AWS VPC Diyagramı: Alt Ağları, Rota Tablolarını ve NAT'ı Doğru Çizmek

Çoğu VPC diyagramı projenin başında bir kez çizilir ve konsolun kaynak haritasından kopyalanır. Bu diyagramlar her kaynağı gösterir ama insanların onlara gerçekte sorduğu soruların hiçbirini yanıtlamaz: İnternetten bu veritabanına erişilebilir mi? Uygulama neden paket indirebiliyor da dışarıdan bağlantı alamıyor? Bir Erişilebilirlik Alanı çökerse ne bozulur?

Bu rehber, bu soruları yanıtlayan bir AWS VPC diyagramının nasıl çizileceğini gösteriyor. Yaygın bir yerleşimi, yani genel, özel ve veri alt ağlarıyla iki Erişilebilirlik Alanına yayılan bir VPC'yi ele alıyor ve ulaşılabilirliği belirleyen parçaları tek tek inceliyoruz: alt ağlar, rota tabloları, ağ geçitleri, uç noktalar ve güvenlik grupları.

Bir VPC diyagramının yanıtlaması gereken sorular

• İnternet neye erişebilir? Yalnızca internet ağ geçidine giden bir rotası olan genel alt ağlardaki kaynaklara, o da güvenlik grupları izin veriyorsa.
• Özel kaynaklar dışarıya nasıl çıkar? Çoğunlukla bir NAT ağ geçidi üzerinden, bazen VPC uç noktaları üzerinden, bazen de hiç çıkmaz.
• Trafik katmanlar arasında nasıl akar? Yük dengeleyiciden uygulamaya, uygulamadan veritabanına ve hangi portlar üzerinden.
• Bir AZ arızalanınca ne olur? Her alanda hangi kaynakların bulunduğu ve hangilerinin paylaşıldığı.

Çizim bu sorulardan herhangi birini yanıtlamayı zorlaştırıyorsa, daha az kaynağa ve daha fazla yapıya ihtiyacı vardır.

Yapı taşları

Parça	Nedir	Nasıl çizilir
VPC	10.0.0.0/16 gibi bir CIDR bloğu olan özel ağınız	En dıştaki çerçeve, CIDR etikette
Erişilebilirlik Alanı	Bölge içinde yalıtılmış bir konum	VPC içinde bir sütun ya da çerçeve
Alt ağ	VPC CIDR'ının tam olarak tek bir AZ'de bulunan bir aralığı	Kendi AZ'si içinde bir çerçeve, CIDR etikette
Rota tablosu	Bir alt ağdan çıkan trafiği bir hedefe gönderen kurallar	Her alt ağ katmanı için küçük bir tablo
İnternet ağ geçidi	VPC'nin internete açılan kapısı	VPC sınırında, internete bakan tarafta
NAT ağ geçidi	Özel alt ağların dışarıya bağlantı başlatmasını sağlar	Zonal: bir genel alt ağın içinde, AZ başına bir tane. Bölgesel: tüm AZ'ler için tek ağ geçidi, alt ağ yok
VPC uç noktası	AWS hizmetlerine giden özel bir yol	S3 ve DynamoDB için ağ geçidi uç noktaları; arayüz uç noktaları alt ağların içinde
Güvenlik grubu	Her ağ arayüzünde çalışan, durum bilgisi olan (stateful) bir güvenlik duvarı	Port kuralları kutu olarak değil, kenar etiketi olarak
Ağ ACL'si	Alt ağ düzeyinde durum bilgisi olmayan (stateless) bir filtre	Alt ağ üzerinde bir not, yalnızca kendi kurallarınızı kullanıyorsanız

Tüm yerleşimi iki olgu belirler. Bir alt ağ tam olarak tek bir Erişilebilirlik Alanında bulunur; bu yüzden diyagramınızda bir alt ağ asla birden fazla AZ sütununa yayılamaz. Standart (zonal) bir NAT ağ geçidi de tek bir AZ'de bulunur: Tek NAT ağ geçidiniz AZ a'daysa, AZ a arızalandığında AZ b'deki özel alt ağlar dışarıya erişimlerini kaybeder. AWS, Kasım 2025'ten bu yana bölgesel NAT ağ geçitleri de sunuyor; bunlar AZ'lere kendiliğinden yayılır ve genel alt ağ gerektirmez. Bu örnekte zonal ağ geçitleri kullanılıyor.

