Informazioni sulla rete VPC

IBM Cloud® Virtual Private Cloud (VPC) fornisce un ambiente di rete privato, isolato e definito dal software per la distribuzione di risorse cloud. Consente di controllare il modo in cui le risorse comunicano all'interno di una VPC, tra le reti private e con l'Internet pubblico, mantenendo un forte isolamento e una sicurezza predefinita.

Le sezioni seguenti illustrano i concetti di rete VPC e il modo in cui i diversi componenti di rete lavorano insieme per aiutarvi a progettare architetture di rete sicure e scalabili.

VPC, regioni, zone e sottoreti

Prima di lavorare con la vostra VPC, rivedete i concetti di base delle regioni, delle zone e delle sottoreti che si applicano alla vostra implementazione.

Regioni

Una regioneUn territorio geografico indipendente composto da una o più zone. è un'astrazione dell'area geografica in cui è distribuita una VPC. Ogni regione contiene più zoneUna posizione all'interno di una regione che agisce come dominio di guasto indipendente e ha una latenza ridotta rispetto alle altre zone della regione.. Un VPC può estendersi a più zone all'interno della sua regione assegnata.

IBM Cloud prevede due livelli di regioni:

Regioni multizonaUna regione distribuita in più zone fisiche per aumentare la tolleranza ai guasti.- Regioni con tre o più zone per un'elevata disponibilità.
Regioni multizona a campus singoloUna regione composta da più zone situate all'interno di un singolo edificio o campus. Dipendenze come l'alimentazione, il raffreddamento, la rete e la sicurezza fisica possono essere condivise, ma sono progettate per fornire un elevato grado di indipendenza dai guasti. - Regioni con più zone all'interno di un singolo campus.

Per ulteriori informazioni sulle regioni, vedere Posizioni per la distribuzione delle risorse.

Zone

Una zona è un centro dati isolato dai guasti all'interno di una regione. A ogni zona di una VPC viene assegnato un prefisso di indirizzo predefinito che specifica l'intervallo di indirizzi in cui è possibile creare le sottoreti. Se lo schema di indirizzi predefinito non soddisfa le vostre esigenze, potete personalizzare i prefissi degli indirizzi. Ad esempio, si potrebbe voler portare con sé il proprio indirizzo pubblico IPv4. Per ulteriori informazioni, vedere Porta la tua subnet.

La mappatura dei nomi delle zone logiche con le zone fisiche è relativa a ciascun account. Di conseguenza, l'intervallo di prefissi degli indirizzi predefiniti per una zona potrebbe differire tra gli account. Per ulteriori informazioni, vedere Mappatura delle zone.

Sottoreti

Una sottorete è un intervallo di indirizzi IP (blocco CIDR) all'interno di una VPC in cui vengono distribuite le risorse. Le sottoreti forniscono la segmentazione e l'isolamento della rete per i carichi di lavoro. Per ulteriori informazioni, vedere Informazioni sulle sottoreti.

Caratteristiche della sottorete

Ogni sottorete è costituita da un intervallo di indirizzi IP specificato (blocco CIDR)
Le sottoreti sono vincolate a una singola zona e non possono estendersi su più zone o regioni
Le sottoreti all'interno della stessa VPC sono automaticamente collegate tra loro attraverso un router implicito
Ogni sottorete riserva indirizzi IP specifici per l'uso del sistema

Indirizzamento e indirizzi IP riservati al sistema

Quando si crea una sottorete, alcuni indirizzi IP all'interno dell'intervallo CIDR vengono riservati da IBM per il funzionamento della VPC. Questi indirizzi non possono essere assegnati ai carichi di lavoro. Ad esempio, se l'intervallo CIDR della sottorete è 10.10.10.0/24, i seguenti indirizzi sono riservati:

Primo indirizzo dell'intervallo CIDR (10.10.10.0): Indirizzo di rete
Secondo indirizzo nell'intervallo CIDR (10.10.10.1): Indirizzo del gateway
Terzo indirizzo nell'intervallo CIDR (10.10.10.2): Riservato da IBM
Quarto indirizzo nell'intervallo CIDR (10.10.10.3): Riservato da IBM per uso futuro
Ultimo indirizzo nell'intervallo CIDR (10.10.10.255): Riservato dalla piattaforma (tradizionalmente l'indirizzo di broadcast)

Pianificate il dimensionamento della subnet in modo che gli indirizzi IP disponibili siano sufficienti per i vostri carichi di lavoro.

