Tìm hiểu Amazon EC2 và VPC – Nền tảng điện toán đám mây của AWS

[dangquangminh]

Tìm hiểu Amazon EC2 và VPC – Nền tảng điện toán đám mây của AWS

Dành cho cộng đồng MCSA – Azure – AWS tại VnPro

Trong bài viết này, chúng ta sẽ cùng tìm hiểu hai dịch vụ trọng yếu trong nền tảng điện toán đám mây AWS: Amazon EC2 và Amazon VPC, những khối xây dựng nền tảng cho hầu hết các kiến trúc cloud hiện đại.

---

Amazon EC2 là gì?


Amazon Elastic Compute Cloud (EC2) là dịch vụ cung cấp khả năng tính toán linh hoạt và có thể mở rộng (scalable computing capacity) trong môi trường AWS.

• Mỗi EC2 Instance giống như một máy ảo (VM), chạy một hệ điều hành và phần mềm tùy chỉnh.
• Để tạo instance, bạn sẽ chọn một Amazon Machine Image (AMI) – bản mẫu chứa OS và ứng dụng.
• Bạn có thể dùng AMI sẵn có hoặc tự tạo riêng.
• Trong lúc khởi tạo, bạn sẽ chọn:
  • VPC và Subnet
  • Key Pair để truy cập SSH (Linux) hoặc RDP (Windows)
  • IAM Role nếu muốn instance truy cập tài nguyên AWS khác

---

Amazon VPC là gì?


Virtual Private Cloud (VPC) là mạng riêng ảo trong AWS, cho phép bạn tạo ra hạ tầng mạng giống như trong trung tâm dữ liệu truyền thống nhưng hoàn toàn nằm trên cloud.

VPC cung cấp:

• Tách biệt tài nguyên giữa các nhóm workload
• Subnet công khai và riêng tư
• Bảng định tuyến (Route Tables) để điều khiển luồng dữ liệu
• Internet Gateway để kết nối với Internet
• NAT Gateway để private subnet có thể truy cập ra ngoài Internet mà không bị kết nối ngược vào

---

Cấu trúc mạng trong VPC

1. Region và Availability Zones (AZ)
   • AWS có nhiều vùng địa lý gọi là Region
   • Mỗi Region có nhiều Availability Zones – vùng chịu lỗi độc lập
   • Bạn nên triển khai ứng dụng quan trọng trải dài nhiều AZ để đảm bảo độ sẵn sàng cao (HA)
2. Subnet
   • Mỗi subnet thuộc một AZ duy nhất
   • Có thể chia thành:
     • Public Subnet: có route ra Internet thông qua Internet Gateway
     • Private Subnet: không trực tiếp truy cập Internet, dùng NAT Gateway để ra ngoài nếu cần
3. Bảng định tuyến (Route Tables)
   • Mỗi subnet gắn với 1 route table
   • Trong bảng route:
     • Để có Internet access: cần thêm dòng 0.0.0.0/0 → Internet Gateway

---

Bảo mật trong EC2 và VPC

1. Security Group (Tường lửa mức instance – Stateful)
   • Kiểm soát lưu lượng inbound và outbound
   • Theo IP, dải IP, cổng TCP/UDP
   • Mặc định: từ chối tất cả, chỉ cho phép những gì được khai báo
2. Network ACL (Access Control List) – Tường lửa mức subnet (Stateless)
   • Cho phép và từ chối lưu lượng ở cấp subnet
   • Có thể kết hợp với Security Group để tăng cường bảo mật
3. IAM Role
   • Thay vì lưu thông tin đăng nhập trong EC2, bạn gán IAM Role
   • Cho phép EC2 truy cập tài nguyên AWS như S3, DynamoDB, CloudWatch một cách bảo mật
   • Là best practice về bảo mật trong môi trường AWS

---

Giám sát và quản lý

• Amazon CloudWatch cung cấp giám sát cơ bản cho EC2 miễn phí
• Bạn có thể nâng cấp lên giám sát nâng cao (Enhanced Monitoring) nếu cần độ chi tiết cao hơn

---

Elastic IP (EIP)

• Dành cho các EC2 instance cần IP công cố định
• Một tài khoản AWS mặc định chỉ có 5 EIP mỗi Region
• Bạn có thể gán EIP vào public subnet, sử dụng để public ứng dụng (web, API...)

---

Các giới hạn mặc định của VPC (có thể tăng nếu cần)


Một số ví dụ:

• Tối đa 5 VPC / Region
• Tối đa 200 subnet / VPC
• Tối đa 5 EIP / Region

Xem chi tiết: https://docs.aws.amazon.com/vpc/late...pc-limits.html

---

Câu hỏi ôn tập cho cộng đồng


Hỏi: Muốn EC2 instance truy cập tài nguyên AWS khác, bạn nên làm gì?

Đáp án đúng:
→ Gán cho instance một IAM Role phù hợp
(Không cần lưu thông tin đăng nhập trên máy, vừa tiện lợi vừa bảo mật.)

---

Kết luận


Hiểu rõ EC2 và VPC là nền tảng không thể thiếu khi làm việc với AWS. Nếu bạn đang chuẩn bị thi chứng chỉ AWS Certified Solutions Architect hoặc triển khai hệ thống thực tế, hãy bắt đầu bằng việc tạo VPC, EC2, security group và thực hành kết nối mạng.

---

Chúc các bạn cộng đồng VnPro học tốt và ứng dụng được trong công việc thực tế!
Hẹn gặp lại trong các bài tiếp theo