Lorsque ces échanges nécessitent d’exposer publiquement les ports des différents services, la surface d’attaque s’élargit et la configuration réseau devient plus lourde à maintenir. Créer un réseau privé entre applications répond directement à ce problème, sans imposer de déployer ni d’administrer une infrastructure VPN.
Cette approche permet à des services cloud de communiquer directement entre eux, sur n’importe quel port, sans exposer sur Internet les ports nécessaires à ces échanges. Les données circulent dans un réseau overlay chiffré, indépendant du réseau physique. Sur Clever Cloud, ce sont les Network Groups qui l’assurent : ils établissent des tunnels WireGuard entre les ressources, sans configuration réseau bas niveau.
Pourquoi exposer ses services sur Internet pose problème
Quand les composants d’une application communiquent via des ports publics, chaque service exposé devient une porte d’entrée potentielle. Trois conséquences concrètes :
- Surface d’attaque élargie : chaque point d’accès public doit être protégé, surveillé et maintenu.
- Exposition inutile de ports techniques : certains protocoles nécessitent des ports dédiés pour les échanges internes, sans qu’ils aient vocation à être accessibles publiquement. Un réseau privé permet de les utiliser sans créer de nouveaux points d’entrée depuis Internet.
- Dépendance à des tunnels externes : relier des services répartis sur plusieurs zones impose habituellement de configurer et d’administrer une couche réseau supplémentaire, souvent un VPN.
Connecter les services au sein d’un réseau privé permet de faire transiter leurs échanges internes sans exposer les ports utilisés par ces communications. Cela ne désactive toutefois pas les accès publics déjà configurés. Pour que seule une API Gateway donne accès aux backends depuis Internet, il faut également bloquer leur point d’entrée public.
Le principe d’un réseau privé entre applications
Le principe repose sur un réseau overlay : une couche réseau logique construite au-dessus du réseau physique existant. Les ressources disposent d’une connectivité privée entre elles et leurs échanges sont chiffrés par défaut. Comme l’overlay est indépendant du réseau physique sous-jacent, il peut relier des ressources réparties sur plusieurs zones ou datacenters.
Prenons une application composée d’une API publique, de plusieurs services backend et d’une base de données : seule l’API est exposée sur Internet. Les services internes et la base de données communiquent entre eux via le réseau privé, sur les ports dont ils ont besoin.
Créer un réseau privé entre applications sur Clever Cloud
Cette mise en place passe par les Network Groups. Chaque ressource rattachée à un Network Group reçoit une adresse IP privée issue d’un CIDR dédié, ainsi qu’un nom de domaine interne de la forme « <memberID>.m.<ngID>.cc-ng.cloud ». Les ressources se joignent alors directement, sur n’importe quel port, sans étape de configuration réseau.
Un Network Group peut relier des applications Clever Cloud, des add-ons et des machines externes au sein du même réseau privé. Les échanges sont chiffrés via WireGuard, un protocole reconnu pour sa simplicité et sa rapidité.
Les Network Groups peuvent être créés et administrés depuis la Console Clever Cloud, les Clever Tools (CLI) ou l’API publique. En ligne de commande, par exemple :
clever features enable ng
clever ng create monNG –link app_xxx,postgresql_xxx
À noter : la compatibilité avec les add-ons dépend de leur génération. Les add-ons déployés depuis 2024 sont compatibles ; les plus anciens peuvent nécessiter une migration ou un redémarrage. Consultez la documentation pour connaître les limitations actuelles.
Dans quels cas utiliser un réseau privé entre applications ?
Les Network Groups ne constituent pas une solution autonome : ils rendent possibles certaines architectures sécurisées plutôt qu’ils ne remplacent un produit existant. Plusieurs cas d’usage reviennent fréquemment.
- Protéger des applications derrière une API gateway : les backends restent injoignables depuis l’extérieur tout en étant accessibles depuis la gateway.
- Déployer Keycloak en haute disponibilité : plusieurs instances Keycloak se synchronisent via le réseau privé sans être exposées publiquement.
- Faire communiquer des microservices : dans une architecture distribuée, les services échangent en permanence sans ouvrir de ports publics ni configurer de tunnels.
- Intégrer des ressources externes : relier une machine locale ou un serveur tiers à vos applications Clever Cloud via un canal chiffré.
Connecter ses services sans la complexité d’un VPN
Avec les Network Groups, la connectivité privée devient une capacité de la plateforme plutôt qu’une infrastructure à construire et maintenir. Vous choisissez les ressources qui doivent communiquer ; Clever Cloud établit entre elles le réseau privé chiffré. Vous pouvez ainsi utiliser les ports nécessaires à vos échanges internes sans les exposer publiquement, que vos ressources soient dans une même zone, réparties entre plusieurs datacenters ou, selon le cas, externes à Clever Cloud.
FAQ
Quelle est la différence entre un VPN et un réseau privé entre applications ?
La différence tient surtout à ce que vous avez à administrer. Avec un VPN classique, vous devez généralement déployer, configurer et maintenir la connectivité entre les machines ou réseaux concernés. Avec les Network Groups, Clever Cloud gère cette couche pour vous : vous rattachez les ressources au groupe et la plateforme établit la connectivité privée chiffrée via WireGuard.
Faut-il modifier le code de ses applications pour utiliser les Network Groups ?
Dans la plupart des cas, non. Il n’est pas nécessaire de réécrire votre application. Le changement porte sur la configuration, pas sur le code : l’application appelante doit cibler le service de destination via son nom de domaine interne au Network Group (<memberID>.m.<ngID>.cc-ng.cloud) et le port voulu, généralement au travers d’une variable d’environnement. Aucune bibliothèque spécifique ni adaptation applicative n’est requise pour que le trafic emprunte le réseau privé.
Un réseau privé entre applications fonctionne-t-il avec des machines externes à Clever Cloud ?
Oui. Un Network Group peut connecter des applications Clever Cloud, des add-ons et des machines externes dans le même réseau privé. Le rattachement d’un pair externe relève toutefois de fonctionnalités encore en cours de stabilisation pendant la phase de test.
Un réseau privé rend-il une application invisible depuis Internet ?
Non, pas en soi. Les Network Groups permettent d’accéder à des ressources en privé, mais ne servent pas à couper une application d’Internet. Restreindre l’exposition publique relève d’autres mécanismes de la plateforme.