Il modello di rete VPC

La rete VPC si basa su tre ambiti di connettività:

Connettività interna: comunicazione tra risorse all'interno di una singola VPC
Connettività privata- Comunicazione di risorse con altre reti private e senza utilizzare la rete Internet pubblica
Connettività esterna- Comunicazione di risorse con o da Internet pubblica

Questi ambiti aiutano a scegliere i servizi di rete più adatti al caso d'uso e a progettare architetture che soddisfino i requisiti di sicurezza e di prestazioni.

Connettività VPC interna

La connettività interna consente la comunicazione tra le risorse all'interno di una singola VPC. Questa connettività è automatica, privata e non richiede alcuna configurazione aggiuntiva per la comunicazione di base da subnet a subnet. Tutte le sottoreti all'interno della stessa VPC sono collegate attraverso un router implicito, che consente la comunicazione privata da sottorete a sottorete e da istanza a istanza. Non è necessario configurare tabelle di routing o rotte statiche per la connettività di base all'interno di una VPC.

Questa connettività interna supporta architetture comuni come le applicazioni multitier (sottoreti web, applicazioni e database), il traffico est-ovest tra le istanze e la comunicazione cross-zone per l'alta disponibilità.

Interfacce di rete virtuali

Tutte le risorse VPC che partecipano alla rete si collegano alla rete utilizzando un' interfaccia di rete virtuale (VNI). Una VNI è una rappresentazione logica di un'interfaccia di rete che collega una risorsa a una sottorete.

Caratteristiche principali delle VNI:

Creato all'interno di una sottorete specifica
Assegnato un indirizzo IP privato dall'intervallo CIDR della sottorete
Servono come punti di aggancio per i gruppi di sicurezza
Può essere associato a indirizzi IP fluttuanti per la connettività esterna
Costituiscono la base per il flusso del traffico, l'applicazione della sicurezza e la connettività

Le VNI consentono di controllare l'accesso alla rete a livello granulare e forniscono flessibilità nella gestione delle configurazioni di rete. Per ulteriori informazioni, vedere Informazioni sulle interfacce di rete virtuali.

Controlli di sicurezza per la connettività interna

Il traffico all'interno di un VPC è regolato da più livelli di controlli di sicurezza che lavorano insieme per proteggere le risorse.

Gruppi di sicurezza

I gruppi di sicurezza forniscono una sicurezza stateful, a livello di istanza, controllando il traffico in entrata e in uscita verso le singole risorse. Applicati a livello di VNI, i gruppi di sicurezza mantengono le informazioni sullo stato della connessione, che consentono automaticamente il traffico di ritorno per una connessione consentita senza richiedere una regola esplicita. Per ulteriori informazioni, vedere Informazioni sui gruppi di sicurezza.

ACL di rete

Le liste di controllo degli accessi alla rete (ACL) forniscono una sicurezza stateless a livello di subnet, filtrando il traffico che entra o esce da una subnet. A differenza dei gruppi di sicurezza, le ACL di rete sono stateless, il che significa che il traffico di ritorno deve essere esplicitamente consentito attraverso regole separate. Applicate a livello di sottorete, le ACL di rete influenzano tutte le risorse all'interno della sottorete e forniscono un filtraggio a grana grossa che serve come criterio di sicurezza di base. Per ulteriori informazioni, vedere Informazioni sulle ACL di rete.

Tabelle di routing e rotte

La VPC utilizza le tabelle di routing per controllare il modo in cui il traffico viene indirizzato all'interno e all'esterno della VPC. Mentre il router implicito gestisce automaticamente la connettività di base da subnet a subnet, è possibile creare percorsi personalizzati per implementare scenari di routing avanzati e controllare con maggiore precisione il flusso di traffico.

Utilizzare tabelle di routing personalizzate nei seguenti casi:

Per escludere il comportamento di routing predefinito per sottoreti o sorgenti di traffico specifiche.
Per instradare il traffico attraverso un dispositivo di rete virtuale per l'ispezione o l'elaborazione.
Implementare topologie di rete hub-and-spoke con servizi centralizzati.
Per controllare l'instradamento del traffico in ingresso da Internet o dalle connessioni VPN.
Implementare architetture di rete avanzate con domini di routing multipli.

Per ulteriori informazioni, vedere Informazioni sulle tabelle di routing e sulle rotte.

