目標

• 瞭解用於管理所有 VPC 至 VPC 資料流量的 VPC 型中心及輪輻模型背後的概念。
• 瞭解 VPC 入口和出口遞送。
• 識別並選擇性地解決非對稱遞送問題。
• 瞭解將網路負載平衡器用於高可用性及可調式防火牆路由器。
• 使用 DNS 服務遞送及轉遞規則來建置架構上健全的名稱解析系統。

開始之前

本指導教學需要:

• terraform : 使用「基礎架構即程式碼」來佈建資源，
• python 以選擇性地執行 pytest 指令，
• 實作防火牆路由器將需要您 啟用 IP 盜用檢查，

如需一些選項 (包括 Dockerfile)，以輕鬆建立必備環境，請參閱 必要條件。

此外：

• 檢查使用者許可權。 請確定您的使用者帳戶具有足夠許可權來建立及管理本指導教學中的所有資源。 請參閱下列項目的清單:
  • VPC 的必要許可權。
  • 建立 Transit Gateway 的必要許可權。
  • IP 盜用檢查的必要許可權。
  • 管理授權的必要許可權。

第一部分摘要

在本指導教學的 第一部分 中，我們仔細規劃了傳輸和輪輻 VPC 的位址空間。 區域型架構如下所示:

此圖顯示車流。 Only the enterprise <-> spoke is passing through the firewall:

這是透過 Direct Link、Transit Gateway 及 VPC 遞送來達成。 所有區域都以類似方式配置，下圖顯示區域 1 的詳細資料:

CIDR 10.1.0.0/16 涵蓋運輸及輪輻，並透過 Direct Link 傳遞至企業作為通告路徑。 同樣地，CIDR 192.168.0.0/24 涵蓋企業，並透過 Transit Gateway 傳遞至輪輻作為通告路徑。

輪輻中的 Egress 路徑會將資料流量遞送至防火牆路由器。 Ingress routes in the transit route enterprise <-> spoke traffic through the firewall-router.

佈建起始 VPC 資源，透過防火牆-路由器遞送所有內部 VPC 資料流量

企業通常使用 Transit VPC 透過防火牆路由器來監視資料流量。 In part one only enterprise <-> spoke traffic was flowing through the transit firewall-router. 本節說明如何透過防火牆路由器將所有 VPC 遞送至 VPC 資料流量。

此圖顯示在此步驟中實作的交通流:

VPC 之間的所有資料流量都將流經防火牆路由器:

• enterprise <-> spoke.
• enterprise <-> transit.
• transit <-> spoke.
• spoke <-> spoke in different VPC.

VPC 內的資料流量將不會流經防火牆。

如果從第一部分繼續，請特別記下 terraform.tfvars: all_firewall = true 中的配置。

修正跨區域遞送

如先前所述，為了讓系統在區域故障時具有復原力，最好消除跨區域資料流量。 如果需要跨區域支援，則可以新增其他輸出路徑。 此圖顯示輪輻 0 至輪輻 1 資料流量的問題:

綠色路徑是發送端輪輻 0 區域 2 10.2.0.4 遞送至輪輻 1 區域 1 10.1.1.4的範例。 相符的輸出路徑為:

區域	目的地	下一個中繼站
達拉斯 2	10.0.0.0/8	10.2.15.196

選取圖表中間區域 (區域 2) 中的防火牆路由器，由左至右移動。 在傳回路徑區域 1 上已選取。

若要修正此問題，需要新增一些更具體的路徑，以強制較高號碼區域在指定較低區域號碼目的地時遞送至較低區域號碼防火牆。 當參照相同或更高編號的區域時，會繼續遞送至相同區域中的防火牆。

每個分支的預設出口路由表中的路由（針對達拉斯/美國南部顯示）：

區域	目的地	下一個中繼站
達拉斯 2	10.1.0.0/16	10.1.15.196達拉斯 3

These routes are also going to correct a similar transit <--> spoke cross zone asymmetric routing problem. 考量運輸工作者 10.1.15.4-> 輪輻工作者 10.2.0.4。 來自區域 1 中的傳輸工作者節點的資料流量將選擇區域 1 (相同區域) 中的防火牆路由器。 在返回行程上，將使用區域 2 (相同區域) 中的防火牆路由器，現在將使用區域 1 中的防火牆路由器。

1. 套用 all_firewall_asym 層:

