Pianificazione di connessioni virtuali

Direct Link i gateway consentono alle reti locali di connettersi alle reti in IBM Cloud utilizzando connessioni virtuali. Il traffico di rete tra connessioni virtuali su un gateway Direct Link non è supportato. Tuttavia, a seconda dei prefissi di rete pubblicizzati dalla rete locale, il traffico potrebbe comunque fluire tra le connessioni virtuali. Ad esempio, se la rete locale pubblicizza il percorso predefinito (0.0.0.0/0 ). In questo caso, tutto il traffico proveniente da una rete connessa tramite una connessione virtuale che non trova un percorso più specifico di 0.0.0.0/0 viene inviato al Direct Link porta. Una volta arrivato al gateway, il traffico viene inoltrato utilizzando algoritmi di routing standard. Se un'altra connessione virtuale ha un percorso che corrisponde all'indirizzo di destinazione del traffico, allora viene inoltrato alla rete su quella connessione virtuale (invece del meno specifico 0.0.0.0/0 della rete locale).

Pianificazione della funzione MACsec dedicata di Direct Link

È possibile abilitare MACsec (IEEE 802.1AE ) quando si ordina IBM Cloud Direct Link Dedicated per proteggere le connessioni Ethernet tra la rete on-premise e IBM Cloud. MACsec opera al livello di collegamento dati (Layer 2) del modello OSI, crittografando tutto il traffico Ethernet, compresi i protocolli del piano di controllo come ARP e DHCP, per proteggere da intercettazioni, manomissioni e attacchi alla rete locale.

MACsec offre diverse caratteristiche di sicurezza fondamentali:

• Autenticazione dell'origine tramite una chiave di associazione di connettività (CAK)
• Protezione del replay con una finestra configurabile per i fotogrammi fuori ordine
• Riservatezza dei dati grazie alla crittografia AES
• Integrità dei dati mediante un valore di controllo dell'integrità (ICV) per frame

Le sessioni MACsec vengono stabilite tra il dispositivo compatibile con MACsec e lo switch cross-connect IBM. La funzione supporta una CAK primaria e una CAK di riserva opzionale in caso di mancata corrispondenza. I segreti CAK sono memorizzati in modo sicuro come risorse chiave Secrets Manager (consigliato) o IBM Hyper Protect Crypto Services (HPCS). Per abilitare questa integrazione, Direct Link deve essere autorizzato a recuperare le chiavi pertinenti dall'istanza Secrets Manager o HPCS.

MACsec utilizza lo standard industriale MACsec Key Agreement (MKA) per la gestione sicura delle chiavi. Impiega la crittografia AES basata su hardware, garantendo una forte sicurezza con un impatto minimo sulle prestazioni. La crittografia garantisce la riservatezza e l'integrità dei dati, operando a livello 2 senza la necessità di modificare i protocolli o le applicazioni di livello superiore. IBM fornisce inoltre indicazioni per la rotazione sicura dei CAK, in modo da garantire una crittografia ininterrotta senza impatti sul traffico.

MACsec è disponibile in alcune sedi selezionate in cui IBM Cloud supporta un'infrastruttura di connessione incrociata compatibile con MACsec. Attualmente, MACsec per Direct Link Dedicated è disponibile a Chennai, Dallas, Madrid, Montreal, Toronto e Mumbai.

IBM ha testato e verificato l'implementazione di Cisco MACsec IEEE 802.1AE per la crittografia e la sicurezza a Layer 2. Sebbene i test di IBM siano stati condotti specificamente sulla soluzione MACsec di Cisco, IBM supporta altre soluzioni MACsec che implementano lo standard IEEE 802.1AE. In caso di problemi o di necessità di assistenza per una soluzione MACsec, il supporto di IBM è a disposizione.

Utilizzo di AS prepends con connessioni VPC

IBM Cloud supporta i preimpostamenti del percorso AS definiti dal cliente per Direct Link. È possibile influenzare la selezione delle rotte BGP per dare priorità ai percorsi preferiti e gestire il failover in ambienti ibridi e multicloud.

Se i valori del prefisso sono ripetuti in diversi prefissi AS (all'interno della stessa politica), la prima istanza del valore del prefisso imposta la lunghezza del prefisso; le altre vengono ignorate.