Connettività privata oltre un singolo VPC

La connettività privata consente alla VPC di comunicare con altre reti senza instradare il traffico sulla rete Internet pubblica. Tutto il traffico rimane sulla dorsale IBM Cloud Private, garantendo maggiore sicurezza, minore latenza e prestazioni prevedibili.

Collegamento di più VPC

Utilizzare IBM Cloud® Transit Gateway per abilitare il routing scalabile tra più VPC. Transit Gateway fornisce:

Connettività interregionale: consente di collegare le VPC tra le diverse regioni di IBM Cloud
Connettività trasversale agli account: consente di collegare le VPC tra diversi account di IBM Cloud
Topologia hub-and-spoke- Centralizza la connettività attraverso un unico gateway di transito
Routing transitivo- Consente la comunicazione tra reti connesse

Transit Gateway è ideale per le architetture aziendali che richiedono la gestione centralizzata della rete e la connettività tra più VPC. Per ulteriori informazioni, vedi Informazioni su IBM Cloud Transit Gateway.

Connessione a reti on-premises

Collegare la VPC a data center on-premise o ad altri ambienti cloud utilizzando le seguenti opzioni:

VPN for VPC

VPN for VPC fornisce una connettività crittografata via Internet tra il VPC e le reti remote. Questa soluzione è ideale per le architetture cloud ibride in cui è necessario collegare il VPC ai data center on-premise, abilitare l'accesso remoto per gli utenti o stabilire una connettività site-to-site tra diverse sedi.

VPN for VPC utilizza i protocolli di crittografia standard del settore per proteggere i dati in transito e supporta un'elevata velocità di trasmissione, che lo rende adatto ai carichi di lavoro ad alta intensità di banda. È possibile configurare le connessioni VPN utilizzando approcci basati sui criteri o sulle rotte, a seconda dei requisiti della rete e delle capacità dei dispositivi VPN in sede.

Le VPN basate su criteri utilizzano liste di controllo degli accessi per determinare quale traffico viene crittografato e inviato attraverso il tunnel.
Le VPN basate sulle rotte utilizzano tabelle di routing per indirizzare il traffico attraverso la connessione VPN, offrendo una maggiore flessibilità per le topologie di rete complesse. Per ulteriori informazioni, vedere Informazioni su VPN for VPC.

Direct Link

IBM Cloud® Direct Link fornisce una connettività fisica privata e dedicata tra l'infrastruttura on-premise e IBM Cloud. Questa soluzione è progettata per carichi di lavoro ad alta larghezza di banda che richiedono prestazioni costanti, applicazioni sensibili alla latenza e scenari in cui i requisiti di conformità normativa limitano l'attraversamento dei dati su Internet.

Direct Link offre una larghezza di banda dedicata con caratteristiche di prestazione prevedibili, che possono garantire che il traffico di rete non sia influenzato dalla congestione di Internet o da cambiamenti di routing. Puoi scegliere tra le seguenti opzioni:

Direct Link Dedicato, che fornisce una connessione single-tenant con larghezza di banda dedicata esclusivamente al vostro utilizzo.
Direct Link Connect, che offre una connessione multi-tenant attraverso un provider di servizi di rete.

Entrambe le opzioni offrono una connettività privata che bypassa completamente la rete Internet pubblica, offrendo un maggiore controllo sul percorso della rete e una maggiore sicurezza per i trasferimenti di dati sensibili. Per ulteriori informazioni, vedi Informazioni su IBM Cloud Direct Link.

Accesso privato ai servizi di IBM Cloud

Accedere ai servizi di IBM Cloud dal VPC senza esporre il traffico a Internet pubblico utilizzando le seguenti opzioni:

Endpoint privati virtuali (VPE)

Gli endpoint privati virtuali consentono alle risorse della VPC di accedere ai servizi IBM Cloud supportati utilizzando indirizzi IP privati dello spazio di indirizzi della VPC. Questa funzionalità è utile quando è necessario accedere a servizi quali IBM Cloud Object Storage per l'archiviazione degli oggetti, Key Protect per la gestione delle chiavi di crittografia o i servizi di database gestiti senza instradare il traffico attraverso Internet pubblico. Per ulteriori informazioni, vedere Informazioni sugli endpoint privati virtuali.

Percorso privato

IBM Cloud Private Path consente la connettività privata consumer-to-provider per i servizi IBM, partner o ospitati dai clienti sulla rete IBM Cloud Private. Questa soluzione è preziosa quando è necessario accedere a servizi di terze parti, soluzioni di partner o applicazioni personalizzate senza esporre il traffico alla rete Internet pubblica. Per ulteriori informazioni, vedere Informazioni su IBM Cloud Private Path.