   ./apply.sh all_firewall_asym_tf
   

2. 執行測試套組。

   您的預期結果是： 所有測試透過，並行運行它們(-n 10）：

   pytest -n 10 -m curl
   

VPC 之間的所有資料流量現在都透過防火牆路由器遞送。

高效能高可用性 (HA) 防火牆-路由器

若要防止防火牆路由器變成效能瓶頸或單一失敗點，可以新增 VPC 網路負載平衡器，將資料流量配送至區域防火牆路由器，以建立高可用性、HA 防火牆路由器。 請檢查您的防火牆路由器文件，以驗證它是否支援此架構。

此圖顯示在 路由模式 中配置「網路負載平衡器 (NLB)」並在兩個防火牆路由器前面的單一區域。 若要查看此建構，需要變更配置並重新套用。

1. 在 config_tf/terraform.tfvars: 中變更這兩個變數

   firewall_nlb                 = true
   number_of_firewalls_per_zone = 2
   

   此變更會導致防火牆路由器的 IP 位址從先前使用的防火牆路由器實例變更為 NLB 的 IP 位址。 IP 位址變更需要套用至傳輸及分支 VPC 中的許多 VPC 路由表路由。 最好套用先前套用的所有層:

2. 透過 all_firewall_asym_tf 層套用所有層:

   ./apply.sh : all_firewall_asym_tf
   

觀察所做的變更:

1. 開啟 VPC 的負載平衡器。
2. 選擇區域 1 (Dallas 1/us-south-1 ) 中的負載平衡器，其後綴為 fw-z1-s3。
3. 請注意 專用 IP。

將「專用 IP」與 Transit VPC Ingress Route 表格中的 IP 進行比較:

1. 開啟 虛擬私有雲。
2. 選取 Transit VPC。
3. 按一下 管理遞送表。
4. 按一下 tgw-ingress 遞送表。 請注意 下一個中繼站 IP 位址符合其中一個 NLB 專用 IP

驗證備援:

1. 執行輪輻 0 區域 1 測試:

   pytest -k r-spoke0-z1 -m curl
   

2. 開啟 VPC 的虛擬伺服器實例
3. 透過指定不容許入埠連接埠 80 的安全群組，停止流向 0 防火牆實例的資料流量。 尋找字尾為 fw-z1-s3-0 的實例，然後開啟詳細資料視圖:
   1. 向下捲動並按一下 網路介面 旁邊的鉛筆編輯
   2. 取消勾選 x-fw-inall-outall
   3. 檢查 x-fw-in22-outall
   4. 按一下儲存
4. 再次執行 pytest。 它將指出失敗。 NLB 停止將資料流量遞送至無回應實例需要幾分鐘的時間，此時所有測試都會通過。 繼續等待並執行 pytest，直到所有測試都通過為止。

不再需要 NLB 防火牆。 移除 NLB 防火牆:

1. 在 config_tf/terraform.tfvars: 中變更這兩個變數

   firewall_nlb                 = false
   number_of_firewalls_per_zone = 1
   

2. 透過 all_firewall_asym_tf 層套用所有層:

   ./apply.sh : all_firewall_asym_tf
   

關於在遞送模式中配置 NLB 的附註

NLB 路由模式將重寫路由表項目-在失效接手期間一律保留路由表中的作用中 NLB 應用裝置 IP 位址。 但只有包含 NLB 的 Transit VPC 中的路由才會這麼做。 分支具有已使用其中一個 NLB 應用裝置 IP 起始設定的輸出路徑。 將不會在 NLB 應用裝置失效接手上更新輪輻下一個中繼站!

需要在 Transit VPC 中維護入口路徑，NLB 將重新編寫以反映作用中應用裝置。 輪輻輸出路徑會將封包遞送至傳輸 VPC 的正確區域。 在 Transit VPC 區域內遞送將會找到包含作用中應用裝置的相符入口規則。

以下是先前討論的 Transit VPC Ingress Route 表格。 下一個躍點將與作用中 NLB 應用裝置保持最新。 請注意，Dallas 3 具有由 NLB 路由模式服務寫入的更改，以反映活動設備。

NLB 需要建立 IAM 授權，以容許 NLB 寫入 VPC。 此授權由 apply.sh Script 建立。 如需 Script 所執行配置的詳細資料，請參閱 使用遞送模式建立網路負載平衡器。

路由模式 NLB 儲存區必須配置成將 階段作業持續性類型 設為空值。

DNS

IBM Cloud DNS Services 服務用來將名稱轉換為 IP 位址。 在此範例中，會在雲端中建立 DNS 服務。 即會建立 DNS 區域 cloud.example.com，並將 Transit VPC 新增為允許的網路。 雲端實例的 DNS 記錄會新增至 cloud.example.com。 例如，在區域 1 中為輪輻 0 工作者建立了完整名稱 spoke0-z1-worker.cloud.example.com的 A 記錄。

