB → web publik → app/db privat, multi-AZ) adalah pola dasar yang harus otomatis dari ingatan.
- Hybrid: VPN untuk cepat/murah, DX untuk terjamin; hub-spoke untuk skala — dan rencana CIDR global sejak hari nol.
Di episode 16 kita turun lagi ke mesin: network virtualization — VXLAN dan VTEP, NFV yang mengubah router/firewall menjadi software, plus lab VXLAN point-to-point yang bisa kalian bangun di dua VM Linux malam ini. Sampai jumpa!