Rešenje završnog zadatka – Modul 25

Ovo je jedno ispravno rešenje (AWS). Prihvataju se i Azure/GCP rešenja i drugačiji adresni planovi, ako ispunjavaju sve zahteve.

1. Provajder i region

AWS, region eu-central-1 (Frankfurt). Mala latencija ka Srbiji (reda veličine 20–30 ms), podaci ostaju u EU (GDPR), a region ima tri zone dostupnosti i sve potrebne usluge.

2. Adresni plan

Postojeće mreže: 10.10.0.0/16 (centrala), 192.168.10.0/24 i 192.168.20.0/24 (skladišta). VPC: 10.40.0.0/16.

Izlaz skripte iz laboratorijske vežbe (sa VPC = "10.40.0.0/16" i mrežama centrale i skladišta u LOKALNE_MREZE) završava se porukom „Plan je ispravan.".

3. Dijagram

graph TB
    KL["Klijenti (internet)"] --> IGW["IGW"]
    subgraph VPC["VPC 10.40.0.0/16 — eu-central-1"]
        subgraph A["Zona a"]
            JA["javni-a: javni ALB, NAT-a"]
            AA["app-a: aplikacija, interni ALB"]
            BA["baza-a: primarna baza"]
        end
        subgraph B["Zona b"]
            JB["javni-b: javni ALB, NAT-b"]
            AB["app-b: aplikacija, interni ALB"]
            BB["baza-b: rezervna baza"]
        end
    end
    IGW --> JA
    IGW --> JB
    JA --> AA --> BA
    JB --> AB --> BB
    BA -.->|"replikacija"| BB
    VGW["Virtual private gateway<br/>2 IPsec tunela, BGP"] --- AA
    VGW --- AB
    VGW --- BA
    CEN["Centrala 10.10.0.0/16"] --- VGW
    S1["Skladište 1 192.168.10.0/24"] --- CEN
    S2["Skladište 2 192.168.20.0/24"] --- CEN

4. Tabele ruta

5. Pravila filtriranja

Security group-e:

NACL za subnete baze:

(10.40.3.0/26 obuhvata oba subneta baze: 10.40.3.0/27 i 10.40.3.32/27.)

Nijedan administrativni port nije otvoren ka 0.0.0.0/0. Baza je zaštićena trostruko: nema rutu ka internetu, NACL i SG.

6. Load balancer-i

• Javni Application Load Balancer u javni-a i javni-b. HTTPS 443 sa sertifikatom (TLS se završava na ALB-u), ciljevi su aplikacioni serveri na portu 8080 u obe zone, health check GET /zdravlje (očekuje 200). Opciono WAF ispred ALB-a.
• Interni Application Load Balancer za API u app-a i app-b (nije dostupan sa interneta), HTTPS 443, ciljevi na portu 8443, health check GET /api/zdravlje.
• Aplikacioni serveri u grupi za automatsko skaliranje, najmanje po jedan u svakoj zoni.

7. Veza sa centralom i skladištima

• AWS Site-to-Site VPN između rutera/firewall-a centrale (customer gateway, javna adresa centrale) i virtual private gateway-a VPC-a, sa dva tunela i BGP-om (npr. ASN centrale 65010, Amazon 64512).
• Centrala oglašava: 10.10.0.0/16, 192.168.10.0/24, 192.168.20.0/24. AWS oglašava: 10.40.0.0/16.
• U AWS-u je uključena propagacija ruta sa VGW-a u rt-app-a, rt-app-b i rt-baza.
• Za skladišta (tranzit preko centrale):

1. Na ruteru centrale ruta ka 10.40.0.0/16 stiže preko BGP-a iz AWS tunela.
2. VPN-ovi skladišta ka centrali (Modul 15) moraju obuhvatiti i 10.40.0.0/16 — dodaje se u listu mreža koje se štite/tuneluju (crypto ACL ili rute kroz tunel), a na ruterima skladišta ruta 10.40.0.0/16 pokazuje ka tunelu ka centrali.
3. Centrala mora oglašavati mreže skladišta ka AWS-u (gore), a firewall centrale mora dozvoliti tranzitni saobraćaj skladište ↔ VPC.

• Kasnije, ako saobraćaj poraste: Direct Connect, uz postojeći VPN kao rezervu.

8. Nadzor i bezbednost

• VPC Flow Logs za ceo VPC (odbijeni tokovi posebno analizirani).
• CloudTrail za sve API pozive; upozorenje na izmene security group-a, NACL-a, tabela ruta i gateway-a.
• CloudWatch alarmi: stanje ciljeva ALB-a (broj neispravnih > 0), stanje VPN tunela (tunel DOWN), greške 5xx na ALB-u, iskorišćenost NAT gateway-a. Obaveštenja idu u postojeći sistem nadzora i eskalacije (Modul 23).
• IAM: root nalog sa MFA koji se ne koristi svakodnevno; posebne uloge za mrežni tim (izmene mreže) i razvojni tim (bez prava na mrežu); MFA za sve korisnike.
• Administracija samo preko VPN-a iz 10.10.50.0/24 (ili upravljanim pristupom bez otvorenih portova).

9. Troškovi

Naplaćuje se: dva NAT gateway-a (po satu i po podacima), dva ALB-a, VPN veza (po satu, oba tunela zajedno) i saobraćaj, EC2 instance, baza, javne IPv4 adrese (na ALB-u i NAT gateway-ima), saobraćaj ka internetu i između zona, flow logs i čuvanje logova.

Ne naplaćuje se: VPC, subneti, tabele ruta, security group-e, NACL.

Mere:

• VPC endpoint-i za skladište objekata, da taj saobraćaj ne prolazi kroz NAT gateway.
• Uklanjanje javnih adresa sa instanci.
• Automatsko skaliranje sa malim minimalnim brojem instanci.
• Rezervisani kapacitet ili planovi uštede za stalno opterećenje.
• Testno okruženje u Terraform-u, koje se briše posle upotrebe.

Budžet: AWS Budgets, mesečni budžet u visini planiranih troškova, sa upozorenjima na 80% i 100% (i prognozom prekoračenja) e-poštom IT menadžeru. Oznake projekat=pracenje-posiljki, okruzenje=prod, vlasnik=it na svim resursima.

10. (Opciono) AWS izrada

Prihvata se izrada dela arhitekture komandama iz Dela 2 laboratorijske vežbe (sa opsegom 10.40.0.0/16) ili Terraform-om, uz izlaz komandi i dokaz o brisanju: provere po oznaci projekat vraćaju prazne liste.

Napomena za ocenjivača

Ključno je da:

• nema preklapanja adresa ni sa jednom mrežom firme;
• baza nema put ka internetu;
• postoje NAT gateway i tabela ruta po zoni;
• interni API nije dostupan sa interneta, već samo iz centrale i skladišta;
• VPN ima dva tunela i dinamičko rutiranje (ili obrazložene statičke rute);
• rešen je tranzit za skladišta preko centrale;
• nijedan administrativni port nije otvoren ka 0.0.0.0/0;
• troškovi su prepoznati i ograničeni budžetom.