Ziele

• Sichere Netze innerhalb eines IBM Cloud IaaS-Kontos verknüpfen
• Firewallregeln für den Zugriff zwischen Sites einrichten
• Routing zwischen Sites konfigurieren

1. Sichere private Netze bereitstellen
2. VRF oder VLAN Spanning konfigurieren (VRF wird bevorzugt)
3. IP-Routing zwischen privaten Netzen konfigurieren
4. Firewallregeln für Zugriff auf ferne Sites konfigurieren

Vorbereitende Schritte

Dieses Lernprogramm basiert auf dem Lernprogramm Workloads mit einem sicheren privaten Netz isolieren. Dieses andere Lernprogramm und die entsprechenden Voraussetzungen sollten vor Beginn geprüft werden.

Sichere private Netzsites konfigurieren

Das Lernprogramm Workloads mit einem sicheren privaten Netz isolieren wird zweimal verwendet, um private Netze in zwei verschiedenen Rechenzentren zu implementieren. Es gibt keine Einschränkung in Bezug darauf, welche beiden Rechenzentren verwendet werden können, abgesehen davon, dass die latenzbedingte Beeinträchtigung des Datenverkehrs und der Workloads, die zwischen den Sites übertragen werden, berücksichtigt werden sollte.

Das Lernprogramm Workloads mit einem sicheren privaten Netz isolieren kann ohne Änderung für jedes ausgewählte Rechenzentrum befolgt werden. Notieren Sie dabei jedoch die folgenden Informationen für spätere Schritte.

1. Fahren Sie mit der Seite 'Gateway-Details' für jede VRA über die Seite Gateway-Appliances fort.
2. Suchen Sie den Abschnitt für Gateway-VLANs auf und klicken Sie auf 'Gateway VLAN' im privaten Netz, um die VLAN-Details anzuzeigen. Der Name sollte die ID bcrxxx (für 'Back-End-Kundenrouter') enthalten und die Form nnnxx.bcrxxx.xxxx haben.
3. Die eingerichtete VRA wird im Abschnitt Geräte angezeigt. Notieren Sie sich unter dem Abschnitt Teilnetze die IP-Adresse und die Angabe für CIDR (/26) des privaten VRA-Teilnetzes. Das Teilnetz hat den primären Typ mit 64 IP-Adressen. Diese Details werden später für die Routing-Konfiguration benötigt.
4. Suchen Sie ebenfalls auf der Seite für Gateway-Details den Abschnitt Zugeordnete VLANs auf und klicken Sie auf das VLAN im privaten Netz, das zugeordnet wurde, um das sichere Netz und die APP-Zone zu erstellen.
5. Die eingerichtete VSI wird im Abschnitt Geräte angezeigt. Notieren Sie sich unter dem Abschnitt Teilnetze die IP-Adresse und die Angabe für CIDR (/26) des VSI-Teilnetzes, da diese für die Routingkonfiguration erforderlich sind. Dieses VLAN und Subnetz wird in beiden VRA-Firewall-Konfigurationen als APP-Zone identifiziert und als <APP Zone subnet/CIDR> aufgezeichnet.

Back-End-Netzkonnektivität konfigurieren

Standardmäßig können Server (und VRAs) in verschiedenen VLANs und Rechenzentren über das private Netz nicht miteinander kommunizieren. In diesen Lernprogrammen werden VRAs in einem einzelnen Rechenzentrum dazu verwendet, VLANs und Teilnetze mit klassischem IP-Routing und Firewalls zu verknüpfen, um ein privates Netz für die Serverkommunikation über VLANs hinweg zu erstellen. Obwohl sie innerhalb desselben Rechenzentrums kommunizieren können, sind Server, die zu demselben IBM Cloud-Konto gehören, in dieser Konfiguration nicht in der Lage, über Rechenzentren hinweg zu kommunizieren.

VLANs, die VRAs zugeordnet sind, können nur über ihre zugeordnete VRA kommunizieren, wie durch die VRA-Firewall und die Routing-Konfiguration festgelegt. VRAs, deren Eigner ein IBM Cloud-Konto ist, sind über das private Netz verbunden und können kommunizieren.

VLANs, die nicht mit den von den VRAs geschaffenen sicheren privaten Netzen verbunden sind, ermöglichen die Zusammenschaltung dieser "nicht verbundenen" VLANs zwischen den Rechenzentren. Dies schließt die VRA-Gateway-VLANs (Übertragung) ein, die zu demselben IBM Cloud-Konto in verschiedenen Rechenzentren gehören. Dadurch können VRAs über Rechenzentren hinweg kommunizieren, wenn die Backend-Netzwerkkonnektivität aktiviert ist. Mit der VRA-zu-VRA-Konnektivität wird die Verbindung von Servern durch die VRA-Firewall- und VRA-Routing-Konfiguration innerhalb des sicheren Netzes eingerichtet.

Überprüfen Sie Ihr Konto, um VRF oder VLAN Spanning zu aktivieren. Nur eine dieser Optionen kann aktiviert werden und VRF wird bevorzugt. Informationen dazu, ob VRF aktiviert ist, finden Sie unter VRF und Serviceendpunkte aktivieren. Siehe VLAN-Spanning, um festzustellen, ob VLAN-Spanning aktiviert ist.

Vergewissern Sie sich, dass die beiden VRAs jetzt kommunizieren können.

Melden Sie sich bei der VRA von Rechenzentrum 1 an und prüfen Sie die Verbindung zur VRA von Rechenzentrum 2 mit Ping.

