Zugriff auf eine Anwendung über Cloud Internet Services (CIS) konfigurieren

In diesem Tutorial verwenden IBM Cloud Internet Services Sie ( CIS ), um über das Internet auf eine Anwendung zuzugreifen, die in einer Landing Zone für Anwendungen mit einer Architektur für virtuelle Server bereitgestellt wird. Sie richten die erforderliche Infrastruktur ein und erfahren, wie Sie CIS für den Zugriff auf die Anwendung konfigurieren, die in der implementierbaren Architektur bereitgestellt wird.

CIS stellt die globale Lastausgleichsfunktion, Caching, Webanwendungsfirewall und Seitenregeln bereit, um Ihre Anwendungen zu schützen und deren Zuverlässigkeit und Leistung zu verbessern.

Ziel

  • Weisen Sie einem Bediener den erforderlichen Zugriff für den Zugriff auf die VPC-Umgebung zu, einschließlich der Bereitstellung der Anwendung auf den VSIs, die sich in der Workload-VPC befinden.
  • Machen Sie die Anwendung über eine VPC-Lastausgleichsfunktion im Internet zugänglich, sodass jeder auf die Apps zugreifen kann. Die Lastausgleichsfunktion kann den Datenverkehr auf mehrere Anwendungsserverinstanzen verteilen, die in der VPC (in den Workload-VSIs) ausgeführt werden, und den Datenverkehr nur an Instanzen weiterleiten, die ordnungsgemäß funktionieren.
  • Verwenden Sie, um das TLS-Zertifikat (Transport IBM Cloud Secrets Manager Layer Security) für alle eingehenden HTTPS Anfragen zu verwalten.
  • Konfigurieren Sie Cloud Internet Services (CIS) für den Zugriff auf Ihre Anwendung. IBM Cloud Internet Services, powered by Cloudflare, bietet einen schnellen, hochleistungsfähigen, zuverlässigen und sicheren Internetservice auf IBM Cloud.
  • Verwenden einer globalen Lastausgleichsfunktion zwischen Regionen, um Hochverfügbarkeit zu implementieren, die Ausfallsicherheit zu erhöhen und die Latenz zu verringern

Vorbereitende Schritte

  • Stellen Sie eine Instanz der Landing Zone für Anwendungen mit einer Architektur bereit, die virtuelle Server bereitstellen kann. Weitere Informationen finden Sie unter Bereitstellbare Architektur einer Landing-Zone bereitstellen.
  • Stellen Sie sicher, dass Ihre einsetzbare Architektur für die Landezone über einen funktionierenden virtuellen Server (VSI) verfügt.
  • Erstellen Sie eine Instanz von Cloud Internet Services (CIS) und konfigurieren Sie sie mit einem aktiven Domänennamen. Sie können das Terraform-Modul CIS verwenden, um die Instanz zu erstellen und zu konfigurieren.

Operatorzugriff zuweisen

Da der Netzzugriff auf die VPC landing zone-Topologie gesperrt ist, müssen Sie über die Management-VPC Operatorzugriff auf die VSIs zuweisen.

  1. Überprüfen Sie die Optionen, um Operatorzugriff zuzuweisen.

  2. Führen Sie einen der folgenden Ansätze durch:

In diesem Lernprogramm stellen Sie eine der VSIs in der Management-VPC als "Jump-Box" bereit. Sie greifen auf die Workload-VPC zu und stellen Ihre Anwendung in den Workload-VSIs bereit, die sich in der Workload-VPC befinden.

Weisen Sie jeder VSI, in der Sie Ihre Anwendung bereitstellen, Operatorzugriff zu.

Anwendung in der Workload-VSI bereitstellen

  1. Greifen Sie über die Management-VPC auf die Workload-VSI (z. B. <your_prefix>-workload-server-001) zu.

    1. Greifen Sie auf die ACL der Workload-VPC zu und erstellen Sie eine Regel für eingehende und abgehende Anforderungen, um SSH-Kommunikation (Port 22) für Management-VPC zu aktivieren.
    2. Erstellen Sie in ähnlicher Weise eine Regel für eingehende und abgehende Anforderungen, um SSH in der ACL der Management-VPC für die Workload-VPC zu aktivieren.
    3. Kopieren Sie den SSH-Schlüssel (für die Anmeldung bei Management-VSI) von Ihrem System auf den Management-Server.
    4. Melden Sie sich am Management-Server an und verwenden Sie SSH zur Workload-VSI unter Verwendung der reservierten IP und des SSH-Schlüssels, den Sie zuvor kopiert haben.
    5. Überprüfen Sie, ob Sie bei der Workload-VSI angemeldet sind.

