クラシック VPN 接続のセットアップ

この VPN 情報は、クラシック・クラスターに固有の情報です。 VPC クラスターの VPN 情報については、VPC VPN 接続のセットアップを参照してください。

VPN 接続を使用すると、Red Hat OpenShift 上の Red Hat® OpenShift® on IBM Cloud® クラスター内のアプリをオンプレミス・ネットワークにセキュアに接続できます。 クラスター外のアプリを、クラスター内で実行されるアプリに接続することもできます。

ワーカー・ノードとアプリをオンプレミス・データ・センターに接続するには、以下のいずれかのオプションを構成します。

  • IBM Cloud® Direct Link: IBM Cloud Direct Link を使用すると、パブリック・インターネット経由でルーティングせずに、リモート・ネットワーク環境と Red Hat OpenShift on IBM Cloud の間の直接のプライベート接続を作成できます。 IBM Cloud Direct Link オファリングは、ハイブリッド・ワークロード、プロバイダー間ワークロード、大規模なデータ転送や頻繁なデータ転送、またはプライベート・ワークロードを実装する必要がある場合に役立ちます。 IBM Cloud Direct Link オファリングを選択し、IBM Cloud Direct Link 接続をセットアップするには、IBM Cloud Direct Link の資料の IBM Cloud IBM Cloud Direct Link での作業の開始を参照してください。

  • Virtual Router Appliance (VRA): VRA(Vyatta) をセットアップして、 IPSec VPN エンドポイントを構成することを選択できます。 このオプションは、クラスターが大きい場合、単一の VPN で複数のクラスターにアクセスする場合、ルート・ベース VPN が必要な場合に役立ちます。 VRA を構成するには、Vyatta を使用した VRA 接続のセットアップを参照してください。

クラスターをオンプレミス・ネットワークに接続することを計画している場合は、以下の役に立つ機能を確認してください。

  • IBM 提供のデフォルトのポッドの範囲 172.30.0.0/16 およびサービスの範囲 172.21.0.0/16 とサブネットが競合する可能性があります。 CLI からクラスターを作成する 際、 --pod-subnet オプションでポッド用のカスタムサブネット CIDR を指定し、 --service-subnet オプションでサービス用のカスタムサブネット CIDR を指定することで、サブネットの競合を回避できます。

  • VPNソリューションがリクエストの発信元IPアドレスを保持している場合、 カスタム静的ルートを作成することで、ワーカーノードがクラスターからの応答をオンプレミスネットワークへ確実にルーティングできるようにすることができます。

172.16.0.0/16、172.18.0.0/16、172.19.0.0/16、172.20.0.0/16 のサブネット範囲は、Red Hat OpenShift on IBM Cloud のコントロール・プレーン機能用に予約されているので使用できません。

Virtual Router Appliance の使用

Virtual Router Appliance (VRA) は、x86 ベアメタル・サーバーに対応した最新の Vyatta 5600 オペレーティング・システムを提供します。 VRA を VPN ゲートウェイとして使用して、オンプレミス・ネットワークにセキュアに接続できます。

クラスター VLAN に出入りするすべてのパブリックおよびプライベートのネットワーク・トラフィックは、VRA を介して転送されます。 VRA を VPN エンドポイントとして使用して、IBM Cloud インフラストラクチャー内のサーバーとオンプレミス・リソースの間に暗号化された IPSec トンネルを作成できます。 例えば、以下の図は、Red Hat OpenShift on IBM Cloud のワーカー・ノードのアプリがプライベート VLAN で VRA の VPN 接続を使用してオンプレミスのサーバーと通信する方法を示しています。

ロードバランサーを使用して、 Red Hat OpenShift on IBM Cloud でアプリを公開する。
ロードバランサーを使用して、 Red Hat OpenShift on IBM Cloud でアプリを公開する

  1. クラスター内のアプリ myapp2 は、Ingress または LoadBalancer サービスから要求を受け取ると、オンプレミス・ネットワーク内のデータにセキュアに接続する必要があります。

  2. myapp2 はプライベート VLAN にだけ接続したワーカー・ノード上に存在するため、VRA は、ワーカー・ノードとオンプレミス・ネットワークの間のセキュア接続として機能します。 VRA は、宛先 IP アドレスを使用して、オンプレミス・ネットワークに送信するネットワーク・パケットを判別します。

  3. 要求は暗号化され、VPN トンネルを介してオンプレミス・データ・センターに送信されます。

  4. 着信要求はオンプレミス・ファイアウォールを通過して、VPN トンネル・エンドポイント (ルーター) に送達され、そこで復号されます。

  5. VPN トンネル・エンドポイント (ルーター) は、ステップ 2 で指定した宛先 IP アドレスに応じて、オンプレミス・サーバーまたはメインフレームに要求を転送します。 必要なデータは、同じプロセスを経て、VPN 接続を介して myapp2 に送り返されます。

Virtual Router Appliance をセットアップするには、以下のようにします。

  1. VRA を注文します。

  2. VRA 上でプライベート VLAN を構成します。

  3. VRA を使用して VPN 接続を有効にするには、VRA 上で VRRP を構成します。

既存のルーター・アプライアンスがある場合にクラスターを追加すると、クラスター用に注文した新しいポータブル・サブネットは、ルーター・アプライアンス上に構成されません。 ネットワーク・サービスを使用するには、VLAN スパンニングまたは VRF の有効化によって同じ VLAN 上のサブネット間のルーティングを有効にする必要があります。