Cloud-Endpunkt

Quellenclients an Ihrem Satellite-Standort können Zielressourcen, die außerhalb des Standorts ausgeführt werden, standardmäßig nicht erreichen, da die IP-Adresse der Zielressource nicht aus dem Standort heraus weiterleitbar ist. Schauen Sie sich das folgende Architekturdiagramm und die Schritte an, die zeigen, wie Satellite Link die Kommunikation zwischen Satellite-Standorten und Services, die außerhalb von Standorten ausgeführt werden, über Satellite-Endpunkte ermöglicht.

1. Wenn Sie einen Endpunkt für Ihre Zielressource erstellen, wird auf Ihren Satellite-Control-Plane-Knoten ein Port für den Satellite Link-Konnektor geöffnet. Anforderungen aus Quellen an Ihrem Satellite-Standort werden an den Hostnamen und den Port des Satellite Link-Connectors gesendet. Beispiel: nae4dce0eb35957baff66-edfc0a8ba65085c5081eced6816c5b9c-c000.us-east.satellite.appdomain.cloud:30819. Dieser Link-Hostname und der Port werden der Domäne und dem Port der Zielressource zugeordnet.

2. Der Satellite-Link-Konnektor leitet die Anfrage über eine gesicherte TLS-Verbindung an den Satellite-Link-Tunnel-Server auf der Satellite-Managementebene weiter.

3. Der Satellite Link-Tunnelserver löst die Anforderung in die IP-Adresse und den Port des Ziels auf und leitet die Anforderung an die Zielressource weiter.

Standortendpunkt

Quellenclients, die mit dem privaten IBM Cloud-Netz verbunden sind, können standardmäßig Zielressourcen nicht erreichen, die an Ihrem Satellite-Standort ausgeführt werden, da die IP-Adresse der Zielressource nicht von außerhalb des Standorts weiterleitbar ist. Schauen Sie sich das folgende Architekturdiagramm und die Schritte an, die zeigen, wie Satellite Link die Kommunikation zwischen Services, die mit dem privaten IBM Cloud-Netz verbunden sind, und Standorten über Satellite-Endpunkte ermöglicht.

1. Wenn Sie einen Endpunkt für eine Ressource, die an Ihrem Satellite-Standort ausgeführt wird, erstellen, wird ein Port auf dem Satellite Link-Tunnelserver geöffnet und in der Endpunktkonfiguration hinzugefügt. Anforderungen aus Quellen, die mit dem privaten IBM Cloud-Netz verbunden sind, werden an den Hostnamen und diesen Port des Satellite Link-Tunnelservers gesendet. Beispiel: c-01.us-east.link.satellite.cloud.ibm.com:30819. Dieser Link-Hostname und der Port werden der Domäne und dem Port der Zielressource zugeordnet.

2. Der Satellite Link-Tunnelserver löst die Anforderung in den Hostnamen und den Endpunktport des Satellite Link-Connectors auf und leitet die Anforderung über eine gesicherte TLS-Verbindung an den Satellite Link-Connector weiter.

3. Der Satellite Link-Connector löst die Anforderung in die IP-Adresse und den Port des Ziels auf und leitet die Anforderung an die Zielressource weiter.

Was geschieht, wenn Satellite Link nicht verfügbar wird?

Ihre Workloads am Standort werden weiterhin unabhängig ausgeführt, auch wenn die Konnektivität zu IBM Cloud nicht verfügbar ist. Wenn Anwendungen allerdings einen Link-Endpunkt zur Kommunikation mit IBM Cloud verwenden, wird die Kommunikation zwischen diesen Apps und IBM Cloud unterbrochen. Darüber hinaus werden alle angeforderten Änderungen an Ihrem Satellite-Standort, wie zum Beispiel das Hinzufügen von Hosts oder Zugriffssteueranforderungen an IBM Services über Cloud Identity and Access Management unterbrochen. Nachdem die Verbindung wiederhergestellt wurde, werden Protokolle und Ereignisse an Ihre IBM Cloud Logs-Instanzen gesendet. Beachten Sie, dass Satellite Link von der zugrunde liegenden Konnektivität des lokalen Netzes Ihrer Hosts abhängig ist, um die verwalteten Services für Ihren Satellite-Standort zu überwachen und zu verwalten.

Muss ich bestimmten eingehenden Datenverkehr über mit dem Internet verbundene Ports durch Firewalls an meinen Standort zulassen?

