Informationen zu VPE-Gateways
IBM Cloud® Virtual Private Endpoints (VPE) for VPC bietet Ihnen die Möglichkeit, eine Verbindung zu unterstützten IBM Cloud-Services aus Ihrem VPC-Netz mithilfe von IP-Adressen Ihrer Wahl herzustellen, die aus einem Teilnetz in Ihrer VPC zugeordnet werden.
VPE stellt eine Weiterentwicklung in Bezug auf die private Konnektivität zu IBM Cloud-Services dar. Bei den virtuellen privaten Endpunkten handelt es sich um virtuelle IP-Schnittstellen, die an ein Endpunktgateway gebunden sind, das je nach dem Betriebsmodell des Service auf Basis von 'pro Service' bzw. 'pro Serviceinstanz' erstellt wurde. Dieses Endpunktgateway ist eine horizontal skalierte, redundante und hoch verfügbare virtualisierte Funktion, die sich über alle Verfügbarkeitszonen Ihrer VPC erstreckt. Endpunkt-Gateways ermöglichen die Kommunikation von virtuellen Serverinstanzen in Ihrer VPC mit einem IBM Cloud®-Service im privaten Backbone. Mit VPC for VPC können Sie die gesamte private Adressierung innerhalb Ihrer Cloud steuern.
Ähnlich wie bei Serviceendpunkten stellt VPE for VPC eine private Verbindung zu IBM Services bereit, jedoch innerhalb des von Ihnen gewünschten VPC-Netzes.
Funktionsübersicht von
VPE for VPC zeichnet sich durch die folgenden Merkmale aus:
-
Öffentliche Konnektivität ist nicht erforderlich. Es entstehen keine Gebühren für abgehende öffentlichen Daten.
-
IBM Cloud-Assets werden über einen privaten Service-Provider erreicht.
-
Ein VPE ist in Ihrem Netzadressraum aktiv und erweitert Ihre private Cloud oder Multicloud mit IBM Cloud.
-
Sie können Sicherheit durch Netzzugriffssteuerungslisten (Network Access Control Lists - NACLs) anwenden.
-
Die Endpunkt-IP wird in einem kundendefinierten virtuellen Netz bereitgestellt.
-
Umfasst die Plattformintegration in VPC-Identity and Access Management (IAM), Netz-ACLs, Sicherheitsgruppen und Tagging.
-
Der Zugriff auf neue Endpunkte erfolgt über die Konsole, die Befehlszeilenschnittstelle (CLI) und die API.
-
Lokaler VPE-Gateway für unterstützte IBM Cloud-Dienste innerhalb einer DNS-freigebenden VPC-Topologie. Dies ermöglicht eine lokale, private Verbindung zwischen einem Shared-VPC-VPE-Gateway und dem Cloud-Dienst, sodass der Datenverkehr nicht mehr über die Hub-VPC geleitet werden muss. Derzeit nur für „ IBM Cloud Object Storage “ unterstützt.
-
Ermöglicht die Integration mit DNS-Services.
-
Der Zugriff auf neue Endpunkte erfolgt über die Konsole, die Befehlszeilenschnittstelle (CLI) und die API.
-
Ermöglicht die Integration mit DNS-Services.
-
Verbinden Sie Dienste und Ressourcen über verschiedene IBM Cloud Konten hinweg und halten Sie den Datenverkehr dabei im IBM Cloud privaten Netzwerk.
Bei der Erstellung eines Endpunktgateways werden zugleich auch eine DNS-Zone und Datensätze erstellt. Der VPE-Service aktualisiert automatisch Ihre virtuellen Serverinstanzen so, dass diese den privaten DNS als DNS-Standardresolver verwenden. Weitere Informationen finden Sie unter DNS-Services.
Unterstützte Services
Informationen zu den unterstützten IBM Cloud-Services finden Sie unter Von VPE unterstützte Services.
Einführung
Gehen Sie wie folgt vor, um einen virtuellen privaten Endpunkt zu konfigurieren:
- Listen Sie die verfügbaren Services auf, einschließlich der IBM Cloud-Infrastrukturservices, die (standardmäßig) für alle VPC-Benutzer verfügbar sind.
- Informieren Sie sich über die Hinweise zur Planung. Ausführliche Informationen hierzu finden Sie im Abschnitt Planung für VPE-Gateways.
- Erstellen Sie für jeden Service, den Sie privat für die VPC zur Verfügung stellen möchten, ein Endpunktgateway. Weitere Informationen finden Sie unter Endpunktgateway erstellen.
- Binden Sie eine reservierte IP-Adresse an das Endpunktgateway. Details dazu finden Sie unter Reservierte IP-Adresse binden und Bindung aufheben.
Nach dem Erstellen eines Endpunktgateways können virtuelle Serverinstanzen in der VPC privat über das Endpunktgateway auf den IBM Cloud-Service zugreifen.
VPE-Konnektivitätsmuster
IP-Adressen von VPE for VPC verwenden ein logisches Endpunktgateway in einer Region mit mehreren Zonen für die Verbindung zu einem Serviceendpunkt im privaten IBM Cloud-Backbone. Das Endpunktgateway ist so konzipiert, dass beim Binden einer einzelnen IP aus den einzelnen Zonen der VPC das beste Verfahren eingesetzt wird. Sie können ein Endpunktgateway mit Nulladressen für die IPs erstellen und IP-Adressen binden, sobald die einzelnen Zonen online sind.
Da mehrere IBM Cloud-Services für VPE for VPC aktiviert sind, müssen Sie für jede Serviceinstanz ein zugehöriges Endpunktgateway konfigurieren. Jede Serviceinstanz nutzt jedoch dieselben Topologien und bewährten Verfahren. Informationen zu den Richtlinien für die Einrichtung und bewährte Verfahren finden Sie in der Dokumentation zu den einzelnen Services.
Einzelzonentopologie
Topologie mit mehreren Zonen
Verbindung über Konten und Regionen hinweg
VPE-Gateways unterstützen die Konnektivität über IBM Cloud Konten und Regionen hinweg. Auf diese Weise können Sie Ihre VPC-Ressourcen privat und sicher mit IBM Cloud Service-Instanzen verbinden, die in anderen Konten oder Regionen gehostet werden.
Verwenden Sie diese Funktion, um Workloads, die in Ihrer VPC ausgeführt werden, mit IBM Cloud Diensten zu verbinden, unabhängig davon, welches Konto diese Dienste hostet. Plattformdienste nutzen VPE auch, um einen privaten, kontoübergreifenden Zugriff für Automatisierung und Serviceintegration zu ermöglichen.
Informationen zum Erstellen eines kontoübergreifenden VPE-Gateways finden Sie unter Erstellen eines Endpunkt-Gateways.
Unterstützung für lokale VPE-Gateways
Sie können lokal zugängliche VPEs in DNS-gemeinsam genutzten VPCs erstellen, die Teil einer DNS-gemeinsam genutzten VPC-Topologie sind. Jede lokale VPE kann den Datenverkehr für bestimmte Dienstressourcen (z. B. einzelne Object Storage Buckets) verarbeiten, während die Hub-VPC-VPE weiterhin Anfragen für die übrigen Dienstressourcen (z. B. alle anderen Object Storage Buckets) verwaltet.
Diese Funktion ermöglicht eine detaillierte Zugriffskontrolle auf Serviceressourcen durch kontextbasierte Einschränkungen (CBR), Sicherheitsgruppen und Netzwerk-ACLs. Außerdem wird dadurch sichergestellt, dass der Datenverkehr von lokal zugänglichen VPEs nicht über die Hub-VPC geleitet wird.