Acerca de las pasarelas de punto final privado virtual

IBM Cloud® Virtual Private Endpoints (VPE) for VPC le permite conectarse a los servicios de IBM Cloud soportados desde su red de VPC utilizando las direcciones IP de su elección, asignadas desde una subred dentro de su VPC.

VPE es una evolución de la conectividad privada con los servicios de IBM Cloud. Los VPE son interfaces IP virtuales que están enlazadas a una pasarela de punto final creada para cada servicio o cada instancia de servicio individualmente, en función del modelo de operación del servicio. La pasarela de punto final es una función virtualizada que se escala horizontalmente, es redundante y tiene alta disponibilidad, y abarca todas las zonas de disponibilidad de la VPC. Las pasarelas de punto final permiten las comunicaciones de instancias de servidor virtual dentro de la VPC y el servicio IBM Cloud® en la red troncal privada. VPE para VPC le ofrece la experiencia de controlar todo el direccionamiento privado dentro de la nube.

De forma similar a los puntos finales de servicio, VPE for VPC proporciona conectividad privada con los servicios de IBM, pero dentro de la red de VPC que elija.

Visión general de las características

Las características de VPE for VPC incluyen:

  • La conectividad pública no es obligatoria y no tiene cargos de salida de datos públicos.

  • Accede a activos de IBM Cloud a través de un proveedor de servicios privado.

  • Un VPE se encuentra en el espacio de direcciones de red, y amplía su espacio privado y multinube a IBM Cloud.

  • Puede aplicar seguridad mediante listas de control de acceso a la red (NACL).

  • La IP de punto final se despliega en una red virtual definida por el cliente.

  • Incluye integración de plataformas a VPC-Identity and Access Management (IAM), ACLs de red, grupos de seguridad y etiquetado.

  • El acceso a los nuevos puntos finales se realiza a través de la consola, la CLI y la API.

  • Puerta de enlace VPE de acceso local para servicios compatibles con IBM Cloud dentro de una topología VPC que comparte DNS. Esto permite la conectividad local y privada entre una puerta de enlace VPE de VPC compartida y el servicio en la nube, lo que elimina la necesidad de enrutar el tráfico a través de la VPC central. Actualmente solo compatible con IBM Cloud Object Storage.

  • Se integra con servicios DNS.

  • El acceso a los nuevos puntos finales se realiza a través de la consola, la CLI y la API.

  • Se integra con servicios DNS.

  • Conecte servicios y recursos entre diferentes IBM Cloud cuentas mientras mantiene el tráfico en la red IBM Cloud privada.

    Cuando se crea una pasarela de punto final, se crea una zona de DNS y registros. El servicio VPE actualiza automáticamente las instancias de servidor virtual para que utilicen el DNS privado como programa de resolución de DNS predeterminado. Para obtener más información, consulte Servicios de DNS.

Servicios soportados

Para ver los servicios de IBM Cloud soportados, consulte Servicios soportados de VPE.

cómo empezar

Para configurar un punto final privado virtual, siga estos pasos:

  1. Enumere los servicios disponibles, incluidos los servicios de infraestructura de IBM Cloud disponibles (de forma predeterminada) para todos los usuarios de VPC.
  2. Revise las consideraciones de planificación. Consulte Planificación de pasarelas de punto final privado virtual para obtener información detallada.
  3. Cree una pasarela de punto final para cada servicio que desee que esté disponible de forma privada para la VPC. Consulte Creación de una pasarela de punto final para obtener más detalles.
  4. Enlace una dirección IP reservada a la pasarela de punto final. Consulte Enlace y desenlace de una dirección IP reservada para obtener más detalles.

Una vez que se ha creado la pasarela de punto final, las instancias de servidor virtual de la VPC pueden acceder al servicio de IBM Cloud de forma privada mediante la pasarela de punto final.

Patrones de conectividad de VPE

Las direcciones IP de VPE for VPC utilizan una pasarela de punto final lógica de varias zonas y regiones para conectarse a un punto final de servicio en la red troncal privada de IBM Cloud. La pasarela de punto final está diseñada para dar soporte a la práctica recomendada consistente en enlazar una sola IP desde cada zona de la VPC. Puede crear una pasarela de punto final con cero direcciones IP y enlazar IP a medida que cada zona se coloque en línea.

A medida que se habiliten más servicios de IBM Cloud para VPE for VPC, cada instancia de servicio requerirá que configure su pasarela de punto final, pero aprovechará las mismas topologías y prácticas recomendadas. Para ver instrucciones adicionales de suministro y prácticas recomendadas, consulte la documentación proporcionada por el servicio individual.

Topología de una sola zona

Topología de zona única " caption-side="bottom} de zona única{: caption="

Topología de varias zonas

Topología multizona " caption-side="bottom} multizona{: caption="

Conectando cuentas y regiones

Las puertas de enlace VPE admiten la conectividad entre IBM Cloud cuentas y regiones. Esto le permite conectar de forma privada y segura sus recursos VPC a instancias IBM Cloud de servicio alojadas en otras cuentas o regiones.

Utilice esta función para conectar las cargas de trabajo que se ejecutan en su VPC a IBM Cloud servicios, independientemente de la cuenta que aloje dichos servicios. Los servicios de la plataforma también utilizan VPE para permitir el acceso privado entre cuentas con fines de automatización e integración de servicios.

Para crear una puerta de enlace VPE entre cuentas, consulte Creación de una puerta de enlace de punto final.

Compatibilidad con la puerta de enlace VPE de acceso local

Puede crear VPE de acceso local en VPC compartidas por DNS que formen parte de una topología de VPC compartida por DNS. Cada VPE de acceso local puede gestionar el tráfico de recursos de servicio específicos (por ejemplo, buckets Object Storage individuales), mientras que el VPE de VPC central sigue gestionando las solicitudes del resto de recursos de servicio (por ejemplo, todos los demás Object Storage buckets).

Esta capacidad permite un control de acceso granular a los recursos del servicio mediante restricciones basadas en el contexto (CBR), grupos de seguridad y ACL de red. También ayuda a garantizar que el tráfico de datos de los VPE de acceso local no atraviese el VPC del concentrador.