Private peering, private VIF e PrivateLink

Perché il peering privato

Sulle interconnessioni verso il cloud (AWS Direct Connect, Azure ExpressRoute) il traffico non viaggia mai come un flusso indistinto: viene classificato in tipi di peering (o VIF, Virtual Interface) che determinano cosa riesci a raggiungere. Il private peering è la modalità pensata per raggiungere le tue reti IP private nel cloud — subnet dei VPC/VNet, non gli indirizzi pubblici dei servizi gestiti. Comprendere questa distinzione è il cuore di questa unità e la trappola d’esame più frequente.

Private VIF su AWS Direct Connect

Su Direct Connect crei diverse Virtual Interface sullo stesso circuito fisico:

La Private VIF trasporta i tuoi prefissi privati e, tramite BGP, riceve i CIDR del VPC. La sessione BGP si stabilisce fra il tuo router (tipicamente IOS-XE, ASR/CSR) e il VGW o il Direct Connect Gateway. Concetti chiave da ricordare:

• BGP MD5 authentication obbligatoria sulla sessione.
• MTU: Direct Connect supporta jumbo frame fino a 9001 byte sulle private/transit VIF (1500 di default).
• Il Direct Connect Gateway è globale: consente di associare VPC in region diverse, ma non fa transito VPC-to-VPC da solo (serve Transit Gateway).

router bgp 65001
 neighbor 169.254.x.x remote-as 64512
 neighbor 169.254.x.x password <MD5>
 address-family ipv4
  network 10.0.0.0 mask 255.255.0.0

Private peering ExpressRoute

Su Azure il modello concettuale è analogo ma con terminologia propria. Un circuito ExpressRoute espone due peering:

• Azure private peering → raggiunge le VNet (IaaS e servizi iniettati in VNet), spazio IP privato.
• Microsoft peering → raggiunge gli endpoint pubblici dei servizi PaaS e SaaS (annuncia prefissi pubblici, richiede route filter).

Il private peering usa BGP con due sessioni ridondate (primary/secondary path). Ricorda: ExpressRoute non attraversa l’Internet pubblica, ma il Microsoft peering trasporta comunque traffico verso IP pubblici dei servizi. Quindi “privato a livello di trasporto” non significa “endpoint privato”.

Il salto concettuale: VPC/VNet vs endpoint di servizio

Qui sta la distinzione che l’esame verifica in continuazione:

• Raggiungere una VNet/VPC = private peering / private VIF. Arrivi alle tue subnet e alle VM che ci vivono.
• Raggiungere un servizio gestito (database, storage, coda) privatamente = serve un costrutto dedicato:
  • AWS PrivateLink con VPC Interface Endpoint (powered by ENI), che espone il servizio come IP privato dentro la tua subnet.
  • Azure Private Endpoint (Private Link), che proietta il PaaS su un IP privato della VNet.

PrivateLink non è un peering: crea un’interfaccia elastica nella tua subnet che mappa il servizio (AWS, un servizio partner, o un tuo NLB esposto come endpoint service). Il traffico resta su IP privati, evita l’IGW/NAT e non richiede Public VIF né Microsoft peering. La risoluzione DNS è parte integrante: il record del servizio deve risolvere all’IP privato dell’endpoint (private hosted zone / Private DNS zone), altrimenti il client raggiunge ancora l’endpoint pubblico.

Come si combinano su un circuito reale

Uno scenario tipico ENCC: circuito Direct Connect con Private VIF verso il VPC + PrivateLink Interface Endpoint dentro quel VPC per raggiungere S3 o un servizio SaaS. L’on-prem, via private peering, arriva alla subnet; da lì l’IP privato dell’endpoint fornisce l’accesso al servizio. Senza l’endpoint, il servizio resterebbe raggiungibile solo via Public VIF (IP pubblici) o Internet.

Trappole tipiche d’esame

• Scenario: “Serve accesso privato a un servizio PaaS/S3 dall’on-prem via private peering.” → Risposta: il private peering/Private VIF da solo non basta; serve un PrivateLink Interface Endpoint (o Private Endpoint) nella subnet. Il peering privato porta alle VNet/VPC, non ai servizi gestiti.
• Scenario: “Voglio raggiungere S3 su Direct Connect senza uscire su Internet.” → Risposta: o Public VIF (IP pubblici, non privati) oppure, per IP privati, un Interface Endpoint PrivateLink raggiunto tramite Private VIF. Non confondere le due opzioni.
• Scenario: “ExpressRoute Microsoft peering = accesso privato al PaaS.” → Risposta: falso. Microsoft peering annuncia prefissi pubblici; per IP privato serve Private Endpoint su private peering.
• Scenario: “L’endpoint PrivateLink è creato ma i client raggiungono ancora l’IP pubblico.” → Risposta: problema di DNS; configurare la private hosted zone / Private DNS zone perché il nome risolva all’IP privato dell’endpoint.
• Scenario: “Un solo Private VIF deve servire molte VPC in region diverse.” → Risposta: un Private VIF termina su un VPC; per scalare usa Direct Connect Gateway + Transit VIF/Transit Gateway.