Connettività esterna

La connettività esterna consente la comunicazione tra le risorse della VPC e la rete Internet pubblica. Per impostazione predefinita, tutte le risorse VPC sono private e non possono essere accessibili da Internet. È necessario abilitare esplicitamente la connettività esterna utilizzando la traduzione degli indirizzi di rete (NAT).

NAT (Network Address Translation)

La traduzione degli indirizzi di rete (NAT) è un metodo per mappare gli indirizzi IP privati utilizzati all'interno della VPC in indirizzi IP pubblici che possono comunicare con Internet. Il NAT è essenziale per la connettività esterna perché le risorse VPC utilizzano indirizzi IP privati provenienti da intervalli di indirizzi RFC 1918 (come 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16) che non sono instradabili sulla rete Internet pubblica. Il NAT consente a queste risorse private di comunicare con i servizi Internet traducendo i loro indirizzi IP privati in indirizzi IP pubblici.

IBM Cloud VPC supporta due tipi di NAT:

NAT di origine (SNAT): Traduce l'indirizzo IP di origine del traffico in uscita da un IP privato a un IP pubblico. Questo comportamento consente alle istanze del server virtuale di avviare connessioni a Internet nascondendo i propri indirizzi IP privati. SNAT è implementato attraverso gateway pubblici e utilizza una mappatura molti-a-uno in cui più istanze condividono un singolo indirizzo IP pubblico.
Destinazione NAT (DNAT): Traduce l'indirizzo IP di destinazione del traffico in entrata da un IP pubblico a un IP privato. Questo comportamento consente ai client esterni di avviare connessioni alle istanze della VPC. Il DNAT è implementato tramite indirizzi IP flottanti e utilizza una mappatura uno-a-uno in cui ogni indirizzo IP pubblico corrisponde a un singolo indirizzo IP privato.

Opzioni di connettività esterna

IBM Cloud VPC offre le seguenti opzioni per la connettività esterna:

Gateway pubblico

Un gateway pubblico consente a tutte le istanze di una sottorete di accedere a Internet per le connessioni in uscita. Le istanze non possono ricevere connessioni in entrata da Internet.

Utilizzare un gateway pubblico nei seguenti casi:

Istanze che necessitano di scaricare aggiornamenti software o pacchetti da internet
Le applicazioni devono effettuare chiamate API in uscita verso servizi esterni
Più istanze richiedono l'accesso a Internet in uscita senza esporle al traffico in entrata

Per ulteriori informazioni, vedere Informazioni sui gateway pubblici.

Indirizzo IP mobile

Un indirizzo IP flottante è un indirizzo IP pubblico che si può associare a un'interfaccia di rete virtuale per consentire la connettività internet bidirezionale di una singola istanza.

Utilizzare un indirizzo IP flottante nei seguenti casi:

Per esporre un server web, un'applicazione o un endpoint API a Internet
Per fornire l'accesso SSH o RDP a un'istanza da internet
Per facilitare la connettività bidirezionale per un'istanza specifica
Per implementare un host bastione o un server di salto

Quando si associa un IP flottante a un'istanza, questa è esposta al traffico Internet in entrata. Usate i gruppi di sicurezza e le ACL di rete per controllare l'accesso e proteggere la vostra istanza.

Per ulteriori informazioni, vedere Informazioni sugli indirizzi IP flottanti.

La tabella seguente evidenzia la differenza tra un gateway pubblico e un IP flottante:

Confronto tra le opzioni di connettività esterna
Funzione	Gateway pubblico	IP mobile
Direzione	Solo in uscita. Le istanze possono avviare connessioni a Internet ma non possono ricevere connessioni in entrata	Bidirezionale. Le istanze possono avviare e ricevere connessioni
Ambito	Intera sottorete	Istanza singola
Tipo di NAT	NAT di origine (SNAT)- Many-to-1 NAT	Destination NAT (DNAT)- 1-to-1 NAT
Caso d'uso	Aggiornamenti software, download di pacchetti, chiamate API in uscita	Server web, endpoint delle applicazioni, accesso SSH
Sicurezza	Le istanze sono protette dal traffico Internet in entrata	Le istanze sono esposte al traffico Internet in entrata (utilizzare i gruppi di sicurezza per controllare l'accesso)

Intervalli di indirizzi pubblici

Un intervallo di indirizzi pubblici è un insieme contiguo di indirizzi IP pubblici forniti da IBM che è possibile riservare e associare a una VPC in una zona di disponibilità. A differenza degli indirizzi IP flottanti, che forniscono singoli indirizzi IP pubblici, gli intervalli di indirizzi pubblici forniscono un blocco di indirizzi IP pubblici consecutivi che possono essere utilizzati per scenari avanzati di routing e sicurezza.

