Öffentliches Netz

IBM Cloud-Rechenzentren und -Netzbereitstellungspunkte haben mehrere Verbindungen mit 1 oder 10 Gb/s zu den Transit- und Peernetzbetreibern der höchsten Ebene. Netzverkehr aus beliebigen Teilen der Welt wird mit dem jeweils nächsten Netzbereitstellungspunkt verbunden und fließt durch das Netz direkt zum betreffenden Rechenzentrum. Auf diese Weise wird die Anzahl der Netzhops und Weitergaben zwischen Anbietern minimiert.

Im Rechenzentrum stellt IBM Cloud eine Netzbandbreite von 1 oder 10 Gb/s für einzelne Server durch ein Paar aus separaten, auf Peerebene zusammengefassten Front-End-Kundenswitches (FCS - Front-end Customer Switch) bereit. Diese zusammengefassten Switches sind mit einem Paar aus separaten Routern (FCR - Front-end Customer Router) für L3-Netzbetrieb verbunden.

Dieses mehrschichtige Design bietet dem Netz die Möglichkeit, in einem IBM Cloud-Rechenzentrum rack-, reihen- und podübergreifend zu skalieren.

Privates Netz

Alle IBM Cloud-Rechenzentren und Bereitstellungspunkte (PoPs) werden durch den privaten Netzbackbone verbunden. Dieses private Netz ist vom öffentlichen Netz getrennt und ermöglicht Konnektivität zu Services in IBM Cloud-Rechenzentren auf der ganzen Welt. Die Datenübertragung zwischen IBM Cloud-Rechenzentren erfolgt über mehrere Verbindungen mit 10 oder 40 Gb/s, die zum privaten Netz bestehen.

Ähnlich wie das öffentliche Netz ist das private Netz mehrstufig, da Server und andere Infrastrukturkomponenten mit aggregierten Back-End-Kunden-Switches (BCS) verbunden sind. Diese zusammengefassten Switches sind mit einem Paar aus separaten Back-end-Kundenroutern (BCR - Back-end Customer Router) für L3-Netzbetrieb verbunden. Das private Netz unterstützt zudem die Möglichkeit, für physische Hostverbindungen Jumbo-Frames (MTU 9000) zu verwenden.

Managementnetz

Zusätzlich zu den öffentlichen und privaten Netzen ist jeder IBM Cloud-Server für die Verwaltung mit dem privaten primären Netzteilnetz verbunden. Diese Verbindung ermöglicht IPMI-Zugriff auf den Server unabhängig von seiner CPU-, Firmware- und Betriebssystem-Verwaltung zu Wartungs- und Verwaltungszwecken.

Primäre und portierbare IP-Blöcke

IBM Cloud ordnet zwei Typen von IP-Adressen zur Verwendung in der IBM Cloud-Infrastruktur zu:

• Primäre IP-Adressen werden Einheiten (Geräten), Bare-Metal- und virtuellen Servern zugeordnet, die von IBM Cloud bereitgestellt werden. Weisen Sie keine IP-Adressen in diesen Blöcken manuell zu.
• Portierbare IP-Adressen werden zur Verfügung gestellt, die Sie nach Bedarf zuweisen und verwalten können. Die IBM Cloud for VMware Regulated Workloads-Automatisierung stellt mehrere portierbare IP-Bereiche zur eigenen Verwendung zur Verfügung. Verwenden Sie nur die portablen IP-Adressbereiche, die bestimmten NSX-Komponenten zugewiesen und für die Verwendung durch SaaS Provider angegeben sind.

Primäre oder portierbare IP-Adressen können an ein beliebiges VLAN in Ihrem Konto weiterleitbar gemacht werden, wenn das Konto als VRF-Konto (VRF - Virtual Routing and Forwarding) konfiguriert wurde.

Virtual Routing and Forwarding

Das IBM Cloud-Infrastrukturkonto muss als VRF-Konto (Virtual Routing and Forwarding) konfiguriert sein. Dadurch wird das automatische globale Routing zwischen Teilnetz-IP-Blöcken aktiviert. Alle Konten mit direkten Verbindungen (Direct-Link) müssen in VRF-Konten konvertiert oder als solche erstellt werden.

Da verschiedene Konnektivitäts- und Netzwerk-Routing-Optionen voraussetzen, dass sich das IBM Cloud Konto im VRF-Modus befindet, wird empfohlen, dass sich das Konto im VRF-Modus befindet, bevor Sie die Regulated Workloads bereitstellen.

Physische Hostverbindungen

Jeder physische Host in diesem Design verfügt über zwei redundante Paare von Ethernet-Verbindungen mit 10 Gb/s zu jedem (öffentlichen und privaten) IBM Cloud Top of Rack-Switch (ToR-Switch). Die Adapter sind als einzelne Verbindungen (ohne Bonding) für Verbindungen mit insgesamt 4 x 10 Gb/s eingerichtet. Diese Konfiguration ermöglicht es NIC-Verbindungen (NIC - Networking Interface Card, Netzschnittstellenkarte), unabhängig voneinander zu arbeiten.

