Virtuelle Verbindungen planen

Direct Link Gateways ermöglichen die Verbindung von lokalen Netzwerken mit Netzwerken im IBM Cloud mithilfe virtueller Verbindungen. Der Netzverkehr zwischen virtuellen Verbindungen auf einem Direct Link-Gateway wird nicht unterstützt. Abhängig davon, welche Netzwerkpräfixe vom lokalen Netzwerk angekündigt werden, kann es jedoch sein, dass weiterhin Datenverkehr zwischen den virtuellen Verbindungen fließt. Wenn das lokale Netzwerk beispielsweise die Standardroute ankündigt (0.0.0.0/0 ). In diesem Fall wird der gesamte Datenverkehr aus einem Netzwerk, das über eine virtuelle Verbindung verbunden ist, die keine spezifischere Route findet als 0.0.0.0/0 wird gesendet an die Direct Link Tor. Nachdem der Datenverkehr das Gateway erreicht hat, wird er unter Verwendung standardmäßiger Routing-Algorithmen weitergeleitet. Wenn eine andere virtuelle Verbindung eine Route hat, die mit der Zieladresse des Datenverkehrs übereinstimmt, wird dieser über diese virtuelle Verbindung an das Netzwerk weitergeleitet (anstatt über die weniger spezifische 0.0.0.0/0 des lokalen Netzwerks).

Planung für die Funktion Direct Link Dedicated MACsec

Sie können MACsec (IEEE 802.1AE ) bei der Bestellung von IBM Cloud Direct Link Dedicated aktivieren, um Ethernet-Verbindungen zwischen Ihrem lokalen Netzwerk und IBM Cloud zu sichern. MACsec arbeitet auf der Datenverbindungsschicht (Layer 2) des OSI-Modells und verschlüsselt den gesamten Ethernet-Verkehr, einschließlich der Protokolle der Steuerebene wie ARP und DHCP, zum Schutz vor Abhören, Manipulationen und Angriffen auf das lokale Netzwerk.

MACsec bietet mehrere wichtige Sicherheitsmerkmale:

• Ursprungsauthentifizierung mit einem Connectivity Association Key (CAK)
• Wiedergabeschutz mit konfigurierbarem Fenster für verpatzte Bilder
• Datenvertraulichkeit durch AES-Verschlüsselung
• Datenintegrität unter Verwendung eines Integritätsprüfwerts (ICV) pro Rahmen

MACsec-Sitzungen werden zwischen Ihrem MACsec-fähigen Gerät und dem Cross-Connect-Switch IBM aufgebaut. Die Funktion unterstützt einen primären CAK und einen optionalen Fallback-CAK für den Fall einer Nichtübereinstimmung. CAK-Geheimnisse werden sicher als Secrets Manager (empfohlen) oder IBM Hyper Protect Crypto Services (HPCS) Schlüsselressourcen gespeichert. Um diese Integration zu ermöglichen, muss Direct Link berechtigt sein, die entsprechenden Schlüssel von Ihrer Secrets Manager oder HPCS-Instanz abzurufen.

MACsec verwendet den Industriestandard MACsec Key Agreement (MKA) für die sichere Schlüsselverwaltung. Es verwendet eine hardwarebasierte AES-Verschlüsselung, die hohe Sicherheit bei minimalen Leistungseinbußen bietet. Die Verschlüsselung gewährleistet die Vertraulichkeit und Integrität der Daten und funktioniert auf Schicht 2, ohne dass Änderungen an Protokollen oder Anwendungen auf höherer Ebene erforderlich sind. IBM bietet auch eine Anleitung für die sichere Rotation von CAKs, um eine ununterbrochene Verschlüsselung ohne Beeinträchtigung des Datenverkehrs zu gewährleisten.

MACsec ist an ausgewählten Standorten verfügbar, an denen „ IBM Cloud “ eine MACsec-fähige Cross-Connect-Infrastruktur unterstützt. Derzeit ist MACsec für Direct Link Dedicated in Chennai, Dallas, Madrid, Montreal, Toronto und Mumbai verfügbar.

IBM hat die Implementierung von Cisco MACsec IEEE 802.1AE für Verschlüsselung und Sicherheit auf Layer 2 getestet und verifiziert. Obwohl die Tests von IBM speziell mit der MACsec-Lösung von Cisco durchgeführt wurden, unterstützt IBM auch andere MACsec-Lösungen, die den IEEE 802.1AE Standard implementieren. Wenn Sie Probleme haben oder Unterstützung bei einer MACsec-Lösung benötigen, steht Ihnen der IBM Support zur Verfügung.

VPC-Verbindungen als Präfix für AS verwenden

IBM Cloud unterstützt kundenspezifische AS-Pfadvoranstellungen für Direct Link. Sie können die BGP-Routenauswahl beeinflussen, um bevorzugte Pfade zu priorisieren und Failover in hybriden und Multi-Cloud-Umgebungen zu verwalten.

Wenn Präfixwerte in verschiedenen AS-Präfixen (innerhalb derselben Richtlinie) wiederholt werden, legt die erste Instanz des Präfixwerts die Präfixlänge fest; die übrigen werden ignoriert.