Örnek: iki AZ, üç katman

VPC, iki Erişilebilirlik Alanında 10.0.0.0/16 kullanıyor ve her alanda üç alt ağ var:

Katman	AZ a	AZ b	0.0.0.0/0 için rota
Genel	10.0.0.0/24	10.0.1.0/24	İnternet ağ geçidi
Uygulama (özel)	10.0.10.0/24	10.0.11.0/24	Aynı AZ'deki NAT ağ geçidi
Veri (özel)	10.0.20.0/24	10.0.21.0/24	Yok

Her rota tablosunda ayrıca 10.0.0.0/16 için local rotası bulunur. Bu rota VPC içindeki alt ağların birbirine ulaşmasını sağlar; gerçekte neye izin verileceğine ise güvenlik grupları karar verir. AWS her alt ağda beş adresi ayırır, dolayısıyla bir /24 size 251 kullanılabilir adres verir.

Nerede ne çalışıyor:

• Bir Application Load Balancer'ın her iki genel alt ağda da düğümleri vardır ve internetten gelen HTTPS trafiğini kabul eder.
• Uygulama sunucuları (EC2 bulut sunucuları ya da ECS görevleri) her iki uygulama alt ağında çalışır ve yalnızca ALB'nin güvenlik grubundan gelen trafiği kabul eder.
• Birincil RDS PostgreSQL veritabanı bir veri alt ağında, yedeği (standby) ise diğerinde çalışır. RDS, en az iki AZ'de alt ağı bulunan bir DB alt ağ grubu gerektirir.
• Her genel alt ağdaki bir NAT ağ geçidi, uygulama sunucularına güncellemeler ve üçüncü taraf API'ler için dışarıya erişim sağlar.
• S3 için bir ağ geçidi uç noktası, uygulama sunucularının NAT ağ geçidinden geçmeden S3'e ulaşmasını sağlar; bu da NAT veri işleme ücretlerinden tasarruf sağlar.

İşte diyagram:

Okunabilir kalması için yerleşim kuralları

AZ'ler için sütunlar, katmanlar için satırlar

Erişilebilirlik Alanlarını yan yana, katmanları yukarıdan aşağıya yerleştirin: en üstte genel, ardından uygulama, en altta veri. Böylece ulaşılabilirlik yukarıdan aşağıya okunur ve bir sütunda eksik olan kaynak hemen göze çarpar.

İnternet ağ geçidini sınıra koyun

İnternet ağ geçidi bir alt ağa değil, VPC'nin tamamına bağlanır. Onu VPC çerçevesinin üzerine, internet ile genel alt ağların arasına çizin.

Rotaları her yere uzanan oklarla değil, tabloyla gösterin

Her alt ağdan her ağ geçidine ok çizmek diyagramı bir örümcek ağına çevirir. Yukarıdaki gibi katman başına küçük bir rota tablosu aynı şeyi kesin biçimde anlatır. Okları yalnızca ana trafik yolları için çizin.

Güvenlik grubu kurallarını kenarlara yazın

Güvenlik grupları alt ağlara değil, ağ arayüzlerine aittir; bu yüzden çerçeve onlar için yanlış biçimdir. Bunun yerine kenarları etiketleyin: HTTPS 443 from internet, 8080 from ALB SG, 5432 from app SG. İnsanların aradığı bilgi tam olarak budur.

Peering ve VPN'i sınırda tutun

Transit ağ geçitleri, eşleme (peering) bağlantıları ve Site-to-Site VPN'ler VPC'yi başka ağlara bağlar. Bunları uzak CIDR'lar etikette olacak şekilde VPC sınırına çizin, uzak tarafı ise ayrı bir diyagramda tutun.

