A propos des passerelles de points d'extrémité virtuels privés

IBM Cloud® Virtual Private Endpoints (VPE) for VPC vous permet de vous connecter à des services IBM Cloud pris en charge à partir de votre réseau VPC, à l'aide des adresses IP de votre choix, allouées à partir d'un sous-réseau de votre VPC.

VPE est une évolution de la connectivité privée vers les services IBM Cloud. Les noeuds finaux privés virtuels (VPE) sont des interfaces IP virtuelles liées à une passerelle de noeud final créée pour un service ou une instance de service (en fonction du modèle d'exploitation de services). La passerelle de noeud final est une fonction virtualisée qui peut être mise à l'échelle horizontalement, est redondante et hautement disponible, et couvre toutes les zones de disponibilité de votre VPC. Les passerelles de noeud final activent les communications à partir d'instances de serveur virtuel dans votre service VPC et IBM Cloud® sur le réseau central privé. VPE for VPC vous permet de contrôler l'ensemble de l'adressage privé au sein de votre cloud.

A l'instar des points d'extrémité de service, VPE pour VPC fournit une connectivité privée aux services IBM, mais dans le réseau VPC de votre choix.

Présentation des fonctions

Les fonctions de VPE for VPC sont les suivantes :

  • Aucune connectivité publique requise et aucun frais de sortie de données publiques.

  • Accès aux actifs IBM Cloud via un fournisseur de service privé.

  • Un VPE réside dans votre espace d'adresses réseau et étend vos clouds privé et multicloud dans IBM Cloud.

  • Vous pouvez appliquer la sécurité via les listes de contrôle d'accès réseau (NACL).

  • L'adresse IP du point d'extrémité est déployée dans un réseau virtuel défini par le client.

  • Inclut l'intégration de la plateforme à VPC-Identity and Access Management (IAM), les listes de contrôle d'accès réseau (ACL), les groupes de sécurité et le balisage.

  • L'accès aux nouveaux points de terminaison s'effectue via la console, l'interface de ligne de commande (CLI) et l'API.

  • Passerelle VPE à accès local pour les services pris en charge par l' IBM Cloud dans une topologie VPC à partage DNS. Cela permet une connectivité locale et privée entre une passerelle VPE VPC partagée et le service cloud, éliminant ainsi le besoin d'acheminer le trafic via le hub VPC. Actuellement pris en charge uniquement pour IBM Cloud Object Storage.

  • Intégration à DNS Services.

  • L'accès aux nouveaux points de terminaison s'effectue via la console, l'interface de ligne de commande (CLI) et l'API.

  • Intégration à DNS Services.

  • Connectez les services et les ressources entre différents IBM Cloud comptes tout en conservant le trafic sur le réseau IBM Cloud privé.

    Lors de la création d'une passerelle de points d'extrémité, une zone DNS et des enregistrements sont créés. Le service VPE met automatiquement à niveau vos instances de serveur virtuel pour utiliser le DNS privé comme programme de résolution DNS par défaut. Pour plus d'informations, voir DNS Services.

Services pris en charge

Pour prendre connaissance des services IBM Cloud pris en charge, voir Services VPE pris en charge.

Mise en route

Pour configurer un point d'extrémité virtuel privé, procédez comme suit :

  1. Répertoriez les services disponibles, y compris les services d'infrastructure IBM Cloud disponibles (par défaut) pour tous les utilisateurs VPC.
  2. Passez en revue les remarques relatives à la planification. Pour plus d'informations, voir Planification des passerelles de points d'extrémité virtuels privés.
  3. Créez une passerelle de points d'extrémité pour chaque service devant être disponible en privé sur le VPC. Pour plus de détails, voir Création d'une passerelle de points d'extrémité.
  4. Liez une adresse IP réservée à la passerelle de points d'extrémité. Pour plus de détails, reportez-vous à la rubrique Liaison et dissociation d'une adresse IP réservée.

Une fois la passerelle de points d'extrémité créée, les instances de serveur virtuel du VPC peuvent accéder au service IBM Cloud en privé via la passerelle de points d'extrémité.

Modèles de connectivité VPE

Les adresses IP VPE for VPC utilisent une passerelle de points d'extrémité logique avec régions multizone pour se connecter à un point d'extrémité de service sur le réseau principal privé IBM Cloud. La passerelle de points d'extrémité est conçue pour prendre en charge la meilleure pratique en matière de liaison d'une adresse IP à partir de chaque zone du VPC. Vous pouvez créer une passerelle de points d'extrémité avec zéro adresse IP et lier des adresses IP à mesure que chaque zone est mise en ligne.

A mesure que de plus en plus de services IBM Cloud sont activés pour VPE for VPC, il devient nécessaire de configurer la passerelle de points d'extrémité de chacune des instances de service, mais celles-ci exploitent les mêmes topologies et les mêmes meilleures pratiques. Pour obtenir des instructions supplémentaires concernant la mise à disposition et les meilleures pratiques, voir la documentation fournie par chaque service.

Topologie à zone unique

Topologie à zone unique " caption-side="bottom} à zone unique{: caption="

Topologie multizone

Topologie multizone " caption-side="bottom} multizone{: caption="

Connexion entre comptes et régions

Les passerelles VPE prennent en charge la connectivité entre IBM Cloud les comptes et les régions. Cela vous permet de connecter de manière privée et sécurisée vos ressources VPC à des instances IBM Cloud de service hébergées dans d'autres comptes ou régions.

Utilisez cette fonctionnalité pour connecter les charges de travail exécutées dans votre VPC à IBM Cloud des services, quel que soit le compte qui héberge ces services. Les services de plateforme utilisent également VPE pour permettre un accès privé et inter-comptes à des fins d'automatisation et d'intégration des services.

Pour créer une passerelle VPE inter-comptes, consultez la section Création d'une passerelle de point de terminaison.

Prise en charge de la passerelle VPE à accès local

Vous pouvez créer des VPE à accès local dans des VPC partagés par DNS qui font partie d'une topologie VPC partagée par DNS. Chaque VPE d'accès local peut gérer le trafic pour des ressources de service spécifiques (par exemple, des compartiments Object Storage individuels), tandis que le VPE VPC central continue de gérer les demandes pour le reste des ressources de service (par exemple, tous les autres Object Storage compartiments).

Cette fonctionnalité permet un contrôle d'accès granulaire aux ressources de service grâce à des restrictions basées sur le contexte (CBR), des groupes de sécurité et des listes de contrôle d'accès réseau (ACL). Cela permet également de garantir que le trafic de données provenant des VPE à accès local ne traverse pas le hub VPC.