檢閱 關於 VPE 閘道的 DNS 共用。 Transit VPC 已啟用為 DNS 中心。 每一個輪輻 VPC 都配置有與 Transit VPC 中心的 DNS 解析連結。 這會將 DNS 伺服器的輪輻 VPC DHCP 設定配置成傳輸 VPC 自訂解析器。

./apply.sh dns_tf

pytest -n 10 -m dns

虛擬專用端點閘道

VPC 容許透過 Virtual Private Endpoint (VPE) for VPC 對 IBM Cloud Services 進行專用存取。 VPE 閘道容許透過標準 IBM Cloud VPC 控制項進行細晶網路存取控制:

• Security Groups.
• VPC 網路存取控制清單。
• 路由表和路由。

會為每一個 VPC VPE 閘道建立 DNS 區域。 DNS 區域會自動新增至與 VPC 相關聯的專用 DNS 服務。 每一個輪輻 VPC 都具有對傳輸 VPC 的 DNS 配置 bound。 這可讓輪輻 VPE DNS 區域與傳輸 VPC 共用。

1. 套用 vpe_transit_tf 及 vpe_agres_tf 層，以建立 IBM Cloud Databases for PostgreSQL 實例及 VPE，以用於傳輸及每一個輪輻 VPC:

   ./apply.sh vpe_transit_tf vpe_spokes_tf
   

2. pytest Script 中有一組 vpe 和 vpedns 測試。 vpedns 測試將驗證 Databases for PostgreSQL 實例的 DNS 名稱是否位於含括 VPC 的專用 CIDR 區塊內。 vpe 測試將執行 psql 指令以從遠端存取 Databases for PostgreSQL 實例。 從輪輻 0 區域 1 測試 vpe 及 vpedns:

   • 所有測試通過的預期結果

   pytest -m 'vpe or vpedns' -k spoke0-z1
   

本指導教學中的所有測試現在都應該通過。 有不少。 平行執行它們:

pytest -n 10

生產說明和結論

IBM Cloud for Financial Services 的 VPC 參考架構 有更多關於在 IBM Cloud中保護工作量安全的詳細資料。

要進行的一些明顯變更:

• 選擇 CIDR 區塊是為了清楚且易於解釋。 「多區域地區」中的「可用性區域」可以是 10.1.0.0/10、10.64.0.0/10、10.128.0.0/10，以節省位址空間。 同樣地，工作者節點的位址空間可以擴充，但會犧牲防火牆、DNS 及 VPE 空間。
• 應該仔細考量工作者 VSI、虛擬專用端點閘道、DNS 位置及防火牆的每一個網路介面的安全群組。
• 應該仔細考量每一個子網路的「網路存取控制清單」。
• 浮動 IP 已連接至所有測試實例，以支援透過 SSH 進行連線功能測試。 在正式作業中，這是不需要或不需要的。
• 實作環境定義型限制 規則，以進一步控制對所有資源的存取權。

在本指導教學中，您已建立中心 VPC 及一組輪輻 VPC。 您透過 Transit VPC 防火牆路由器遞送所有跨 VPC 資料流量。 已為傳輸 VPC 中心建立 DNS 服務，且每一個分支 VPC 都已 DNS 連結至傳輸 VPC。

移除資源

使用 ./apply.sh 指令，以相反順序在所有目錄中執行 terraform destroy :

./apply.sh -d : :

擴展指導教學

您的架構可能與所呈現的架構不同，但可能是從這裡所討論的基本元件來建構。 展開本指導教學的構想:

• 使用 IBM Cloud® Internet Services 整合送入的公用網際網路存取。
• 在運輸中新增 Flow Logs for VPC capture。
• 將每一個輪輻放入 企業 中的個別帳戶。
• 強制部分輪輻資料流量通過防火牆，部分輪輻資料流量未通過防火牆。
• 將工作者 VSI 取代為 Red Hat OpenShift on IBM Cloud 及 VPC 負載平衡器。
• 強制所有出埠資料流量通過 Transit VPC 中的防火牆並透過 公用閘道。

相關內容

• IBM Cloud for Financial Services
• 如何跨多個位置和地區部署隔離的工作負載
• Virtual Private Cloud 中的公用前端及專用後端，
• 網路功能虛擬化
• 具有透通 VNF 及輪輻對輪輻資料流量的專用中心及輪輻