Erstellen einer Peer-Group-Richtlinie in der Konsole

Sie können Peer-Gruppenrichtlinien nur für Peers des Typs Router erstellen, da nur diese Peers am Routenaustausch und an Routing-Entscheidungen beteiligt sind.

Sie können einer Peer-Gruppe jeweils nur eine Richtlinie pro Typ hinzufügen. Um eine andere Richtlinie desselben Typs hinzuzufügen, entfernen Sie zunächst die vorhandene Richtlinie.

Um in der Konsole eine Peer-Group-Richtlinie zu erstellen, führen Sie die folgenden Schritte aus:

1. Öffnen Sie in Ihrem Browser die IBM Cloud-Konsole und melden Sie sich bei Ihrem Konto an.
2. Wählen Sie das für das Navigationsmenü aus und klicken Sie anschließend auf Infrastruktur VPC > Netzwerk > Dynamische Routenserver.
3. Wählen Sie in der Liste den dynamischen Routingserver aus, mit dem Sie arbeiten möchten, und klicken Sie anschließend auf die Registerkarte Peer-Gruppen.
4. Wählen Sie den Namen der Peer-Gruppe aus.
5. Klicken Sie im Abschnitt Peer-Richtlinie auf Erstellen.
6. Geben Sie im Bereich Richtlinie erstellen einen Namen für die Richtlinie ein, z. B. my-peer-policy.
7. Wählen Sie eine der folgenden Optionen für den Richtlinientyp aus und geben Sie die erforderlichen Informationen ein:

   • Benutzerdefinierte Routen – Definiert Routen, die vom dynamischen Routenserver verwaltet werden. Wenden Sie diese Richtlinie an, wenn eine Route nicht über BGP erlernt wird und explizit definiert werden muss. Verwenden Sie diese Funktion, um den Datenverkehr auf bestimmte Next-Hop-Peers, wie z. B. Firewalls, zu lenken. Geben Sie im Abschnitt Weitere Details unter Benutzerdefiniertes Routenziel ein oder mehrere Ziel-CIDRs ein, an die der Datenverkehr weitergeleitet werden soll. Trennen Sie mehrere CIDRs durch Kommas.

   • VPC-Routing-Tabelle – Fügt Routen zu ausgewählten eingehenden oder ausgehenden VPC-Routing-Tabellen hinzu. Verwenden Sie diese Richtlinie, um den VPC-Datenverkehr mithilfe von erlernten oder benutzerdefinierten Routen zu steuern, in der Regel über einen bestimmten nächsten Hop mit Failover-Unterstützung. Geben Sie im Abschnitt Weitere Details die folgenden Informationen ein:

     • Nächster Hop – Gibt die Peer-Gruppe an, deren Mitglieder als Next-Hop-Geräte für Routen verwendet werden, die der VPC-Routing-Tabelle hinzugefügt wurden. Der Datenverkehr, der der Route entspricht, wird an einen der verfügbaren Peers in der ausgewählten Peer-Gruppe weitergeleitet.
     • Verzögerung beim Löschen einer Route – Gibt an, wie lange das System wartet, bevor eine Route entfernt wird, nachdem ein Peer nicht mehr funktionsfähig ist.
     • Ingress-Routing-Tabelle – Gibt die Routing-Tabelle an, die Routen empfängt, die von Peers der konfigurierten Peer-Gruppe gelernt wurden.
     • Ausgangs-Routing-Tabelle – Gibt die Routing-Tabelle an, die verwendet wird, um Routen an Peers der konfigurierten Peer-Gruppe zu veröffentlichen.
     • Ausschluss von Präfixen – Legt ein oder mehrere Präfixe fest, die gemäß dieser Richtlinie von der Hinzufügung oder Bekanntgabe von Routen ausgeschlossen sind. Verwenden Sie Präfixausnahmen, um zu verhindern, dass bestimmte Netzwerke zu VPC-Routing-Tabellen hinzugefügt oder an Peers weitergegeben werden, selbst wenn sie anderen Richtlinienkriterien entsprechen.

