Rede Híbrida na Nuvem

Configure conectividade segura e de alto desempenho entre ambientes locais (on-premises) e na nuvem usando VPN, Direct Connect, ExpressRoute, Interconnect e FastConnect.

Propósito

Estabelecer conectividade de rede segura e confiável entre data centers locais e provedores de nuvem (AWS, Azure, GCP, OCI).

Quando Usar

• Conectar o ambiente local à nuvem
• Estender o data center para a nuvem
• Implementar configurações híbridas ativo-ativo
• Atender a requisitos de conformidade
• Migrar para a nuvem gradualmente

Opções de Conexão

Conectividade AWS

1. VPN Site-a-Site

• VPN IPSec pela internet
• Até 1,25 Gbps por túnel
• Custo-benefício para largura de banda moderada
• Latência maior, dependente da internet

resource "aws_vpn_gateway" "main" {
  vpc_id = aws_vpc.main.id
  tags = {
    Name = "main-vpn-gateway"
  }
}

resource "aws_customer_gateway" "main" {
  bgp_asn    = 65000
  ip_address = "203.0.113.1"
  type       = "ipsec.1"
}

resource "aws_vpn_connection" "main" {
  vpn_gateway_id      = aws_vpn_gateway.main.id
  customer_gateway_id = aws_customer_gateway.main.id
  type                = "ipsec.1"
  static_routes_only  = false
}

2. AWS Direct Connect

• Conexão de rede dedicada
• 1 Gbps a 100 Gbps
• Latência menor, largura de banda consistente
• Mais caro, tempo de configuração necessário

Referência: Veja references/direct-connect.md

Conectividade Azure

1. VPN Site-a-Site

resource "azurerm_virtual_network_gateway" "vpn" {
  name                = "vpn-gateway"
  location            = azurerm_resource_group.main.location
  resource_group_name = azurerm_resource_group.main.name

  type     = "Vpn"
  vpn_type = "RouteBased"
  sku      = "VpnGw1"

  ip_configuration {
    name                          = "vnetGatewayConfig"
    public_ip_address_id          = azurerm_public_ip.vpn.id
    private_ip_address_allocation = "Dynamic"
    subnet_id                     = azurerm_subnet.gateway.id
  }
}

2. Azure ExpressRoute

• Conexão privada via provedor de conectividade
• Até 100 Gbps
• Baixa latência, alta confiabilidade
• Premium para conectividade global

Conectividade GCP

1. Cloud VPN

• VPN IPSec (Clássica ou HA VPN)
• HA VPN: SLA de 99,99%
• Até 3 Gbps por túnel

2. Cloud Interconnect

• Dedicada (10 Gbps, 100 Gbps)
• Parceira (50 Mbps a 50 Gbps)
• Latência menor que VPN

Conectividade OCI

1. VPN IPSec Connect

• VPN IPSec com túneis redundantes
• Roteamento dinâmico via DRG
• Boa opção para filiais e fases de migração

2. OCI FastConnect

• Conectividade privada dedicada através da borda da Oracle ou de parceiros
• Adequada para vazão previsível e tráfego híbrido de menor latência
• Comumente combinada com DRG para designs hub-and-spoke

Padrões de Rede Híbrida

Padrão 1: Hub-and-Spoke

On-Premises Datacenter
         ↓
    VPN/Direct Connect
         ↓
    Transit Gateway (AWS) / vWAN (Azure)
         ↓
    ├─ Production VPC/VNet
    ├─ Staging VPC/VNet
    └─ Development VPC/VNet

Padrão 2: Híbrido Multi-Região

On-Premises
    ├─ Direct Connect → us-east-1
    └─ Direct Connect → us-west-2
            ↓
        Cross-Region Peering

Padrão 3: Híbrido Multi-Nuvem

On-Premises Datacenter
    ├─ Direct Connect → AWS
    ├─ ExpressRoute → Azure
    ├─ Interconnect → GCP
    └─ FastConnect → OCI

Configuração de Roteamento

Configuração BGP

On-Premises Router:
- AS Number: 65000
- Advertise: 10.0.0.0/8

Cloud Router:
- AS Number: 64512 (AWS), 65515 (Azure), provider-assigned for GCP/OCI
- Advertise: Cloud VPC/VNet CIDRs

Propagação de Rotas

• Habilite a propagação de rotas nas tabelas de rotas
• Use BGP para roteamento dinâmico
• Implemente filtragem de rotas
• Monitore anúncios de rotas

Melhores Práticas de Segurança

1. Use conectividade privada (Direct Connect/ExpressRoute/Interconnect/FastConnect)
2. Implemente criptografia para túneis VPN
3. Use endpoints de VPC para evitar roteamento pela internet
4. Configure ACLs de rede e grupos de segurança
5. Habilite VPC Flow Logs para monitoramento
6. Implemente proteção contra DDoS
7. Use PrivateLink/Private Endpoints
8. Monitore conexões com CloudWatch/Azure Monitor/Cloud Monitoring/OCI Monitoring
9. Implemente redundância (túneis duplos)
10. Auditorias de segurança regulares

Alta Disponibilidade

Túneis VPN Duplos

resource "aws_vpn_connection" "primary" {
  vpn_gateway_id      = aws_vpn_gateway.main.id
  customer_gateway_id = aws_customer_gateway.primary.id

…