Sık yapılan hatalar

• İki AZ'ye yayılan bir alt ağ. Böyle bir alt ağ olamaz. Birbirinin ikizi olsalar bile her AZ için ayrı bir alt ağ çizin.
• İki AZ için tek bir zonal NAT ağ geçidi, üstelik bunu belirtmeden. Bilinçli bir maliyet kararı olabilir; kimse AZ'lerin birbirinden bağımsız olduğunu varsaymasın diye bunu diyagrama yazın.
• İç içe kutular olarak çizilmiş güvenlik grupları. Güvenlik grupları serbestçe örtüşür ve arayüz başına uygulanır; iç içe çizim, var olmayan kurallar varmış izlenimi verir.
• Konsolun kaynak haritasını kopyalamak, her ağ arayüzü ve her rota tablosu ilişkilendirmesiyle birlikte. Denetim için faydalı, tasarım için okunmaz.
• CIDR'ların olmaması. İleride peering'i engelleyen şey çakışan adres aralıklarıdır. Her VPC ve alt ağ çerçevesine CIDR'ını yazın.

Archboard'da oluşturun

1. Google ya da GitHub ile giriş yapın ve bir diyagram oluşturun.
2. Ağ paketinden bir VPC çerçevesi ekleyin ve CIDR'ını 10.0.0.0/16 olarak ayarlayın.
3. VPC'nin içine iki AZ için Temel paketinden Çerçeve öğeleri, her AZ'nin içine de CIDR'larıyla birlikte Ağ paketinden Alt ağ çerçeveleri ekleyin.
4. VPC'nin dışına Ağ paketinden bir İnternet düğümü, internet ağ geçidi için de VPC sınırına bir Yönlendirici ekleyin.
5. Bulut paketinden ALB için bir Bulut yük dengeleyici, uygulama sunucuları için Hesaplama düğümleri, RDS'nin birincil ve yedek veritabanları için Yönetilen veritabanı düğümleri ekleyin. NAT ağ geçitleri için Ağ paketinden Yönlendirici düğümleri kullanın.
6. Portları bağlayın; kenarları port numaraları ve kaynak güvenlik gruplarıyla etiketleyin.
7. Rota tablolarını göstermek için Temel paketinden bir Tablo, AZ başına NAT gibi kararlar için de bir Not ekleyin.

Örnek diyagramın tamamı Free planın 15 diyagram düğümünü aşıyor; bu ayrıntıda bir VPC diyagramı için Pro uygun bir seçim. Çok bölgeli tasarımlar için AWS çok bölgeli mimari diyagramı yazısına, daha fazla ağ kalıbı için ağ kullanım senaryosu sayfasına göz atın.

SSS

Her alt ağ diyagramda yer almalı mı? VPC tasarım diyagramında evet, çünkü ulaşılabilirlik alt ağa ve rota tablosuna bağlıdır. Bir uygulama diyagramında ise genellikle katman başına bir çerçeve yeterlidir.

Her AZ'de bir NAT ağ geçidine ihtiyacım var mı? Zonal NAT ağ geçitleriyle evet, AZ'lerin birbirinden bağımsız kalması için. Tek bir zonal NAT ağ geçidi maliyetten tasarruf sağlar, ama dışarıya giden trafik için her AZ'yi tek bir alana bağımlı kılar ve AZ'ler arası veri aktarım ücretleri ekler. Bölgesel NAT ağ geçidi ise iş yükü olan her AZ'ye genişleyen tek bir ağ geçididir. Hangisini seçerseniz seçin, diyagrama yazın.

VPC uç noktaları nereye çizilir? Ağ geçidi uç noktaları (S3 ve DynamoDB) rota tablolarında birer hedeftir; bu yüzden onları VPC sınırına çizin ve rota tablosunda belirtin. Arayüz uç noktaları alt ağlarınızdaki ağ arayüzleridir; bu yüzden onları barındıran alt ağların içine çizin.

Diyagramda güvenlik grupları mı, ağ ACL'leri mi? Güvenlik grupları her zaman kenar etiketi olarak. Ağ ACL'leri yalnızca alt ağ üzerinde bir not olarak ve yalnızca varsayılanları değiştirdiyseniz.

Bu diyagramı AWS hesabımdan oluşturabilir miyim? Archboard AWS hesabınızı okumaz. Hedeflediğiniz tasarımı çizin, ardından incelemelerde onu konsolun kaynak haritasıyla karşılaştırın.

Ücretsiz başlayın — tek kullanıcı, kredi kartı gerekmez.