1 subnet có thể associate với mấy route table?

1 route table tại một thời điểm. Nếu subnet không được explicitly associate với route table nào, nó dùng main route table của VPC (mặc định). Nhưng 1 route table có thể associate với nhiều subnets. Thay đổi route table association của subnet có hiệu lực ngay lập tức — không ảnh hưởng đến traffic đang active.

VPC Peering có transitive routing không?

Không. VPC Peering không hỗ trợ transitive routing: nếu A peer với B, B peer với C, thì A không thể reach C qua B. Phải tạo peering trực tiếp A-C. Đây là giới hạn thiết kế. Nếu cần hub-and-spoke hoặc transitive routing giữa nhiều VPCs, dùng Transit Gateway — hỗ trợ transitive routing qua attachment.

Khi nào dùng Transit Gateway thay vì VPC Peering?

Transit Gateway khi: (1) Có nhiều VPCs cần kết nối (>5) — peering = N×(N-1)/2 connections, TGW = N connections, (2) Cần transitive routing, (3) Kết nối cross-account và cross-Region (TGW peering giữa regions), (4) Cần connect VPN và Direct Connect với nhiều VPCs qua 1 hub, (5) Cần centralized routing policy. VPC Peering đơn giản và rẻ hơn cho 2-5 VPCs.

AWS IPAM giải quyết vấn đề gì?

AWS IP Address Manager (IPAM) giải quyết vấn đề quản lý IP address space trong môi trường multi-account: tránh overlapping CIDRs khi tạo VPCs, centralized visibility về IP allocation across accounts/Regions, tự động allocate CIDR blocks từ pool được định sẵn, và audit history của IP assignments. Không cần spreadsheet thủ công để track VPC CIDRs.

VPC Sharing qua RAM cho phép làm gì?

VPC Sharing (qua AWS Resource Access Manager) cho phép chia sẻ subnets từ một VPC (owner account) với các accounts khác trong cùng AWS Organization. Participant accounts có thể deploy resources (EC2, RDS...) vào shared subnets mà không cần tạo VPC riêng. Giảm số VPCs cần quản lý, tránh overlapping CIDRs, tập trung networking vào một account.

Tuần 4 - Ngày 2: Subnets và Routing

Mục tiêu học tập

Hiểu cách thiết kế subnet layout hợp lý
Nắm Route Table advanced (multiple targets, propagation)
Phân biệt VPC Peering, Transit Gateway
Hiểu CIDR planning best practices

1. Subnet Design Best Practices

Nguyên tắc

Tách subnet theo function: public web, private app, private DB
Mỗi tier có subnet riêng trong mỗi AZ (HA)
Min 2 AZs cho production
Size subnet hợp lý: không quá lớn (lãng phí), không quá nhỏ (sớm hết)
Reserve space cho mở rộng

Sizing recommendation

Use case	Suggested size
ELB/ALB subnet	/27 hoặc /28 (cần ít IP)
Web tier	/24 (256 IPs)
App tier	/23 (512 IPs)
DB tier	/27 (32 IPs đủ)
EKS pod subnet	/20 hoặc lớn hơn

1 route table có thể được associate với nhiều subnets
Nhưng 1 subnet chỉ associate với 1 route table tại 1 thời điểm

Pattern: Public RT + Private RT

Route Propagation (cho VPN/Direct Connect)

VGW (Virtual Private Gateway) có thể propagate routes từ on-prem qua BGP
Tự động add routes vào route table → instance access on-prem subnets

Region same: VPC Peering thông thường
Cross-region: cũng support (Inter-Region VPC Peering)
Cross-account: 2 accounts khác nhau cũng được
CIDR không được overlap
NOT TRANSITIVE: A peer B, B peer C → A KHÔNG access C tự động
Update route table mỗi VPC để route traffic qua peering

Limitations

Không transitive routing
Không hỗ trợ overlapping CIDR
Mesh complexity (n^2 connections cho n VPCs)
DNS resolution cross-VPC: cần enable trong peering setting

Use case

2-3 VPCs cần connect (đơn giản)
Cross-account (vendor sharing)

Khi nào dùng Transit Gateway thay?

>3 VPCs cần interconnect
Cần transitive routing
Hub-and-spoke pattern
Quản lý dễ hơn cho enterprise

Hub-and-spoke: tất cả VPC connect TGW, không cần peering giữa các VPC
Transitive: A-TGW-B-TGW-C, A có thể reach C
Cross-region support (TGW Peering)
Hỗ trợ 5,000 VPCs/TGW
Bandwidth scale automatically

Architecture

Cost

$/hour per TGW attachment (~$0.05/hour per VPC/VPN)
$/GB data processed

SAA-C03 chủ yếu hỏi "khi nào dùng TGW vs Peering". Chi tiết TGW thuộc SAP-C02.

Gateway Endpoint: S3, DynamoDB (free)
Interface Endpoint: Hầu hết services khác (ENI trong subnet, $/hour + $/GB)

Lợi ích

Security: traffic không ra internet
Cost: giảm NAT Gateway data processing fee
Performance: thấp latency hơn

6. CIDR Planning Best Practices

Avoid overlap

Plan trước: VPCs, VPNs, on-prem CIDRs
Avoid RFC 1918 ranges đã dùng on-prem
Document trong IPAM tool

AWS IPAM (IP Address Manager)

Service quản lý centralized IP space cho organization
Auto-allocate CIDR cho VPC mới (no conflict)
Track usage, alert near-full
Cross-account, cross-region

Reserved ranges

AWS dùng 169.254.x.x (link-local) cho metadata
Avoid: 169.254.0.0/16 trong CIDR custom

Future-proof

Pick /16 cho VPC (đủ cho hầu hết workload)
Reserve /8 cho organization (multi-VPC, multi-region)

Định nghĩa

AWS RAM (Resource Access Manager) = share resources cross-account.