Nein. Satellite-Link verwendet Standard-Websicherheitsports, um verschlüsselte Kommunikation von Ihrem Standort zu IBM Cloud für das Standortmanagement zu erstellen. Satellite erstellt eindeutige öffentliche DNS-Einträge für jeden Standort und ordnet Ports aus dem Bereich 32768-52768 für TCP zu, sodass Zieladressen von IBM Cloud vorhersehbar aufgelöst werden können. Kommunikationskanäle über Link-Endpunkte zwischen Ihrem Satellite-Standort und IBM Cloud werden durch Ihre vorhandenen Firewallrichtlinien für abgehenden Datenverkehr für Host zugelassen.

Wenn IBM Eigner des Link-Tunnels ist, wie kann ich prüfen, ob unsere Daten nicht zugänglich sind? Die Sicherheitsrichtlinie meiner Organisation lässt keine Tunnel aus unseren Netzen zu.

Satellite Link arbeitet mit einem Zero-Trust-Modell: IBM Cloud hat standardmäßig keinen Zugriff auf Ihre Workloads. Sämtliche Verwaltung der Infrastruktur an Ihrem Standort, die von IBM Site Reliability Engineers über Satellite Link eingeleitet wird, erfolgt isoliert von Ihren Workloads und den Netzverbindungen, wie zum Beispiel Link-Endpunkten, die von Ihren Workloads verwendet werden. Weitere Informationen zu den verschiedenen Arten, wie IBM Cloud auf Ihren Satellite-Standort zugreifen kann, finden Sie in Operativer IBM Zugriff. Für alle anderen Verbindungen zu Ihrem Standort, die für Ihre Anwendungen erforderlich sind, können Sie Satellite Link verwenden, um Layer-4-Kommunikationsverbindungen zu erstellen, indem Sie einen Endpunkt für jede Zielressource an Ihrem Standort einrichten. Alle Verbindungen über Ihre Endpunkte unterliegen immer Ihrer Kontrolle, einschließlich der vollständigen Deaktivierung von Endpunkten.

Wie schütze ich meine Daten während der Übertragung?

Link-Endpunkte zwischen Ihrem Standort und IBM Cloud werden durch zwei Verschlüsselungsebenen geschützt: eine Verschlüsselung mit hohem Sicherheitsniveau vom Connector des Standorts zu IBM Cloud, die von IBM bereitgestellt wird, und eine optionale zusätzliche Verschlüsselungsebene zwischen den Quellen- und den Zielressourcen.

Alle Daten, die über Satellite Link übertragen werden, werden mit TLS 1.3-Standards verschlüsselt. Diese Verschlüsselungsebene wird von IBM verwaltet.

Wenn Sie einen Endpunkt erstellen, können Sie optional eine andere Verschlüsselungsebene festlegen, indem Sie Datenverschlüsselungsprotokolle für die Endpunktverbindung zwischen der Clientquelle und der Zielressource angeben. Sie könnten zum Beispiel die TLS-Verschlüsselung für die Verbindung, die über das Internet geht, angeben, auch wenn der Datenverkehr auf der Quellenseite nicht verschlüsselt wird. Sie können eigene signierte Zertifikate bereitstellen, um sowohl die interne Sicherheit als auch die Überprüfbarkeit des Betriebs sicherzustellen, ohne dass Dateninhalte offengelegt werden. IBM transportiert nur die verschlüsselte Verbindung, und Ihre Ressourcen müssen für die von Ihnen angegebenen Datenverschlüsselungsprotokolle konfiguriert werden.

TCP und TLS

Wenn Ihre Zielressource keine Anforderungen mit einem bestimmten HTTP-oder HTTPS-Hostnamenheader erfordert, oder direkte Anforderungen an ihre IP-Adresse anstelle ihres Hostnamens akzeptieren kann, verwenden Sie das TCP-oder TLS-Protokoll. Satellite-Link verwendet das gleiche Protokoll wie die Anforderung, um das Anforderungspaket zum Ziel zu übertragen.

HTTP and HTTPS

Wenn Ihre Zielressource für den Empfang eines bestimmten HTTP- oder HTTPS-Hostnamensheaders konfiguriert ist, verwenden Sie die Protokolle HTTP oder HTTPS. Durch Verwendung der Neuzuordnung von HTTP- und HTTPS-Headern kann Satellite Link Anforderungen für mehrere Zielressourcen korrekt über die TCP-Ports 80 (HTTP) und 443 (HTTPS) weiterleiten.