     Bei Präfixausnahmen können Sie nur Präfixe ausschließen, die mit den überwachten Präfixen übereinstimmen oder Subnetze dieser Präfixe sind, die in den Peer-Gruppen konfiguriert sind, auf die eine Richtlinie verweist. Wenn beispielsweise eine in der Richtlinie referenzierte Peer-Gruppe ein überwachtes Präfix von enthält 10.0.0.0/8, können Sie 10.0.0.0/8, 10.1.0.0/16, oder ausschließen, da 10.1.1.0/24 jedes dieser Präfixe mit dem überwachten Präfix übereinstimmt oder ein Subnetz davon ist. Sie können es jedoch nicht ausschließen, da 172.16.0.0/16 es außerhalb des überwachten Präfixbereichs liegt.

   • Gelerntes Routing – Bezieht sich auf Routen, die von einer Peer-Gruppe an andere Router-Peer-Gruppen weitergegeben werden. Wenden Sie diese Richtlinie an, wenn der dynamische Routenserver als Routenreflektor zwischen verschiedenen Routing-Domänen fungiert. Geben Sie im Abschnitt Weitere Details die folgenden Informationen ein:

     • Peer-Gruppen – Gibt die Peer-Gruppen an, von denen Routen erlernt werden.
     • Präfixausschluss – Legt Präfixe fest, die von der Routenweiterverteilung ausgeschlossen sind. Routen, die einem ausgeschlossenen Präfix entsprechen, werden von Peers gelernt, aber gemäß dieser Richtlinie nicht an andere Peer-Gruppen weitergegeben. Verwenden Sie Präfixausnahmen, um die Routenweitergabe zu steuern und zu verhindern, dass bestimmte Netzwerke über Routing-Domänen hinweg gemeinsam genutzt werden.

   • VPC-Adresspräfixe – Gibt die Adresspräfixe der VPC an Router-Peers weiter. Wenden Sie diese Richtlinie an, wenn externe Router oder lokale Geräte lernen müssen, wie sie VPC-Workloads erreichen können.

8. Stellen Sie sicher, dass der Status Richtlinie auf Aktiv gesetzt ist, damit die konfigurierten Richtlinienregeln angewendet werden.
9. Klicken Sie auf Speichern.

Erstellen einer Peer-Group-Richtlinie über die CLI

Um über die CLI eine Richtlinie für eine Peer-Gruppe zu erstellen, führen Sie die folgenden Schritte aus:

1. Konfigurieren Sie die Umgebung der Befehlszeilenschnittstelle.

2. Melden Sie sich bei Ihrer CLI-Umgebung an. Nach der Eingabe des Kennworts werden Sie vom System aufgefordert, anzugeben, welches Konto und welche Region verwendet werden soll:

   ibmcloud login --sso
   

3. Aktivieren Sie das folgende Feature-Flag:

   export IBMCLOUD_IS_FEATURE_DYNAMIC_ROUTE_SERVER=true
   

4. Führen Sie den folgenden Befehl aus:

   ibmcloud is dynamic-route-server-peer-group-policy-create DYNAMIC_ROUTE_SERVER --peer-group PEER_GROUP (--type custom_routes | learned_routes | vpc_address_prefixes | vpc_routing_tables) [--name NAME] [--state enabled | disabled] [--custom-routes CUSTOM_ROUTES_JSON | @CUSTOM_ROUTES_JSON_FILE] [--peer-groups PEER_GROUPS_JSON | @PEER_GROUPS_JSON_FILE] [--next-hops NEXT_HOP_JSON | @NEXT_HOP_JSON_FILE] [--routing-tables ROUTING_TABLES_JSON | @ROUTING_TABLES_JSON_FILE] [--excluded-prefixes EXCLUDED_PREFIXES_JSON | @EXCLUDED_PREFIXES_JSON_FILE] [--route-delete-delay ROUTE_DELETE_DELAY] [--output JSON] [-q, --quiet]
   

Dabei gilt:

Die Kennung DYNAMIC_ROUTE_SERVER : des dynamischen Routenservers.

--peer-group : Die Peer-Gruppen-Kennung.

--type : Die Art der Richtlinie. Entweder: custom_routes, learned_routes, vpc_address_prefixes, oder vpc_routing_tables.

