Klassische VPN-Konnektivität einrichten

Diese VPN-Informationen sind bestimmt für klassische Cluster. VPN-Informationen zu VPC-Clustern finden Sie unter VPC-VPN-Konnektivität einrichten.

Mit der VPN-Konnektivität können Sie Apps in einem Red Hat OpenShift-Cluster unter Red Hat® OpenShift® on IBM Cloud® sicher mit einem lokalen Netz verbinden. Sie können auch Apps, die nicht in Ihrem Cluster enthalten sind, mit Apps verbinden, die Teil Ihres Clusters sind.

Um eine Verbindung Ihrer Workerknoten und Apps mit einem lokalen Rechenzentrum einzurichten, können Sie eine der folgenden Optionen konfigurieren.

IBM Cloud® Direct Link: IBM Cloud Direct Link ermöglicht Ihnen, eine private Direktverbindung zwischen Ihren fernen Netzumgebungen und Red Hat OpenShift on IBM Cloud ohne Routing über das öffentliche Internet zu erstellen. Die IBM Cloud Direct Link-Angebote sind nützlich, wenn Sie Hybrid-Workloads, Cross-Provider-Workloads, umfangreiche oder häufige Datenübertragungen oder private Workloads implementieren müssen. Informationen zum Auswählen eines IBM Cloud Direct Link-Angebots und zum Einrichten einer IBM Cloud Direct Link-Verbindung enthält die Einführung in IBM Cloud IBM Cloud Direct Link in der Dokumentation zu IBM Cloud Direct Link.
Virtual Router Appliance (VRA): Sie können eine VRA(Vyatta) einrichten, um einen IPSec VPN-Endpunkt zu konfigurieren. Diese Option ist hilfreich, wenn der Cluster größer ist, Sie über ein einzelnes VPN auf mehrere Cluster zugreifen möchten oder Sie ein routenbasiertes VPN benötigen. Informationen zum Konfigurieren einer VRA finden Sie unter VPN-Konnektivität mit VRA konfigurieren.

Wenn Ihr Cluster mit lokalen Netzen verbunden werden soll, ziehen Sie die folgenden hilfreichen Funktionen in Betracht.

Mit dem von IBM bereitgestellten Standardbereich 172.30.0.0.0/16 für Pods und dem Standardbereich 172.21.0.0.0/16 für Services können Teilnetzkonflikte auftreten. Sie können Subnetzkonflikte vermeiden, wenn Sie einen Cluster über die Befehlszeilenschnittstelle(CLI)erstellen, indem Sie in der Option „ --pod-subnet “ einen benutzerdefinierten CIDR-Bereich für Pods und in der Option „ --service-subnet “ einen benutzerdefinierten CIDR-Bereich für Dienste angeben.
Wenn Ihre VPN-Lösung die Quell-IP-Adressen der Anfragen beibehält, können Sie benutzerdefinierte statische Routen erstellen, um sicherzustellen, dass Ihre Worker-Knoten die Antworten aus Ihrem Cluster zurück in Ihr lokales Netzwerk weiterleiten können.

Die Teilnetzbereiche 172.16.0.0/16, 172.18.0.0/16, 172.19.0.0/16 und 172.20.0.0/16 sind nicht erlaubt, da sie für die Funktionalität der Red Hat OpenShift on IBM Cloud-Steuerungsebene reserviert sind.

Virtual Router Appliance verwenden

Virtual Router Appliance (VRA) stellt das aktuelle Vyatta 5600-Betriebssystem für x86-Bare-Metal-Server bereit. Sie können eine VRA-Instanz als VPN-Gateway verwenden, um eine sichere Verbindung zu einem lokalen Netz herzustellen.

Der gesamte öffentliche und private Netzverkehr, der in die Cluster-VLANs eintritt oder sie verlässt, wird über eine VRA geleitet. Sie können die VRA als VPN-Endpunkt einsetzen, um einen verschlüsselten IPSec-Tunnel zwischen Servern in der IBM Cloud-Infrastruktur und lokalen Ressourcen zu erstellen. Das folgende Diagramm zeigt beispielsweise, wie eine App in einem Workerknoten in Red Hat OpenShift on IBM Cloud mit einem lokalen Server über eine VRA-VPN-Verbindung im privaten VLAN kommunizieren kann:

Eine App unter Red Hat OpenShift on IBM Cloud mithilfe eines Load Balancers bereitstellen.

Eine App in Ihrem Cluster, myapp2, empfängt eine Anforderung von einem Ingress- oder LoadBalancer-Service und muss eine sichere Verbindung mit Daten in Ihrem lokalen Netz herstellen.
Da myapp2 sich auf einem Workerknoten in einem rein privaten VLAN befindet, fungiert die VRA als sichere Verbindung zwischen den Workerknoten und dem lokalen Netz. Die VRA verwendet die IP-Zieladresse, um zu bestimmen, welche Netzpakete an das lokale Netz gesendet werden sollen.
Die Anforderung wird verschlüsselt und über den VPN-Tunnel an das lokale Rechenzentrum gesendet.
Die eingehende Anforderung passiert die lokale Firewall und wird an den VPN-Tunnelendpunkt (Router) zugestellt, wo sie entschlüsselt wird.
Der VPN-Tunnelendpunkt (Router) leitet die Anforderung abhängig von der in Schritt 2 angegebenen Ziel-IP-Adresse an den lokalen Server oder Mainframe weiter. Die erforderlichen Daten werden über die VPN-Verbindung über denselben Prozess an myapp2 zurückgesendet.

Virtual Router Appliance-Instanz einrichten

Bestellen Sie eine Virtual Router Appliance (VRA).
Konfigurieren Sie das private VLAN auf der VRA.
Um eine VPN-Verbindung mithilfe der VRA zu aktivieren, konfigurieren Sie VRRP auf der VRA.

Wenn Sie über eine vorhandene Router Appliance verfügen und dann einen Cluster hinzufügen, werden die neuen portierbaren Teilnetze, die für den Cluster bestellt sind, nicht in der Router Appliance konfiguriert. Um Vernetzungsservices verwenden zu können, müssen Sie das Routing zwischen den Teilnetzen in demselben VLAN durch übergreifende VLAN-Verarbeitung oder VRF aktivieren ermöglichen.