Tạo subnet trong owner account
Share với participant accounts qua RAM
Participant launch EC2/RDS/Lambda trong shared subnet
Single VPC dùng bởi nhiều accounts

Lợi ích

Centralized networking management (1 team)
Application team focus business logic
Đơn giản hóa cross-account access

Requester initiates peering request
Accepter accepts request
Update route table trong cả 2 VPCs
Update Security Group cho phép traffic từ peer VPC CIDR
(Optional) Enable DNS resolution across peering

Example

Security Group reference cross-VPC peering

Trong same Region: SG có thể reference SG ID của peer VPC
Trong cross-region: chỉ reference qua CIDR (không SG ID)

2 static IPs (anycast) cho app global
Route qua AWS backbone (faster than public internet)
Health check across regions
Failover regions automatic

Use case

Multi-region active-active app
Cần static IP cho whitelisting
Reduce latency cho global users
Gaming, IoT

So với CloudFront

	CloudFront	Global Accelerator
Use case	Static + dynamic content caching	Non-HTTP (TCP/UDP), low-latency routing
IP	DNS name (changing)	Static anycast IPs
Caching	Yes	No
Protocol	HTTP/HTTPS	TCP, UDP, HTTP

10. Common Network Patterns

Pattern 1: Single VPC Multi-AZ

Đơn giản, 1 region
2-3 AZs
1 NAT GW per AZ

Pattern 2: Multi-VPC với Peering

2-3 VPCs (dev, staging, prod)
Peering giữa các VPC nhất định
Routing đơn giản

Pattern 3: Multi-VPC với Transit Gateway

10+ VPCs
Centralized hub TGW
Optional: centralized egress (NAT GW chung)

1 VPC owner, nhiều account participant
Centralized networking team

Pattern 5: Multi-Region với TGW Peering

TGW ở mỗi region
TGW Peering connect regions
DR + global app

11. Network Connectivity Comparison

Option	Use case	Cost	Bandwidth
VPC Peering	2-3 VPCs	Free (cùng region)	No limit
Transit Gateway	Multi-VPC hub	$$$	50 Gbps/attachment
VPN	On-prem hybrid (encrypted)	$	~1.25 Gbps/tunnel
Direct Connect	On-prem (dedicated)	$$$	1, 10, 100 Gbps
VPC Endpoint	VPC → AWS service	$-$$	High
PrivateLink	VPC → 3rd party service	$-$$	High

Câu hỏi ôn tập

1 subnet có thể associate với mấy route table?

Xem đáp án

1 route table tại một thời điểm. Nếu subnet không được explicitly associate với route table nào, nó dùng main route table của VPC (mặc định). Nhưng 1 route table có thể associate với nhiều subnets. Thay đổi route table association của subnet có hiệu lực ngay lập tức — không ảnh hưởng đến traffic đang active.
VPC Peering có transitive routing không?

Xem đáp án

Không. VPC Peering không hỗ trợ transitive routing: nếu A peer với B, B peer với C, thì A không thể reach C qua B. Phải tạo peering trực tiếp A-C. Đây là giới hạn thiết kế. Nếu cần hub-and-spoke hoặc transitive routing giữa nhiều VPCs, dùng Transit Gateway — hỗ trợ transitive routing qua attachment.
Khi nào dùng Transit Gateway thay vì VPC Peering?

Xem đáp án

Transit Gateway khi: (1) Có nhiều VPCs cần kết nối (>5) — peering = N×(N-1)/2 connections, TGW = N connections, (2) Cần transitive routing, (3) Kết nối cross-account và cross-Region (TGW peering giữa regions), (4) Cần connect VPN và Direct Connect với nhiều VPCs qua 1 hub, (5) Cần centralized routing policy. VPC Peering đơn giản và rẻ hơn cho 2-5 VPCs.
AWS IPAM giải quyết vấn đề gì?

Xem đáp án

AWS IP Address Manager (IPAM) giải quyết vấn đề quản lý IP address space trong môi trường multi-account: tránh overlapping CIDRs khi tạo VPCs, centralized visibility về IP allocation across accounts/Regions, tự động allocate CIDR blocks từ pool được định sẵn, và audit history của IP assignments. Không cần spreadsheet thủ công để track VPC CIDRs.
VPC Sharing qua RAM cho phép làm gì?

Xem đáp án

VPC Sharing (qua AWS Resource Access Manager) cho phép chia sẻ subnets từ một VPC (owner account) với các accounts khác trong cùng AWS Organization. Participant accounts có thể deploy resources (EC2, RDS...) vào shared subnets mà không cần tạo VPC riêng. Giảm số VPCs cần quản lý, tránh overlapping CIDRs, tập trung networking vào một account.

Bài tập thực hành

Tạo 2 VPCs (10.0/16 và 10.1/16), peer chúng, test connectivity
Setup VPC Sharing: share 1 subnet từ Account A sang Account B (cần 2 accounts)
Tạo private subnet với 0/0 → NAT GW, test EC2 internet outbound
Setup AWS IPAM (free tier), allocate CIDR cho VPC mới
Compare cost: VPC Peering vs Transit Gateway cho 5 VPCs

Tài liệu tham khảo chính thức

Tiếp theo: Security Groups và NACLs