Cloud-Endpunkt

Quellenanfragen von Ihrem Satellite-Standort an Ihre Zielressource, die außerhalb des Standorts ausgeführt wird, enthalten einen HTTP-Header wie z. B. linkconnector_hostname:port. Wenn die Anforderung vom Satellite Link-Connector an den Satellite Link-Tunnelserver gesendet wird, ändert der Satellite Link-Tunnelserver den HTTP-Header in der Anforderung in den Zielhostnamen und den zugehörigen Port (Beispiel: dest_hostname:dest_port). Anschließend verwendet der Satellite Link-Tunnelserver den Hostnamen und den Port des Ziels, um die Anforderung an die richtige Zielressource weiterzuleiten.

Standortendpunkt

Quellenanfragen von Clients, die außerhalb des Standorts Ihrer Zielressource an Ihrem Satellite-Standort ausgeführt werden, enthalten einen HTTP-Header wie z. B. linkserver_hostname:endpoint_port. Der Satellite Link-Tunnelserver ändert den HTTP-Header in der Anforderung in den Hostnamen und den Port des Ziels (Beispiel: dest_hostname:dest_port) und sendet die Anforderung an den Satellite Link-Connector. Anschließend verwendet der Satellite Link-Connector den Hostnamen und den Port des Ziels, um die Anforderung an die richtige Zielressource weiterzuleiten.

HTTP-Tunnel

Wenn Daten über TLS-Verbindungen ununterbrochen von der Quelle an Ihre Zielressource übertragen werden sollen, zum Beispiel wenn ein Zertifikat zur gegenseitigen Authentifizierung an das Ziel übertragen werden soll, verwenden Sie das HTTP-Tunnelprotokoll.

Die Clientquelle sendet eine HTTP-Verbindungsanforderung an die Satellite Link-Tunnelserver- oder Link-Connector-Komponente, je nachdem, ob das Ziel außerhalb des Standorts oder innerhalb Ihres Satellite-Standorts ausgeführt wird. Die Link-Komponente stellt anschließend die Verbindung zur Zielressource her. Nach der Herstellung der ersten Verbindung fungiert die Link-Komponente ununterbrochen als Proxy für die TCP-Verbindung zwischen der Quelle und dem Ziel.

Die Satellite Link-Komponente spielt keine Rolle bei der Beendigung der TLS-Verbindung für verschlüsselten Datenverkehr, sodass die TLS-Verbindung von der Zielressource beendet werden muss. Wenn Ihre Zielressource zum Beispiel eine gegenseitige Authentifizierung erfordert, lässt das HTTP-Tunnelprotokoll zu, dass Ihre Clientquelle das erforderliche Authentifizierungszertifikat direkt an das Ziel übergibt.

Serverseitige Zertifikatsauthentifizierung für TLS und HTTPS

Wenn Sie die TLS- oder HTTPS-Protokolle auswählen, können Sie optional angeben, dass eine serverseitige Überprüfung des Zertifikats des Ziel durchgeführt werden muss. Das Zertifikat muss für den Hostnamen des Ziels gültig und von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiert sein.

Wenn Ihre Zielressource ein Zertifikat hat, müssen Sie das Zertifikat bei der Erstellung des Endpunkts nicht angeben. Wenn Sie allerdings den Zugriff auf eine Zielressource testen, die sich noch in der Entwicklung befindet, und Sie noch kein vertrauenswürdiges Zertifikat haben, können Sie ein selbst signiertes Zertifikat für die Überprüfung hochladen. Diese Datei ssl.crt muss das öffentliche Zertifikat in Base64-Codierung für den Hostnamen Ihrer Ressource enthalten und darf nicht den privaten Zertifikatsschlüssel ssl.key enthalten. Informationen zum Erstellen eines selbstsignierten Zertifikats zu Testzwecken mithilfe von OpenSSL, finden Sie in dieser Anleitung zum selbstsignierten SSL-Zertifikat.

Zugriff mit Quellenlisten beschränken

Nach der Einrichtung eines Endpunkts kann standardmäßig jeder Client eine Verbindung zu der Zielressource über den Endpunkt herstellen. Einen Standortendpunkt kann zum Beispiel jeder Client verwenden, der mit dem privaten IBM Cloud-Netz verbunden ist, um eine Verbindung zu der Zielressource herzustellen, die an Ihrem Satellite-Standort ausgeführt wird. Zur Beschränkung des Zugriffs auf die Zielressource können Sie eine Liste von Quellen-IP-Bereichen angeben, sodass nur vertrauenwürdige Clients auf den Endpunkt zugreifen können. Beachten Sie, dass Quellenlisten gegenwärtig nur für Endpunkte vom Typ location und nicht für Endpunkte vom Typ cloud erstellt werden können.