Das Entfernen der physischen Netzkonnektivität zum öffentlichen oder privaten Netz für die Bare-Metal-Server, die im vCenter Server-Angebot verwendet werden, ist nicht möglich. Physische Anschlüsse an der internen NIC des Bare-Metal-Servers können inaktiviert werden, aber das Entfernen der Kabel wird nicht unterstützt. Diese Konfiguration wird manchmal als durch eine Air-Gap geschützte Konfiguration bezeichnet. Dies beschreibt kurz die Aktionen, die erforderlich sind, um sicherzustellen, dass die Netzports der öffentlichen Seite der ESXi-Hosts inaktiviert werden, dass die ToR-Ports für diese Verbindungen inaktiviert werden und dass IBM Cloud IAM so konfiguriert wird, dass Personen ohne ausreichende Berechtigungen die Verbindungen nicht aktivieren können. Darüber hinaus wird das öffentliche clientseitige VLAN der Perimeter-Gateway-Einheit zugeordnet und geschützt, damit jeder Datenverkehr mit dem öffentlichen VLAN unterbunden wird. Das Gateway und die Gateway-Verbindungen zum öffentlichen Transit-VLAN (falls vorhanden) sind ebenfalls für Verwaltungszwecke inaktiv (im Unterschied zu getrennten Verbindungen), sodass eine Überwachung auf Versuche, ein- und ausgehenden Datenverkehr mit dem FCR über das öffentliche Transit-VLAN zu senden, ermöglicht wird.

IBM Cloud bietet zwar die Option SSL VPN an, doch wird von dieser Option abgeraten und sie ist streng auf Situationen beschränkt, in denen ein außerbandlicher Zugriff auf die regulierten Arbeitslasten unerlässlich ist.

VLANs und Underlay-to-Overlay-Routing

Die Angebote von VMware Solutions sind so konzipiert, dass bei der Bereitstellung drei VLANs, ein öffentliches und zwei private, zugewiesen werden. Wie in der vorherigen Abbildung zu sehen ist, werden das öffentliche VLAN den Verbindungen eth1 und eth3 und die privaten VLANs den Verbindungen eth0 und eth2 zugeordnet.

Das öffentliche VLAN und das erste private VLAN, das in diesem Design erstellt und zugeordnet wird, sind in IBM Cloud standardmäßig nicht mit Tags versehen. Dann wird das weitere private VLAN durch einen Trunk mit den physischen Switch-Ports verbunden und mit Tags in den VMware-Portgruppen versehen, die diese Teilnetze nutzen.

Das private Netz besteht aus zwei VLANs in diesem Design. Drei Teilnetze werden dem ersten dieser VLANs (hier als VLAN "Privat A" bezeichnet) zugeordnet:

• Das erste Teilnetz ist ein primärer privater IP-Teilnetzbereich, den IBM Cloud den physischen Hosts zuweist.
• Das zweite Subnetz wird für virtuelle Verwaltungsmaschinen (VMs) wie vCenter Server Appliance und Platform Services Controller (PSC) verwendet.
• Das dritte Subnetz wird für die gekapselten Overlay-Netzwerk-Tunnelendpunkte (TEPs) verwendet, die jedem Host über den NSX Manager zugewiesen werden.

Neben dem VLAN 'Privat A' ist ein zweites privates VLAN (hier als VLAN 'Privat B' bezeichnet) vorhanden, um VMware-Features wie vSAN und vMotion zu unterstützen. Das VLAN selbst ist in zwei oder mehr portierbare Teilnetze unterteilt:

• Das erste Teilnetz wird einer Kernelportgruppe für vMotion-Datenverkehr zugeordnet.
• Das verbleibende Teilnetz oder die verbleibenden Teilnetze werden für den Speicherverkehr verwendet. Wenn Sie vSAN, verwenden, wird ein Subnetz Kernel-Portgruppen zugewiesen, die für vSAN verwendet werden.

Das öffentliche Netz besteht aus einem VLAN in diesem Design. Die folgenden Teilnetze sind dem VLAN zugeordnet:

• Das erste Teilnetz ist ein primärer öffentlicher IP-Teilnetzbereich, den IBM Cloud den physischen Hosts zuweist.
• Den Hosts wird zwar eine öffentliche IP-Adresse zugewiesen, diese IP-Adresse ist jedoch nicht für die Hosts konfiguriert, sodass sie nicht direkt im öffentlichen Netz zugänglich sind.
• Das zweite Teilnetz wird für den öffentlichen Zugriff von Komponenten wie einer virtuellen Gateway-Appliance verwendet.
• Das öffentliche VLAN ist dazu gedacht, den öffentlichen Internetzugriff bereitzustellen.

Alle Subnetze, die als Teil der automatisierten Bereitstellung von regulierten Arbeitslasten konfiguriert werden, verwenden IBM Cloud-verwaltete Bereiche, um sicherzustellen, dass jede IP-Adresse an jedes Rechenzentrum innerhalb von IBM Cloud weitergeleitet werden kann.

Die folgende Tabelle gibt Ihnen eine Zusammenfassung.

In diesem Design werden alle VLAN-gestützten Hosts und VMs so konfiguriert, dass sie auf das Perimeter-Gateway als Standardroute verweisen. Während die Regulated Workloads Instanzen die Verwendung von SDN ermöglichen, sind die innerhalb einer VMware Instanz erstellten Netzwerk-Overlays, die Routing zu internen Subnetzen beinhalten, dem Perimeter-Gateway nicht bekannt, es sei denn, es werden dynamische Routing-Protokolle oder statische Routen konfiguriert.

Die privaten Netzverbindungen werden so konfiguriert, dass sie eine Jumbo-Frame-MTU-Größe von 9000 verwenden, um die Leistung für große Datenübertragungen wie für Speicher- und vMotion-Operationen zu verbessern. Dieser Wert ist der maximale MTU-Wert, der in VMware und durch IBM Cloud zugelassen wird. Die öffentlichen Netzverbindungen verwenden einen Standard-Ethernet-MTU-Wert von 1500, der beibehalten werden muss, da Änderungen zu Paketfragmentierung bei der Übertragung über das Internet führen können.