SSH vyatta@<DC1 VRA Private IP Address>
ping <DC2 VRA Private IP Address>

Melden Sie sich bei der VRA von Rechenzentrum 2 an und prüfen Sie die Verbindung zur VRA von Rechenzentrum 1 mit Ping.

SSH vyatta@<DC2 VRA Private IP Address>
ping <DC1 VRA Private IP Address>

IP-Routing für VRAs konfigurieren

Erstellen Sie das VRA-Routing in jedem Rechenzentrum, um die VSIs in den APP-Zonen in beiden Rechenzentren für die Kommunikation einzurichten.

1. Erstellen Sie eine statische Route in Rechenzentrum 1 zum privatem Teilnetz der APP-Zone in Rechenzentrum 2 im VRA-Bearbeitungsmodus.

   ssh vyatta@<DC1 VRA Private IP Address>
   conf
   set protocols static route <DC2 APP zone subnet/CIDR>  next-hop <DC2 VRA Private IP>
   commit
   

2. Erstellen Sie eine statische Route in Rechenzentrum 2 zum privatem Teilnetz der APP-Zone in Rechenzentrum 1 im VRA-Bearbeitungsmodus.

   ssh vyatta@<DC2 VRA Private IP Address>
   conf
   set protocols static route <DC1 APP zone subnet/CIDR>  next-hop <DC1 VRA Private IP>
   commit
   

3. Überprüfen Sie die VRA-Routing-Tabelle über die VRA-Befehlszeile. Zu diesem Zeitpunkt können die VSIs nicht miteinander kommunizieren, da keine Firewallregeln für die APP-Zone vorhanden sind, um den Datenverkehr zwischen den beiden APP-Zonenteilnetzen zuzulassen. Damit Datenverkehr auf einer der beiden Seiten initiiert werden kann, sind entsprechende Firewallregeln erforderlich.

   show ip route
   

Die neue Route, die die Kommunikation der APP-Zone über das private IBM Netz ermöglicht, wird jetzt angezeigt.

VRA-Firewallkonfiguration

Die vorhandenen Firewallregeln für die APP-Zone werden nur konfiguriert, um Datenverkehr in dieses Teilnetz und aus diesem Teilnetz an IBM Cloud-Services im privaten IBM Cloud-Netz sowie für den öffentlichen Internetzugriff über NAT zuzulassen. Andere Teilnetze, die VSIs über diese VRA zugeordnet werden oder die sich in anderen Rechenzentren befinden, werden blockiert. Der nächste Schritt besteht darin, die Ressourcengruppe ibmprivate, die der Firewallregel APP-TO-INSIDE zugeordnet ist, zu aktualisieren, um den Zugriff auf das Teilnetz in dem anderen Rechenzentrum explizit zuzulassen.

1. Fügen Sie im VRA-Bearbeitungsmodus von Rechenzentrum 1 das Subnetz /CIDR zur Ressourcengruppe ibmprivate hinzu

   set resources group address-group ibmprivate address <DC2 APP zone subnet/CIDR>
   commit
   

2. Fügen Sie im VRA-Bearbeitungsmodus von Rechenzentrum 2 das Subnetz /CIDR zur Ressourcengruppe ibmprivate hinzu

   set resources group address-group ibmprivate address <DC1 APP zone subnet/CIDR>
   commit
   

3. Vergewissern Sie sich, dass die VSIs in beiden Rechenzentren jetzt kommunizieren können:

   ping <Remote Subnet Gateway IP>
   ssh root@<VSI Private IP>
   ping <Remote Subnet Gateway IP>
   

   Wenn die VSIs nicht kommunizieren müssen, führen Sie die Anweisungen im Lernprogramm Workloads mit einem sicheren privaten Netz isolieren aus, um den Datenverkehr über die Schnittstellen zu überwachen und die Firewallprotokolle zu prüfen.

Ressourcen entfernen

Mit den folgenden Schritten können Sie die in diesem Lernprogramm erstellten Ressourcen entfernen.

Die VRA wird mit einem monatlichen Preisstrukturplan bereitgestellt. Bei einer Kündigung wird keine Erstattung geleistet. Eine Kündigung wird nur empfohlen, wenn die betreffende VRA im Folgemonat nicht mehr benötigt wird. Wenn ein Hochverfügbarkeitscluster mit zwei VRAs erforderlich ist, kann für die bestehende einzelne VRA ein Upgrade auf der Seite Gateway-Details durchgeführt werden.

1. Kündigen Sie alle virtuellen Server oder Bare-Metal-Server.
2. Kündigen Sie die VRA.

Lernprogramm erweitern

Dieses Lernprogramm kann in Verbindung mit dem Lernprogramm VPN in ein sicheres privates Netz verwendet werden, um beide sicheren Netze mit dem fernen Netz eines Benutzers über ein IPsec-VPN zu verbinden. VPN-Verbindungen können zu beiden sicheren Netzen eingerichtet werden, um die Ausfallsicherheit des Zugriffs auf die IBM Cloud IaaS-Plattform zu erhöhen. Beachten Sie, dass IBM keine Weiterleitung von Benutzerdatenverkehr zwischen Clientrechenzentren über das private IBM Netz zulässt. Die Routing-Konfiguration zur Vermeidung von Netzschleifen liegt außerhalb des Rahmens dieses Lernprogramms.

Zugehörige Informationen

1. VRF ist für alle Clients obligatorisch, die IBM Cloud® Direct Link verwenden. Übersicht über VRF (Virtual Routing and Forwarding) in IBM Cloud
2. Das IBM Cloud-Netzwerk