Benutzerinitiierte Ereignisse prüfen

Nachdem Sie Quelllisten für Endpunkte eingerichtet haben, können Sie die Überwachung so konfigurieren, dass benutzerinitiierte Ereignisse für Link-Endpunkte überwacht werden. IBM Cloud Satellite ist mit IBM Cloud Logs integriert, um Überwachungsereignisse für alle Link-Endpunkte an Ihrem Standort zu erfassen und an Ihre IBM Cloud Logs-Instanz zu senden. Informationen zum Einstieg in die Ereignisaufzeichnung finden Sie im Abschnitt Ereignisse für Endpunktaktionen prüfen.

Kann ich Linkendpunkte verwenden, um

Ressourcen innerhalb desselben Satellite-Standorts zu verbinden?

Nein. Link-Endpunkte können nicht zwischen Ressourcen am selben Standort erstellt werden. Vielmehr können Ressourcen direkt aufeinander zugreifen. Beispielsweise muss eine App, die in einem Red Hat OpenShift-Cluster in Satellite ausgeführt wird, nicht über Satellite Link auf eine Datenbank zugreifen, die sich am selben Standort befindet, sondern kann stattdessen direkt über das private Netzwerk des Standorts auf diese Datenbank zugreifen.

Apps oder Dienste, die in einem Red Hat OpenShift-Cluster ausgeführt werden, in Satellite bereitstellen?

Informationen zu den verfügbaren Optionen finden Sie im Abschnitt Apps in Satellite-Clustern zugänglich machen.

Netze innerhalb des öffentlichen IBM Cloud Netzes zum Beispiel durch VPC Spanning zu überbrücken?

Nein. Verwenden Sie stattdessen die Bridging-Lösung, die für Ihre Netzkonfiguration empfohlen wird. Sie könnten zum Beispiel Virtual Private Network (VPN) for VPC oder IBM Cloud® Direct Link verwenden.

Verbindungen zu anderen öffentlichen Clouds herzustellen?

Ja. Mit Satellite Link können Sie cloud -Endpunkte für Ressourcen erstellen, die in anderen öffentlichen Clouds ausgeführt werden.

Beispiel: Verbindung von einem Satellite-Standort zu einem Service in einem anderen Cloud-Provider herstellen

Sie wollen Daten von einem Server, der auf einem Host an Ihrem Satellite-Standort ausgeführt wird, an einen Service senden, der in Amazon Web Services ausgeführt wird. Der Service muss öffentlich zugänglich sein, sodass der Satellite Link-Tunnel, der innerhalb des IBM Cloud-Netzes endet, auf den Service in dem AWS-Netz zugreifen kann.

Zum Herstellen dieser Verbindung erstellen Sie zuerst einen Endpunkt vom Typ cloud. Sie geben den Service an, der in AWS als Zielressource ausgeführt wird. Anschließend stellt der Server auf Ihrem lokalen Host eine direkte Verbindung zum Hostnamen des Satellite-Link-Konnektors auf den Control-Plane-Knoten Ihres Standorts her. Satellite Link leitet diese Anfrage an den Cloud-Endpunkt weiter, den Sie für den Dienst erstellt haben, der in AWS ausgeführt wird.

Beispiel: Eingeschränkten Zugriff von Satellite auf einen IBM Cloud-Standort aktivieren und prüfen

Sie führen eine Datenbank an Ihrem Satellite-Standort und nicht in IBM Cloud aus, da gesetzliche Bestimmungen vorschreiben, dass die Datenbank in Ihrem lokalen Rechenzentrum in einem bestimmten Land betrieben wird. Allerdings müssen Sie trotzdem Verbindungen aus dem privaten Satellite-Netz zu der Datenbank an Ihrem IBM Cloud-Standort herstellen.

Zum Herstellen dieser Verbindung erstellen Sie zuerst einen Endpunkt vom Typ location. Sie geben die Datenbank, die an Ihrem Satellite-Standort ausgeführt wird, als Zielressource an. Anschließend stellt der Client im privaten IBM Cloud-Netzwerk eine direkte Verbindung zum Hostnamen des Satellite Link-Tunnelservers her. Satellite-Link leitet diese Anforderung an den Standortendpunkt weiter, den Sie für Ihre lokale Datenbank erstellt haben.

Schließlich geben Sie zur Gewährleistung der Unternehmenssicherheit und zur Einhaltung der gesetzlichen Prüfvorgaben eine Liste von Quellen-IP-Bereichen an, sodass nur vertrauenswürdige Clients in der öffentlichen Cloud auf die Datenbank an Ihrem Standort über den Endpunkt zugreifen können. Anschließend richten Sie eine Instanz von IBM Cloud Logs ein, sodass Prüfprotokolle für alle Endpunkte an Ihrem Satellite-Standort automatisch erfasst werden können.