Datenschutz

• Verbindungen zu und von einem IBM Cloud Transit Gateway im privaten IBM-Netz sind nicht im öffentlichen Internet zugänglich, wodurch die Kosten für öffentliche Egress-und VPN-Verbindungen reduziert und Sicherheitsbedrohungen reduziert werden.

• IBM Cloud Transit Gateway ist ein vollständig redundanter, fehlertoleranter Service ohne Single Point of Failure in diesen IBM Cloud-Regionen mit mehreren Zonen (MZR).

Sicherheit und Zugriffsverwaltung

IBM Cloud Transit Gateway wird in Identity and Access Management (IAM) integriert, sodass Sie den Zugriff auf Ihr Transit-Gateway verwalten können. Mit IAM können Sie IBM Cloud-Benutzer und -Gruppen erstellen und verwalten und für diese Benutzer und Gruppen Benutzerberechtigungen erstellen und verwalten, um ihnen den Zugriff zu gewähren oder zu verweigern.

Routing

IBM Cloud Transit Gateway unterstützt das lokale und globale Routing zwischen VPCs und der klassischen IBM Cloud-Infrastruktur. Alle Routing-Optionen bleiben innerhalb der privaten IBM Cloud-Infrastruktur, ohne das öffentliche Internet zu nutzen, und sind auf Leistung optimiert. IBM Cloud Transit Gateway bietet Kunden mehr Flexibilität, Redundanz und Geschwindigkeit bei der Skalierung ihrer Workloads sowie bei der Verbindung isolierter Netzwerke, die auf IBM Cloud laufen.

Bei globalen Routing-Bereitstellungen können Sie optional Redundanzgruppen konfigurieren, damit mehrere Transit-Gateways in verschiedenen Regionen das Routing-Verhalten gemeinsam nutzen können. Diese Konfiguration verbessert die Ausfallsicherheit, indem sie den Datenverkehr auch dann aufrechterhält, wenn eine Region nicht mehr verfügbar ist, und dazu beiträgt, die Routing-Pfade zwischen Netzwerken zu optimieren.

Redundanzgruppen für hohe Verfügbarkeit

Mit Redundanzgruppen können Sie mehrere globale Transit-Gateways über verschiedene Regionen hinweg bereitstellen, die gemeinsam als eine einzige logische Routing-Domäne fungieren.

Wenn Transit-Gateways Teil derselben Redundanzgruppe sind:

• Sie nutzen ein regionenübergreifendes Routing-Verhalten.
• Verbundene Netzwerke können über mehrere Gateways kommunizieren.
• Der Datenverkehr kann auch dann weiterfließen, wenn eine Region nicht mehr verfügbar ist.
• Das Routing könnte Gateways bevorzugen, die näher am Quellnetzwerk liegen.

Diese Konfiguration erweitert das globale Routing und bietet zusätzliche Ausfallsicherheit und Flexibilität für regionenübergreifende Netzwerkdesigns.

Eine Redundanzgruppe wird bei der Erstellung eines Transit-Gateways durch die Zuweisung eines gemeinsamen Gruppennamens definiert. Transit-Gateways mit demselben Gruppennamen werden automatisch derselben Redundanzgruppe zugeordnet.

Um Redundanz zu erreichen, müssen Sie an jedem Transit-Gateway in der Gruppe dieselben Netzwerkverbindungen konfigurieren.

Präfixfilterung

IBM Cloud Transit Gateway Unterstützt die Präfixfilterung bei Verbindungen, sodass Sie steuern können, welche Routen zu und von jedem verbundenen Netzwerk angekündigt werden. Sie können bestimmte Präfixe zulassen oder ablehnen, um eine unbeabsichtigte Routenverbreitung zu verhindern und das Risiko von Routing-Konflikten zu verringern. Weitere Informationen finden Sie unter Präfixfilter hinzufügen und löschen.

Routenberichte

IBM Cloud Transit Gateway Stellt Routenberichte bereit, die alle einem Transit-Gateway über seine Verbindungen bekannten Routen anzeigen. Mit Routenberichten können Sie die Konnektivität überprüfen, sich überschneidende Präfixe identifizieren und Routing-Probleme beheben, bevor sie den Datenverkehr beeinträchtigen. Weitere Informationen finden Sie unter Erstellen eines Routenberichts.

Optimierter Datenverkehr und Fehlertoleranz

Transit Gateway ist ein regionaler Dienst, der Router in jeder Verfügbarkeitszone einsetzt. In einer typischen Konfiguration versuchen virtuelle Serverinstanzen, miteinander zu kommunizieren, wenn sie über verschiedene VPCs hinweg bereitgestellt werden. Der Datenverkehr zwischen VPCs bleibt innerhalb derselben Zone, was ein effizientes lokales Routing und eine optimierte Datenübertragung gewährleistet.

Dieses Standardverhalten gilt auch bei der Verwendung einer Transit-VPC und der Werbung für statische Routen von einer VPC zur Werbung für dasselbe Präfix in allen Zonen. Selbst wenn Firewalls innerhalb der VPCs bereitgestellt werden (was zu doppelten Firewalls in den anderen angekündigten Zonen führt), wird der Datenverkehr weiterhin über das Transit-Gateway in der jeweiligen Zone geleitet. Dieses Routing-Verhalten stellt sicher, dass der Datenverkehr über das Transit-Gateway derselben Zone zurückgeführt wird, wodurch das Routing innerhalb derselben Zone aufrechterhalten wird. VPCs priorisieren in der Regel das Transit-Gateway innerhalb ihrer Zone, wodurch der zonübergreifende Datenverkehr minimiert wird.

Bei einem Zonenausfall, beispielsweise wenn ein Transit-Gateway in einer Zone ausfällt (was auf den Ausfall aller Router der Zone zurückzuführen ist), kann es zu einer Unterbrechung der Kommunikation kommen. In solchen Fällen kann der Datenverkehr anders geleitet werden, wobei der Datenverkehr in einer Richtung über einen alternativen Pfad gesendet wird, während die Antwort möglicherweise über eine andere Route zurückkommt. Im Allgemeinen bleibt der VPC-Verkehr jedoch in der Regel innerhalb derselben Zone.

Bei regionenübergreifenden Bereitstellungen erweitern Redundanzgruppen diese Ausfalltoleranz, indem sie ein Failover des Datenverkehrs auf Transit-Gateways in anderen Regionen ermöglichen.

Einfache systemgrenzenübergreifende Verbindungen

IBM Cloud Transit Gateway verbindet Ihre IBM Cloud-VPCs mit Rechenressourcen und klassischen Ressourcen auf der ganzen Welt. Sie können auch VPCs und klassische Ressourcen über IBM Cloud Konten hinweg miteinander verbinden.

IBM Cloud Transit Gateway unterstützt die Verwendung von Generic Routing Encapsulation (GRE)-Tunneln zur Verbindung von Endpunkten. GRE-Tunnel ermöglichen es dem Transit-Gateway, eine Verbindung zu Overlay-Netzwerken herzustellen, die auf klassischen Infrastrukturressourcen gehostet werden, um spezifische Anwendungsfälle abzudecken.

Wenn die erweiterte GRE-Routenweitergabe aktiviert ist, teilen sich alle GRE-Tunnel, die mit demselben Transit-Gateway verbunden sind, Routen und können zonübergreifend kommunizieren. Wenn diese Einstellung deaktiviert ist, kann kein Netzwerkverkehr zwischen ungebundenen GRE-Tunneln in verschiedenen Zonen oder zwischen Tunneln innerhalb redundanter GREs ausgetauscht werden. Weitere Informationen finden Sie unter „ GRE-Tunnel “.

Direct Link-Konnektivität

IBM Cloud Transit Gateway unterstützt Direct-Link-Verbindungen. Durch Verbindung von Direct Link mit Ihrem IBM Cloud Transit Gateway lokalen Netz wird Zugriff auf alle Netze gewährt, die auf dem Transitgateway verbunden sind. Ebenso haben alle anderen Verbindungen am Transit-Gateway Zugriff auf Ihr Netzwerk. Wie bei anderen Netzverbindungen zum IBM Cloud Transit Gateway müssen besondere Überlegungen zur Vermeidung von IP-Überschneidungsfragen getroffen werden. Weitere Informationen finden Sie unter Mit überlappenden VPC-Präfixen und Teilnetzen der klassischen Infrastruktur arbeiten.

VPN-Gateway-Konnektivität

IBM Cloud Transit Gateway Unterstützt VPN-Gateway-Verbindungen, sodass lokale oder externe Netzwerke über sichere IPsec-Tunnel eine Verbindung zu anderen Netzwerken in der IBM Cloud herstellen können. Das VPN-Gateway fungiert als Spoke innerhalb der Transit-Gateway-Architektur und nutzt dynamisches Routing mit eBGP über redundante GRE-Tunnel, um eine skalierbare und ausfallsichere Konnektivität zu gewährleisten. Weitere Informationen finden Sie unter Hinweise zur VPN-Gateway-Verbindung.

Power Virtual Server Konnektivität

IBM Cloud Transit Gateway unterstützt Power Virtual Server Verbindungen. Durch die Verbindung einer Power Virtual Server-Instanz mit Ihrem IBM Cloud Transit Gateway-Netzwerk erhalten Sie Zugriff auf alle Netzwerke, die über das Transit-Gateway verbunden sind. Ebenso haben alle anderen Verbindungen am Transit-Gateway Zugriff auf Ihr Netzwerk. Wie bei anderen Netzverbindungen zum IBM Cloud Transit Gateway müssen besondere Überlegungen zur Vermeidung von IP-Überschneidungsfragen getroffen werden. Weitere Informationen finden Sie unter Mit überlappenden VPC-Präfixen und Teilnetzen der klassischen Infrastruktur arbeiten.