Utilizzare un intervallo di indirizzi pubblici nei seguenti casi:

Per instradare il traffico Internet in entrata attraverso un dispositivo di sicurezza o un firewall centralizzato per l'ispezione.
Per evitare di gestire più indirizzi IP flottanti singolarmente e gestire invece il traffico attraverso un unico intervallo IP scalabile.
Per allocare blocchi contigui di indirizzi IP pubblici per politiche di routing e sicurezza scalabili.
Implementare architetture di rete avanzate con appliance VNF o soluzioni di sicurezza di terze parti.

Gli intervalli di indirizzi pubblici non possono essere assegnati direttamente alle risorse. Sono utilizzati solo nelle tabelle di rotte personalizzate in ingresso per indirizzare il traffico verso risorse di destinazione next-hop, come i firewall. Rivedere e personalizzare le regole dei gruppi di sicurezza, le ACL di rete e le rotte di uscita per controllare il flusso di traffico per l'intervallo di indirizzi pubblici IP.

Per ulteriori informazioni, vedere Informazioni sugli intervalli di indirizzi pubblici.

Confronto tra i servizi di gateway

La tabella seguente riassume le funzionalità dei servizi gateway VPC:

Funzionalità dei servizi gateway
Funzionalità	Gateway pubblico (SNAT)	IP fluttuante (DNAT)	Network ACL	VPN for VPC
Accesso a Internet in uscita	Sì - Intera sottorete	Sì - Istanza singola	N/D	N/D
Accesso a Internet in entrata	No	Sì - Limitato a una singola istanza	Sì - Limitato dalle regole	No
Controllo accesso	Istanze protette dal traffico in entrata	Richiede gruppi di sicurezza per la protezione	Filtraggio stateless per servizio, protocollo o porta	Connettività criptata da sito a sito
Scalabilità	Supporta migliaia di istanze per subnet	Un IP flottante per istanza	Applicato all'intera sottorete	Supporta più connessioni VPN
Caso d'uso	Accesso a Internet solo in uscita	Servizi rivolti al pubblico	Sicurezza di base della sottorete	Connettività al cloud ibrido

Figura che mostra come una VPC può essere suddivisa in — IBM Connettività e sicurezza della VPC

Bilanciamento del carico e servizi DNS

VPC fornisce servizi di bilanciamento del carico e DNS per distribuire il traffico, migliorare la disponibilità e consentire la scoperta dei servizi nell'architettura di rete.

Bilanciatori di carico per VPC

IBM Cloud Load Balancer for VPC distribuisce il traffico su più istanze per migliorare la disponibilità e le prestazioni delle applicazioni.

Tipi di bilanciatori di carico

Application Load Balancer- Bilanciamento del carico Layer 7 con funzionalità di routing avanzate basate sul traffico HTTP / HTTPS
Network Load Balancer- Bilanciamento del carico Layer 4 per il traffico TCP e UDP con elevato throughput e bassa latenza

Opzioni di distribuzione del bilanciatore di carico

Bilanciatori di carico pubblici- Distribuiscono il traffico da Internet alle istanze della VPC
Bilanciatori di carico privati- Distribuiscono il traffico tra risorse interne o da reti private

I bilanciatori di carico si integrano perfettamente con le sottoreti VPC, i VNI e i controlli di sicurezza per fornire una soluzione completa di distribuzione del traffico. Per ulteriori informazioni, consultare IBM Cloud Load Balancer for VPC.

DNS Services

IBM Cloud® DNS Services fornisce la risoluzione autorevole dei nomi DNS per le risorse VPC e consente di individuare i servizi nell'architettura di rete. DNS Services svolge un ruolo fondamentale in tutti e tre gli ambiti di connettività (interno, privato ed esterno), fornendo la risoluzione dei nomi per le risorse e i servizi. Per ulteriori informazioni, vedi Informazioni su DNS Services.

Passi successivi

Ora che si conoscono i concetti di rete VPC, è possibile: