Eaí pessoal!

Hoje queria trazer um tópico muito importante e que me causou certa confusão quando iniciei meus estudos. Só fui ter clareza sobre o assunto quando precisei implementar em um projeto real.

Quando vamos projetar redes na AWS, uma das decisões mais importantes é definir como diferentes ambientes irão se comunicar de forma segura, escalável e econômica.

A AWS oferece diversas opções para conectividade privada entre recursos, porém três serviços costumam gerar dúvidas frequentes:

• VPC Peering
• AWS Transit Gateway
• AWS PrivateLink

Logo de cara, eles parecem resolver o mesmo problema, porém cada um foi criado para cenários completamente diferentes.

Neste artigo vamos analisar quando utilizar cada solução, suas vantagens, limitações e exemplos práticos encontrados no dia a dia de arquitetos de cloud.

Apresentando o problema:

Imagine uma empresa com os seguintes ambientes:

• Conta de Produção
• Conta de Homologação
• Conta de Desenvolvimento
• Conta de Segurança
• Conta de Serviços Compartilhados

Cada ambiente possui sua própria VPC e agora surge a necessidade de comunicação entre eles. A pergunta é:

Como conectar essas VPCs da forma correta?

A resposta depende do objetivo da comunicação.

Nem sempre a melhor solução é conectar toda a rede. Em muitos casos basta expor apenas um serviço específico.

É justamente aí que aparecem as diferenças entre Peering, Transit Gateway e PrivateLink.

VPC Peering

O VPC Peering cria uma conexão privada direta entre duas VPCs. Após a criação da conexão, as instâncias podem se comunicar usando IP privado.

Como funciona

VPC A  <------->  VPC B

O tráfego permanece na rede da AWS e não passa pela internet.

Quando usar

O Peering funciona melhor quando existem poucas VPCs que precisam se comunicar. Exemplos:

• Ambiente de Produção acessando uma VPC de Banco de Dados
• Duas aplicações que compartilham serviços internos
• Comunicação simples entre contas diferentes

Vantagens

• Simples de configurar
• Baixa latência
• Sem ponto central de falha
• Não requer appliance ou gateway adicional

Limitações

Não possui roteamento transitivo

Considere:

VPC A <--> VPC B
VPC B <--> VPC C

A VPC A não consegue acessar a VPC C através da VPC B.

É necessário criar outro Peering:

VPC A <--> VPC C

Crescimento exponencial

Com poucas VPCs funciona muito bem, mas imagine 20 VPCs totalmente conectadas.

A quantidade de conexões cresce rapidamente.

N x (N-1) / 2

20 VPCs = 190 Peerings

A administração se torna complexa.

Cenário real

Uma empresa possui:

• VPC Aplicação
• VPC Banco de Dados

Apenas essas duas redes precisam conversar.

Neste caso, o VPC Peering é geralmente a solução mais simples e econômica.

AWS Transit Gateway

O Transit Gateway foi criado para resolver o problema de escala do Peering.

Ele funciona como um hub central de conectividade.

Como funciona

           VPC A
             |
             |
VPC B ---- TGW ---- VPC C
             |
             |
           VPC D

Todas as VPCs se conectam ao Transit Gateway e o roteamento ocorre através dele.

Quando usar

Ideal quando existem muitas VPCs. Exemplos:

• Ambientes multi-account
• AWS Organizations
• Landing Zones
• Ambientes corporativos grandes

Vantagens

Escalabilidade

Adicionar uma nova VPC exige apenas uma nova attachment.

Não é necessário criar dezenas de Peerings.

Roteamento transitivo

Diferentemente do Peering:

VPC A -> TGW -> VPC B
VPC A -> TGW -> VPC C

Todas podem se comunicar conforme as tabelas de rota permitirem.

Integração com redes on-premises

O Transit Gateway pode concentrar conexões provenientes de:

• VPN Site-to-Site
• AWS Direct Connect
• SD-WAN

Governança

Muito útil para equipes de plataforma e Cloud Center of Excellence.

Permite controle centralizado de conectividade.

Limitações

Custo

Possui cobrança por:

• Attachments
• Volume de tráfego processado

Para ambientes pequenos pode sair mais caro que Peering.

Complexidade

Exige entendimento de:

• Route Tables do TGW
• Attachments
• Segmentação de tráfego

Cenário real

Uma empresa possui:

• 50 contas AWS
• Ambiente de Produção
• Homologação
• Desenvolvimento
• Segurança
• Shared Services

Criar Peerings entre todas as VPCs seria inviável. O Transit Gateway se torna a arquitetura natural.

AWS PrivateLink

O PrivateLink resolve um problema diferente.

Ele não foi criado para conectar redes, ele foi criado para expor serviços. Essa é a principal diferença que costuma confundir candidatos de certificação.

Como funciona

Imagine que existe uma API rodando na VPC A.

A VPC B precisa consumir essa API.

Com PrivateLink:

Consumidor
(VPC B)

     |
     |
Endpoint
     |
     |
PrivateLink
     |
     |
NLB
     |
     |
Serviço
(VPC A)

O consumidor acessa apenas o serviço, ele não ganha acesso à rede inteira.

Quando usar

Sempre que você quiser compartilhar um serviço sem compartilhar a VPC.

Exemplos:

• APIs internas
• Serviços SaaS
• Banco de dados corporativo
• Ferramentas compartilhadas

Vantagens

Menor superfície de ataque

O cliente não enxerga:

• Sub-redes
• Rotas
• Recursos internos

Apenas o serviço publicado.

Isolamento

Não existe conectividade completa entre VPCs.

Apenas acesso ao endpoint definido.

Compartilhamento entre contas

Muito utilizado por provedores SaaS.

Limitações

Não substitui conectividade de rede

Se você precisa acessar múltiplos recursos da VPC remota, o PrivateLink provavelmente não é a solução correta.

Requer NLB

O serviço publicado normalmente fica atrás de um Network Load Balancer.

Isso adiciona componentes e custos.

Cenário real

Uma equipe central disponibiliza um serviço corporativo de autenticação.

Dezenas de contas AWS precisam consumir esse serviço. Permitir acesso total à VPC seria um risco.

Com PrivateLink cada consumidor acessa somente a API necessária.

Comparação rápida

O que costuma cair na certificação

Uma forma simples de memorizar:

Poucas VPCs?

Use VPC Peering.

Muitas VPCs?

Use Transit Gateway.

Precisa compartilhar apenas uma aplicação ou API?

Use PrivateLink.

Conclusão

A escolha entre VPC Peering, Transit Gateway e PrivateLink não depende apenas de conectividade, mas principalmente do modelo arquitetural desejado.

O VPC Peering é excelente para cenários simples e diretos.

O Transit Gateway se torna essencial quando a quantidade de VPCs cresce e a gestão de conectividade precisa ser centralizada.

Já o PrivateLink é a melhor opção quando o objetivo é compartilhar serviços específicos sem expor toda a rede.

Em projetos corporativos modernos é comum encontrar os três serviços coexistindo:

• Transit Gateway conectando ambientes corporativos
• VPC Peerings em cenários específicos de baixa complexidade
• PrivateLink expondo APIs e serviços compartilhados entre contas

Entender essa diferença é fundamental tanto para passar na certificação AWS Solutions Architect Associate quanto para construir arquiteturas escaláveis e seguras no mundo real.