  2. Implementieren Sie die Anwendung.

    Weitere Informationen zur Implementierung der Anwendung finden Sie unter Web-Server auf den virtuellen Serverinstanzen installieren und konfigurieren unter "Isolierte Workloads in mehreren Standorten und Zonen implementieren". Dieses Lernprogramm bezieht sich auf nginx, aber Sie implementieren einen Apache-Server auf der Workload-VSI am Port 80.

    1. Führen Sie die folgenden Befehle aus, um den Apache Server zu installieren:

      apt-get update

      apt-get install apache2 --yes

    2. Führen Sie den folgenden Befehl aus, um die Installation zu überprüfen:

      curl http://localhost:80

  3. Wiederholen Sie diese Schritte, um die Anwendung auf anderen Workload-VSIs zu implementieren.

Zertifikate in Secrets Manager

  1. IBM Cloud Secrets Manager wird verwendet, um das Zertifikat für Ihre Domain zu bestellen oder zu importieren und anschließend zu verwalten. Befolgen Sie die Schritte unter „Sichern mit “ HTTPS, um eine Secrets Manager Instanz zu erstellen und zu autorisieren.

  2. Fügen Sie die Zertifizierungsstelle und den DNS-Provider hinzu:

    1. Öffnen Sie den Service ' Secrets Manager ' und wählen Sie Public Certificates unter 'Secrets engines' aus.
    2. Konfigurieren Sie Ihre Zertifizierungsstelle mit der CA-Engine Let' s Encrypt.
    3. Wählen Sie unter DNS-Provider Ihre Instanz von CIS aus.

  3. Bestellen Sie ein öffentliches Zertifikat in Secrets Manager, wie unter Alternative 1: Proxy, Datenverkehr fließt über CIS.

Öffentliche VPC-Lastausgleichsfunktion zuordnen

Nachdem Ihre Anwendung auf den Workload-VSIs bereitgestellt wurde, konfigurieren Sie die Lastausgleichsfunktion, um den Zugriff auf die App über das öffentliche Internet zuzulassen.

  1. Erstellen Sie eine öffentliche Application Load Balancer for VPC.

    1. Befolgen Sie dieses Lernprogramm, um eine öffentliche VPC-Lastausgleichsfunktion zuzuordnen.
    • Verwenden Sie für den Front-End-Listener das Listenerprotokoll HTTPS, den Port 443 und hängen Sie die Secrets Manager-Instanz sowie die im vorherigen Schritt erstellten öffentlichen Zertifikate an.
    • Führen Sie die Schritte im Abschnitt Sicherheit aktualisieren, um externen Datenverkehr für Port 80 und Port 443 zuzulassen.

  2. Überprüfen Sie den Zugriff.

    1. Rufen Sie den Hostnamen Ihrer Lastausgleichsfunktion ab.
      1. Wechseln Sie zu VPC-Infrastruktur > Lastausgleichsfunktionen
      2. Wählen Sie Ihre Lastausgleichsfunktion aus
    2. Kopieren Sie den Wert von Hostname.
    3. Fügen Sie https://<hostname> in einem Browser ein und überprüfen Sie, ob Ihre App antwortet.

Konfigurieren eines DNS-Datensatzes in der Instanz CIS

Erstellen Sie einen DNS-CNAME-Datensatz, damit Clients Ihre Domäne (z. B. example.com) suchen und xxx-REGION.lb.appdomain.cloud auflösen können.

  1. Öffnen Sie in CISdie Seite Zuverlässigkeit und wählen Sie DNS aus.

  2. Blättern Sie zu DNS-Datensätzen und erstellen Sie einen Datensatz.

    • Typ: CNAME
    • Name: vpc-lb
    • TTL: Automatisch
    • Aliasdomänenname: VPC load balancer hostname.
    • Fügen Sie einen DNS-CNAME-Eintrag für vpc-lb hinzu

  3. Wiederholen Sie diese Schritte, um einen DNS-Datensatz für die andere Region hinzuzufügen.

Greifen Sie über HTTPS auf die Anwendung zu. CIS

Um zu überprüfen, ob die Anwendung über das Internet verfügbar ist, rufen Sie https://vpc-lb.<your_domain> (z. B. https://vpc-lb.example.com) in einem Browser auf.