--name : Der Name der Richtlinie.

Der Status --state : der Richtlinie. Entweder: enabled oder disabled. Der Standardwert ist enabled.

--custom-routes (JSON) : Eine JSON-Nutzlast, die benutzerdefinierte Routenziele definiert.

@CUSTOM_ROUTES_JSON_FILE : Eine Datei, die die JSON-Nutzdaten für benutzerdefinierte Routenziele enthält.

--peer-groups (JSON) : Eine JSON-Nutzlast, die die Peer-Gruppen für die Richtlinie definiert.

@PEER_GROUPS_JSON_FILE : Eine Datei, die die JSON-Daten der Peer-Gruppen enthält.

--next-hops (JSON) : Ein JSON-Array, das die Identität des nächsten Hops definiert. Sie können nur einen Next-Hop angeben.

@NEXT_HOP_JSON_FILE : Eine Datei, die die JSON-Nutzdaten für den nächsten Hop enthält.

--routing-tables (JSON) : Eine JSON-Nutzlast, die Routing-Tabellen definiert.

@ROUTING_TABLES_JSON_FILE : Eine Datei, die die JSON-Daten der Routing-Tabellen enthält.

--excluded-prefixes (JSON) : Eine JSON-Nutzlast, die die Liste der Präfixe definiert, die aus den erlernten Routen oder den VPC-Routing-Tabellen ausgeschlossen werden sollen, die durch diese Richtlinie ausgewählt werden. Geben Sie diese Option nur für Richtlinien vom Typ learned_routes oder an vpc_routing_tables.

@EXCLUDED_PREFIXES_JSON_FILE : Eine Datei, die die JSON-Daten der ausgeschlossenen Präfixe enthält.

--route-delete-delay : Die Verzögerung in Sekunden, bevor Routen gelöscht werden, wenn sie nicht mehr angekündigt werden. Der Wert muss zwischen 0 und 60 liegen. Gilt für Richtlinien vom Typ vpc_routing_tables.

--output : Ausgabe im JSON-Format.

-q, --quiet : Unterdrückt ausführliche Ausgaben.

Erstellen einer Peer-Group-Richtlinie mit der API

Um eine Peer-Group-Richtlinie über die API zu erstellen, führen Sie die folgenden Schritte aus:

1. Richten Sie Ihre API-Umgebung mit den erforderlichen Variablen ein.

2. Speichern Sie alle zusätzlichen Variablen, die in den API-Befehlen verwendet werden sollen. Zum Beispiel:

   • ResourceGroupId - Suchen Sie die Ressourcengruppen-ID mithilfe des Befehls get resource groups und füllen Sie dann die Variable:

   export ResourceGroupId=<your_resourcegroup_id>
   

3. Wenn alle Variablen festgelegt sind, erstellen Sie die Richtlinie für die Peer-Gruppe:

   curl -X POST \
     "$vpc_api_endpoint/v1/dynamic_route_servers/DRS_ID/peer_groups/PEER_GROUP_ID/policies?version=$api_version&generation=2" \
     -H "Authorization: Bearer $iam_token" \
     -H "Content-Type: application/json" \
     -d '{
       "name": "learned-routes-policy",
       "type": "learned_routes",
       "state": "enabled",
       "excluded_prefixes": [
         {
           "prefix": "10.0.0.0/24"
         }
       ]
     }'
   

   Bei Präfixausnahmen können Sie nur Präfixe ausschließen, die mit den überwachten Präfixen übereinstimmen oder Subnetze dieser Präfixe sind, die in den Peer-Gruppen konfiguriert sind, auf die eine Richtlinie verweist. Wenn beispielsweise eine in der Richtlinie referenzierte Peer-Gruppe ein überwachtes Präfix von enthält 10.0.0.0/8, können Sie 10.0.0.0/8, 10.1.0.0/16, oder ausschließen, da 10.1.1.0/24 jedes dieser Präfixe mit dem überwachten Präfix übereinstimmt oder ein Subnetz davon ist. Sie können es jedoch nicht ausschließen, da 172.16.0.0/16 es außerhalb des überwachten Präfixbereichs liegt.