クラシック VPN 接続のセットアップ

この VPN 情報は、クラシック・クラスターに固有の情報です。 VPC クラスターの VPN 情報については、VPC VPN 接続のセットアップを参照してください。

VPN 接続を使用すると、IBM Cloud® Kubernetes Service 上の Kubernetes クラスター内のアプリをオンプレミス・ネットワークにセキュアに接続できます。 クラスター外のアプリを、クラスター内で実行されるアプリに接続することもできます。

ワーカー・ノードとアプリをオンプレミス・データ・センターに接続するには、以下のいずれかのオプションを構成します。

• IBM Cloud® Direct Link: IBM Cloud Direct Link を使用すると、パブリック・インターネット経由でルーティングせずに、リモート・ネットワーク環境と IBM Cloud Kubernetes Service の間の直接のプライベート接続を作成できます。 IBM Cloud Direct Link オファリングは、ハイブリッド・ワークロード、プロバイダー間ワークロード、大規模なデータ転送や頻繁なデータ転送、またはプライベート・ワークロードを実装する必要がある場合に役立ちます。 IBM Cloud Direct Link オファリングを選択し、IBM Cloud Direct Link 接続をセットアップするには、IBM Cloud Direct Link の資料の IBM Cloud IBM Cloud Direct Link での作業の開始を参照してください。

• Virtual Router Appliance (VRA): VRA(Vyatta) をセットアップして、 IPSec VPN エンドポイントを構成することを選択できます。 このオプションは、クラスターが大きい場合、単一の VPN で複数のクラスターにアクセスする場合、ルート・ベース VPN が必要な場合に役立ちます。 VRA を構成するには、Vyatta を使用した VRA 接続のセットアップを参照してください。

クラスターをオンプレミス・ネットワークに接続することを計画している場合は、以下の役に立つ機能を確認してください。

• IBM 提供のデフォルトのポッドの範囲 172.30.0.0/16 およびサービスの範囲 172.21.0.0/16 とサブネットが競合する可能性があります。 CLIからクラスターを作成する際、--subnet-config --pod-subnet オプションでポッド用のカスタムサブネットCIDRを指定し、--service-configオプション --service-subnet でサービス用のカスタムサブネットCIDRを指定することで、サブネットの競合を回避できます。

• ご使用の VPN ソリューションが要求のソース IP アドレスを保持する場合は、カスタム静的ルートを作成して、ワーカー・ノードがクラスターからの応答をオンプレミス・ネットワークにルーティングできるようにすることができます。

172.16.0.0/16、172.18.0.0/16、172.19.0.0/16、および 172.20.0.0/16 のサブネット範囲は、IBM Cloud Kubernetes Service コントロール・プレーン機能用に予約されているため、禁止されています。

Virtual Router Appliance の使用

Virtual Router Appliance (VRA) は、x86 ベアメタル・サーバーに対応した最新の Vyatta 5600 オペレーティング・システムを提供します。 VRA を VPN ゲートウェイとして使用して、オンプレミス・ネットワークにセキュアに接続できます。

クラスター VLAN に出入りするすべてのパブリックおよびプライベートのネットワーク・トラフィックは、VRA を介して転送されます。 VRA を VPN エンドポイントとして使用して、IBM Cloud インフラストラクチャー内のサーバーとオンプレミス・リソースの間に暗号化された IPSec トンネルを作成できます。 例えば、以下の図は、IBM Cloud Kubernetes Service 内のプライベート専用ワーカー・ノードにあるアプリがオンプレミス・サーバーと VRA VPN 接続を介して通信する方法を示しています。

1. クラスター内のアプリ myapp2 は、Ingress または LoadBalancer サービスから要求を受け取ると、オンプレミス・ネットワーク内のデータにセキュアに接続する必要があります。

2. myapp2 はプライベート VLAN にだけ接続したワーカー・ノード上に存在するため、VRA は、ワーカー・ノードとオンプレミス・ネットワークの間のセキュア接続として機能します。 VRA は、宛先 IP アドレスを使用して、オンプレミス・ネットワークに送信するネットワーク・パケットを判別します。

3. 要求は暗号化され、VPN トンネルを介してオンプレミス・データ・センターに送信されます。

4. 着信要求はオンプレミス・ファイアウォールを通過して、VPN トンネル・エンドポイント (ルーター) に送達され、そこで復号されます。

5. VPN トンネル・エンドポイント (ルーター) は、ステップ 2 で指定した宛先 IP アドレスに応じて、オンプレミス・サーバーまたはメインフレームに要求を転送します。 必要なデータは、同じプロセスを経て、VPN 接続を介して myapp2 に送り返されます。

Virtual Router Appliance をセットアップするには、以下のようにします。

1. VRA を注文します。

2. VRA 上でプライベート VLAN を構成します。

3. VRA を使用して VPN 接続を有効にするには、VRA 上で VRRP を構成します。

既存のルーター・アプライアンスがある場合にクラスターを追加すると、クラスター用に注文した新しいポータブル・サブネットは、ルーター・アプライアンス上に構成されません。 ネットワーク・サービスを使用するには、VLAN スパンニングまたは VRF の有効化によって同じ VLAN 上のサブネット間のルーティングを有効にする必要があります。