パブリック・ネットワーク

IBM Cloud データ・センターとネットワーク Point of Presence (PoP) には、上位層のトランジット/ピアリング・ネットワーク・キャリアへの 1 Gbps または 10 Gbps 接続が複数存在します。 世界中のどこからのものであろうと、ネットワーク・トラフィックは最も近いネットワーク PoP に接続され、ネットワークを経由してデータ・センターに直接送られます。 このようにして、ネットワークのホップ数とプロバイダー間のハンドオフ数は最小限に抑えられます。

データ・センター内では、IBM Cloud は、ピアを集約した別々のフロントエンド・カスタマー・スイッチ (FCS) のペアを介して、1 Gbps または 10 Gbps のネットワーク帯域幅を個々のサーバーに提供します。 これらの集約スイッチは、L3 ネットワーキング用の別々のルーター (FCR) のペアに接続されます。

この多層設計により、ネットワークを IBM Cloud データ・センター内のラック、列、ポッドにわたって拡張したり縮小したりできます。

プライベート・ネットワーク

IBM Cloud データ・センターと PoP はすべて、プライベート・ネットワーク・バックボーンによって接続されます。 このプライベート・ネットワークはパブリック・ネットワークとは別であり、世界中の IBM Cloud データ・センター内のサービスへの接続を可能にします。 IBM Cloud データ・センター間のデータ移動は、プライベート・ネットワークへの複数の 10 Gbps または 40 Gbps の接続を介して行われます。

パブリック・ネットワークと同様に、プライベート・ネットワークもそのサーバー内で多層化されており、集約されたバックエンド・カスタマー・スイッチ (BCS) に他のインフラストラクチャー・コンポーネントが接続されます。 これらの集約スイッチは、L3 ネットワーキング用の別々のバックエンド・カスタマー・ルーター (BCR) のペアに接続されます。 プライベート・ネットワークは、物理ホスト接続にジャンボ・フレーム (MTU 9000) を使用する機能もサポートします。

管理ネットワーク

パブリック・ネットワークとプライベート・ネットワークに加えて、各 IBM Cloud サーバーが管理のためにプライベート・プライマリー・ネットワーク・サブネットに接続されます。 この接続によって、CPU、ファームウェア、オペレーティング・システムに関係なく、保守と管理の目的で Intelligent Platform Management Interface (IPMI) からサーバーにアクセスすることが可能になります。

プライマリー IP ブロックとポータブル IP ブロック

IBM Cloud は、IBM Cloud インフラストラクチャー内で使用される 2 つのタイプの IP アドレスを割り振ります。

• プライマリー IP アドレスは、IBM Cloud によってプロビジョンされるデバイス、ベアメタル・サーバー、仮想サーバーに割り当てられます。 これらのブロックの IP アドレスは手動で割り当てないでください。
• 必要に応じて割り当てたり管理したりするために、ポータブル IP アドレスが用意されています。 IBM Cloud for VMware Regulated Workloads 自動化によって、ポータブル IP の範囲が、使用できるように複数プロビジョンされます。 特定の NSX コンポーネントに割り当てられ、 SaaS プロバイダの使用に指定されているポータブル IP アドレス範囲のみを使用します。

アカウントを**「Virtual Routing and Forwarding (VRF)」**アカウントとして構成すると、アカウントに属する VLAN にプライマリー IP アドレスまたはポータブル IP アドレスをルーティングできるようになります。

Virtual Routing and Forwarding

IBM Cloud インフラストラクチャー・アカウントを Virtual Routing and Forwarding (VRF) アカウントとして構成する必要があります。そうすることで、サブネット IP ブロック間の自動グローバル・ルーティングが可能になります。 Direct Link 接続を使用するアカウントはすべて、VRF アカウントに変換するか、VRF アカウントとして作成する必要があります。

様々な接続オプションやネットワーク・ルーティング・オプションでは、 IBM Cloud アカウント VRF モードである必要があるため、 Regulated Workloads をプロビジョニングする前に、 アカウント VRF モードであることを推奨します。

物理ホスト接続

この設計に含まれる各物理ホストは、各 IBM Cloud 最上位ラック (ToR) スイッチ (パブリックとプライベート) への 10 Gbps イーサネット接続の冗長ペアを 2 つ備えています。 合計 4 つの 10 Gbps 接続のためのアダプターが個々の接続 (非結合) としてセットアップされます。 このセットアップにより、ネットワーキング・インターフェース・カード (NIC) 接続が相互に独立して動作できるようになります。

vCenter Server オファリング内で使用するベアメタル・サーバー用のパブリック・ネットワークやプライベート・ネットワークへの物理ネットワーク接続を削除することはできません。 ベアメタルの内部 NIC にある物理ポートを無効にすることは可能ですが、ケーブルのプラグを抜くためのサポートはありません。 このような構成は「エア・ギャップ構成」と呼ばれることをあります。この略称は、ESXi ホストのパブリック・サイドのネットワーク・ポートを無効にし、それらの接続用の ToR ポートを無効にし、十分な特権を持たない人がそれらの接続を有効にできないように IBM Cloud の IAM を構成するために必要な処置を指しています。 さらに、パブリック・クライアント・サイドの VLAN は、境界ゲートウェイ・デバイスに割り当てられ、パブリック VLAN との送受信トラフィックを防止することにより保護されます。 また、パブリック・トランジット VLAN (存在する場合) へのゲートウェイおよびゲートウェイ接続も (切断するのではなく) 管理操作によって停止され、パブリック・トランジット VLAN を介して FCR との間でトラフィックの出入りが試行されていないかモニターできるようになります。

IBM Cloud は SSL VPN オプションを提供しているが、このオプションは推奨されておらず、規制ワークロードへの帯域外アクセスが不可欠な状況に厳しく限定されている。

VLAN およびアンダーレーとオーバーレイ間のルーティング

VMware Solutions、3つのVLAN（1つはパブリック、2つはプライベート）が導入時に割り当てられる。 前の図にあるとおり、パブリック VLAN は eth1 と eth3 に割り当てられ、プライベート VLAN は eth0 と eth2 に割り当てられます。

この設計で作成されて割り当てられたパブリック VLAN と最初のプライベート VLAN は、IBM Cloud 内でデフォルトでタグが外されます。 その後、追加のプライベート VLAN が物理スイッチ・ポートでトランキングされ、これらのサブネットを使用している VMware ポート・グループ内でタグ付けされます。

プライベート・ネットワークは、この設計内の 2 つの VLAN から成ります。 これらの VLAN のうち最初の VLAN (ここではプライベート VLAN A として示す) に、以下の 3 つのサブネットが割り振られます。

• 最初のサブネットは、IBM Cloud が物理ホストに割り当てるプライマリー・プライベート IP サブネット範囲です。
• 2つ目のサブネットは、 vCenter Server ApplianceやPlatform Services Controller（PSC）などの管理用仮想マシン（VM）に使用される。
• 3 番目のサブネットは、NSX Manager を通じて各ホストに割り当てられたカプセル化オーバーレイ ネットワーク トンネル エンドポイント（TEP）に使用されます。

プライベート VLAN A に加えて、2 つ目の VLAN (ここではプライベート VLAN B として示す) が存在します。この VLAN は、vSAN や vMotion などの VMware の機能をサポートします。 したがって、VLAN は次の 2 つ以上のポータブル・サブネットに分割されます。

• 最初のサブネットは、vMotion トラフィック用のカーネル・ポート・グループに割り当てられます。
• 残りのサブネットはストレージ・トラフィックに使用される。 vSAN, を使用すると、 vSAN トラフィックに使用されるカーネル・ポート・グループにサブネットが割り当てられる。

この設計では、パブリック・ネットワークは 1 つの VLAN から成ります。 その VLAN には、以下のサブネットが割り振られます。

• 最初のサブネットは、IBM Cloud が物理ホストに割り当てるプライマリー・パブリック IP サブネット範囲です。
• ホストにパブリック IP アドレスが割り当てられますが、その IP アドレスはホストに構成されていないので、パブリック・ネットワークを使用してホストに直接アクセスすることはできません。
• 2 つ目のサブネットは、仮想ゲートウェイ・アプライアンスのようなコンポーネントのパブリック・アクセスに使用されます。
• パブリック VLAN は、パブリック・インターネット・アクセスを提供するためのものです。

Regulated Workloads自動展開の一部として構成されるすべてのサブネットは、 IBM Cloud- 管理範囲を使用し、どのIPアドレスでも IBM Cloud 内のどのデータセンターにもルーティングできるようにします。

以下の要約表を確認してください。

この設計では、VLAN ベースのすべてのホストおよび VM が、デフォルト・ルートとして境界ゲートウェイを指すように構成されます。 Regulated Workloads インスタンスは SDN の使用を可能にするが、内部サブネットへのルーティングを含む VMware インスタンス内に作成されたネットワークオーバーレイは、ダイナミックルーティングプロトコルまたはスタティックルートが設定されない限り、境界ゲートウェイにはわからない。

プライベート・ネットワーク接続は、ジャンボ・フレーム MTU サイズ 9000 を使用して、ストレージや vMotion などの大規模データ転送のパフォーマンスを向上させるように構成されます。 この値は、VMware 内で、および IBM Cloud によって許可される最大の MTU です。 パブリック・ネットワーク接続には、標準的なイーサネット MTU の 1500 が使用されます。この値は維持する必要があります。変更すると、インターネット上でパケットのフラグメント化が発生する可能性があるためです。