Erstellen Sie die globale Lastausgleichsfunktion

In diesem Abschnitt konfigurieren Sie CIS, um die Arbeitslast auf Regionen zu verteilen. Sie konfigurieren die globale Lastausgleichsfunktion in der CIS-Instanz für die Verwendung der neuen CNAME-Datensätze.

Bevor Sie die globale Lastausgleichsfunktion erstellen, konfigurieren Sie eine Statusprüfung, um die Verfügbarkeit Ihrer Anwendung zu validieren und Ursprungspools zu definieren, die auf die VPC-Lastausgleichsfunktionen verweisen.

Statusprüfung konfigurieren

Eine Statusprüfung hilft Ihnen dabei, Einblick in die Verfügbarkeit von Pools zu erhalten, damit der Datenverkehr an die Pools in einwandfreiem Zustand weitergeleitet werden kann. Diese Prüfungen senden regelmäßig HTTPS Anfragen und überwachen die Antworten.

  1. Gehen Sie im CIS Dashboard zu Zuverlässigkeit > Globale Load Balancer.
  2. Wählen Sie Statusprüfungen aus und klicken Sie auf Erstellen.
  3. Setze den Namen auf vpc-lb.
  4. Wählen Sie HTTPS für Überwachungstyp aus.
  5. Übernehmen Sie für Port den Standardwert.
  6. Pfad zu festlegen /.
  7. Klicken Sie auf Erstellen.

Ursprungspools definieren

Ein Pool ist eine Gruppe von Ursprungs-VSIs oder Load Balancern, an die der Datenverkehr intelligent weitergeleitet wird, wenn er an einen globalen Load Balancer angeschlossen ist. Sie können standortbasierte Pools definieren und so konfigurieren, dass Benutzer basierend auf dem geografischen Standort der CIS Benutzeranfragen zum nächstgelegenen VPC-Load Balancer umgeleitet werden.

  1. Wählen Sie die Option für Ursprungspools aus und klicken Sie auf Erstellen.
  2. Geben Sie einen Namen für den Pool ein: vpc-lb.
  3. Legen Sie den Ursprungsnamen auf vpc-lb fest.
  4. Setzen Sie Ursprungsadresse auf die neuen CNAME-Datensätze, die Sie zuvor angegeben haben.
  5. Wählen Sie Vorhandene Statusprüfung und anschließend die soeben erstellte Statusprüfung aus.
  6. Wählen Sie eine Statusprüfungsregion aus, die sich in der Nähe Ihres Standorts befindet.
  7. Klicken Sie auf Speichern.
  8. Wiederholen Sie diese Schritte für andere Regionen.

Warten Sie einige Sekunden, bis der Allgemeinzustand Ihres Ursprungspools healthy anzeigt.

Konfigurieren Sie den globalen Load Balancer

Nachdem die Ursprungspools definiert sind, können Sie die Konfiguration des Lastenausgleichs abschließen.

  1. Wählen Sie die Option für Lastausgleichsfunktionen aus und klicken Sie auf Erstellen.
  2. Behalten Sie die Standardwerte für Aktivieren (On) und Proxy (Off) bei.
  3. Geben Sie vpc-lb-glb als Namen für die globale Lastausgleichsfunktion an. Dieser Name bildet die Anfangszeichen in der Unterdomäne für den Zugriff auf Ihre Anwendung (z. B. https://vpc-lb-glb.<your_domain>)
  4. Setzen Sie TTL, Traffic Steering, Sitzungsaffinität auf Einstellungen, die für Ihre Anwendung funktionieren.
  5. Klicken Sie auf Route hinzufügen.
  6. Wählen Sie Region: Default aus.
  7. Wählen Sie den soeben erstellten Ursprungspool aus.
  8. Klicken Sie auf Hinzufügen.
  9. Klicken Sie auf Erstellen.
  10. Rufen https://vpc-lb-glb.<your_domain> Sie (z. B. example.com) in einem Browser auf, um zu überprüfen, ob der globale Load Balancer verfügbar ist.

Lernprogramm erweitern

Sie haben über CISauf Ihre Workload zugegriffen, die in der Landing-Zone bereitgestellt wurde.

Sie können weitere Features wie WAF, DDoS in CIS konfigurieren, um die Sicherheit zu gewährleisten. Weitere Informationen finden Sie in den folgenden Themen: