Configurazione della connettività VPN classica

Queste informazioni sulla VPN riguardano specificatamente i cluster classici. Per le informazioni sulla VPN per i cluster VPC, vedi Configurazione della connettività VPN VPC.

Grazie alla connettività VPN, è possibile connettere in modo sicuro le app presenti in un cluster di " Red Hat OpenShift " su Red Hat® OpenShift® on IBM Cloud® a una rete locale. Puoi anche connettere le applicazioni esterne al tuo cluster a un'applicazione in esecuzione nel tuo cluster.

Per collegare i tuoi nodi di lavoro e applicazioni a un data center in loco, puoi configurare una delle seguenti opzioni.

  • IBM Cloud® Direct Link: IBM Cloud Direct Link ti consente di creare una connessione privata diretta tra i tuoi ambienti di rete remota e Red Hat OpenShift on IBM Cloud senza instradamento su internet pubblico. Le offerte IBM Cloud Direct Link sono utili quando devi implementare carichi di lavoro ibridi, carichi di lavoro tra provider, trasferimenti di dati di grandi dimensioni o frequenti oppure carichi di lavoro privati. Per scegliere un'offerta IBM Cloud Direct Link e configurare una connessione IBM Cloud Direct Link, vedi Introduzione a IBM Cloud IBM Cloud Direct Link nella documentazione di IBM Cloud Direct Link.

  • Virtual Router Appliance (VRA): puoi scegliere di configurare una VRA(Vyatta) per configurare un endpoint IPSec VPN. Questa opzione è utile quando hai un cluster più grande, vuoi accedere a più cluster su una singola VPN o hai bisogno di una VPN basata sugli instradamenti. Per configurare una VRA, vedi Configurazione della connettività VPN con VRA.

Se hai intenzione di collegare il tuo cluster alle reti locali, dai un'occhiata alle seguenti funzionalità utili.

  • Potresti avere dei conflitti di sottorete con l'intervallo 172.30.0.0/16 predefinito fornito da IBM per i pod e l'intervallo 172.21.0.0/16 per i servizi. È possibile evitare conflitti tra sottoreti quando si crea un cluster dalla CLI specificando un CIDR di sottorete personalizzato per i pod nell'opzione --pod-subnet e un CIDR di sottorete personalizzato per i servizi nell'opzione --service-subnet .

  • Se la soluzione VPN in uso conserva gli indirizzi IP di origine delle richieste, è possibile creare percorsi statici personalizzati per garantire che i nodi di lavoro possano instradare le risposte provenienti dal cluster verso la rete locale.

Gli intervalli di 172.16.0.0/16 sottorete 172.20.0.0/16, 172.18.0.0/16, 172.19.0.0/16, e sono vietati perché riservati alla funzionalità del piano di controllo dell' Red Hat OpenShift on IBM Cloud.

Utilizzo di una VRA (Virtual Router Appliance)

La VRA () fornisce il sistema operativo Vyatta 5600 più recente per i server bare metal x86. Puoi utilizzare una VRA come un gateway VPN per connetterti in modo sicuro ad una rete in loco.

Tutto il traffico di rete pubblica e privata che entra o esce dalle VLAN del cluster viene instradato tramite una VRA. Puoi utilizzare la VRA come un endpoint VPN per creare un tunnel IPSec crittografato tra i server nell'infrastruttura IBM Cloud e le risorse in loco. Ad esempio, il diagramma seguente illustra come un'app su un nodo di lavoro in un ambiente " Red Hat OpenShift on IBM Cloud " possa comunicare con un server locale tramite una connessione VPN VRA sulla VLAN privata:

Rendere accessibile un'applicazione su Red Hat OpenShift on IBM Cloud utilizzando un bilanciatore di carico.
Rendere accessibile un'applicazione su Red Hat OpenShift on IBM Cloud utilizzando un bilanciatore di carico

  1. Un'applicazione nel tuo cluster, myapp2, riceve una richiesta da un servizio Ingress o LoadBalancer e deve connettersi in modo sicuro alla tua rete in loco.

  2. Poiché myapp2 si trova su un nodo di lavoro che si trova solo su una VLAN privata, la VRA funge da connessione protetta tra i nodi di lavoro e la rete in loco. La VRA usa l'indirizzo IP di destinazione per determinare quali pacchetti di rete inviare alla rete in loco.

  3. La richiesta viene crittografata e inviata sul tunnel VPN nel data center in loco.

  4. La richiesta in entrata passa attraverso il firewall in loco e viene consegnata all'endpoint del tunnel VPN (router) in cui viene decrittografata.

  5. L'endpoint del tunnel VPN (router) inoltra la richiesta al server in loco o al mainframe, a seconda dell'indirizzo IP di destinazione specificato nel passo 2. I dati necessari vengono inviati di nuovo tramite la connessione VPN a myapp2 attraverso lo stesso processo.

Per configurare un Virtual Router Appliance,

  1. Ordina una VRA.

  2. Configura la VLAN privata nella VRA.

  3. Per abilitare una connessione VPN utilizzando la VRA, configura VRRP nella VRA.

Se hai un'applicazione router esistente e aggiungi quindi un cluster, le nuove sottoreti portatili ordinate per il cluster non vengono configurate sull'applicazione router. Per utilizzare i servizi di rete, è necessario abilitare il routing tra le sottoreti appartenenti alla stessa VLAN, attivando lo spanning VLAN o il VRF.