Architektur

Der Dynamic Route Server for VPC ist eine Beta-Funktion, die ausgewählten Kunden zu Evaluierungs- und Testzwecken zur Verfügung steht. Der Zugriff ist auf Konten beschränkt, die auf der Whitelist stehen.

Der Dynamic Route Server für VPC automatisiert die Verwaltung des Routings in komplexen Netzwerktopologien. Anstatt statische Routen manuell zu pflegen, wenn sich Workloads, Firewalls und verbundene Netzwerke ändern, definieren Sie Routing-Richtlinien einmalig, und der dynamische Routenserver hält Ihre VPC-Routing-Tabellen automatisch auf dem neuesten Stand. Es nutzt das Border Gateway Protocol (BGP), um Routen von verbundenen Peers zu ermitteln, und wendet Ihre Richtlinien an, um zu bestimmen, welche Routen zu den VPC-Routing-Tabellen hinzugefügt, an andere Peers weitergeleitet oder an verbundene Netzwerke zurückgesendet werden.

Ein dynamischer Routenserver befindet sich nicht im Datenpfad. Der Datenverkehr zwischen Ihren Workloads und den verbundenen Netzwerken folgt den Routen, die der dynamische Routenserver Ihren VPC-Routing-Tabellen hinzufügt, und läuft nicht über den dynamischen Routenserver selbst.

Zentrale Konzepte

Machen Sie sich mit den folgenden Konzepten vertraut, die Ihnen bei der Planung und Konfiguration eines dynamischen Routenservers helfen.

Member

Eine dynamische Routing-Server-Instanz besteht aus einem oder mehreren Mitgliedern. Jedes Mitglied ist eine Routing-Appliance, die von IBM Cloud verwaltet und in der Verfügbarkeitszone der von Ihnen bereitgestellten virtuellen Netzwerkschnittstelle (VNI) bereitgestellt wird. Die Mitglieder bauen BGP-Sitzungen mit Ihren Peers auf und tauschen im Auftrag der Instanz des dynamischen Routingservers Routing-Informationen aus. Sie können bis zu drei Mitglieder haben – eines pro Verfügbarkeitszone –, um Redundanz auf Zonenebene zu gewährleisten.

Kollegen und Kollegengruppen

Ein Peer ist jedes BGP-fähige Netzwerkgerät, mit dem der dynamische Routenserver eine Verbindung herstellt, beispielsweise eine Firewall, ein Router, ein SD-WAN-Gerät oder eine IBM Cloud® Transit Gateway-Verbindung. Peers sind in Peer-Gruppen organisiert, sodass Routing-Verhalten, Zustandsüberwachung und Routenfilter einmalig definiert und einheitlich auf alle Mitglieder der Gruppe angewendet werden können.

Eine Peer-Gruppe kann eine der folgenden Rollen einnehmen:

Router
Der Peer tauscht Routen mit dem dynamischen Routenserver über BGP aus. Verwenden Sie diese Rolle für Geräte, die Routen bekanntgeben und erlernen, wie beispielsweise Router oder SD-WAN-Geräte.
Nächster Hop
Der Peer dient ausschließlich als Weiterleitungsziel. Der dynamische Routenserver fügt den VPC-Routing-Tabellen Routen hinzu, die auf diesen Peer als nächsten Hop verweisen, aber der Peer gibt keine Routen bekannt. Verwenden Sie diese Rolle für Firewalls oder Sicherheitsgeräte, durch die der Datenverkehr zur Überprüfung geleitet werden muss.

Routing-Richtlinien

Routing-Richtlinien, die auf Peer-Gruppenebene definiert werden, steuern, wie der dynamische Routenserver mit Routen umgeht. Die folgenden Richtlinientypen werden unterstützt:

VPC-Routing-Tabelle
Fügt Routen, die von einer Peer-Gruppe gelernt wurden, zu einer VPC-Ingress- oder Egress-Routing-Tabelle hinzu und leitet den Datenverkehr optional an eine angegebene Next-Hop-Peer-Gruppe, wie z. B. eine Firewall, weiter. Routen werden automatisch hinzugefügt und entfernt, je nach Betriebszustand der Next-Hop-Peers.
Gelerntes Routen
Spiegelt Routen wider, die von einer Peer-Gruppe an andere Router-Peer-Gruppen weitergegeben werden. Wenden Sie diese Richtlinie an, wenn der dynamische Routenserver als Routenreflektor zwischen verschiedenen Routing-Domänen fungiert, beispielsweise zwischen einem Transit-Gateway und einem Overlay-Netzwerk-Router.
Angepasste Routen
Kündigt statische, benutzerdefinierte Routen zu einer Peer-Gruppe über BGP an. Verwenden Sie diese Richtlinie, um Kollegen über feste Netzwerkpfade zu informieren, wie beispielsweise einen lokalen CIDR-Bereich.
Adresspräfixe für VPC
Teilt den Router-Peers die VPC-Adresspräfixe mit, damit externe Router und lokale Geräte erfahren, wie sie VPC-Workloads erreichen können.

Zustandsüberwachung und automatisches Failover

Wenn die Zustandsüberwachung für eine Peer-Gruppe aktiviert ist, überprüft der dynamische Routenserver kontinuierlich, ob die Peers erreichbar sind. Wenn ein Peer nicht mehr verfügbar ist, entfernt der dynamische Routenserver automatisch die Routen, die von diesem Peer abhängen, aus den VPC-Routing-Tabellen und verhindert so, dass Datenverkehr an ein nicht erreichbares Ziel gesendet wird. Sobald sich der Peer erholt hat, werden die Routen ohne manuellen Eingriff wiederhergestellt.

Sie können die Erkennungsmethode wählen, die Ihren Anforderungen am besten entspricht:

  • BFD über BGP – Bidirectional Forwarding Detection (BFD) erkennt Netzwerkausfälle in weniger als einer Sekunde. Diese Option wird für Next-Hop-Peer-Gruppen empfohlen, beispielsweise für Firewalls, bei denen ein schnelles Failover entscheidend ist.
  • BGP – Verwendet BGP-Keepalive- und Hold-Timer. Ein Fehler wird erkannt, wenn die BGP-Sitzung unterbrochen wird.
  • Keine – Deaktiviert die Zustandsüberwachung, sodass Routen nicht entfernt werden, wenn ein Peer ausfällt. Verwenden Sie diese Option nur, wenn der Peer BGP nicht unterstützt.

Transit Gateway-Integration

Sie können einen dynamischen Routenserver mit einem IBM Cloud® Transit Gateway verbinden, um am Routenaustausch über alle Netzwerke hinweg teilzunehmen, die mit dem Transit-Gateway verbunden sind, einschließlich Direct Link, anderer VPCs und virtueller Power-Serverumgebungen. Wenn die Verbindung hergestellt wird, baut das Transit-Gateway automatisch redundante BGP-Sitzungen zu jedem Mitglied des dynamischen Routenservers auf. Der dynamische Routenserver lernt Routen, die das Transit-Gateway bekannt gibt, und kann diese Routen mithilfe von Richtlinien in VPC-Routing-Tabellen hinzufügen oder an andere Peers weiterleiten.

Eine Instanz eines dynamischen Routing-Servers kann jeweils nur mit einem Transit-Gateway verbunden sein. Weitere Informationen finden Sie unter Über das IBM Cloud Transit Gateway.

Wie ein dynamischer Routing-Server den Datenverkehr durch eine Firewall leitet

Das folgende Beispiel zeigt, wie ein dynamischer Routenserver die Verkehrssteuerung durch eine Firewall in einer Topologie mit drei VPCs automatisiert. Dieses Beispiel ist ein gängiges Muster für Unternehmen, die verlangen, dass der gesamte Datenverkehr zwischen dem lokalen Netzwerk und den Cloud-Workloads über ein zentrales Sicherheitsgerät geleitet wird.

Eine

einzige Firewall als Next-Hop
: Dynamischer Routingserver, der den Datenverkehr über eine einzige Firewall
leitet

In dieser Topologie:

  • Ein lokales Netzwerk (10.0.0.0/16) ist über Direct Link mit IBM Cloud verbunden.
  • Eine Workload-VPC (172.16.0.0/16) hostet Cloud-Workloads und ist über das Transit Gateway mit der Edge-VPC verbunden.
  • Die Edge-VPC (10.240.0.0/16) ist die zentrale Sicherheitsinstanz. Es enthält den dynamischen Routingserver und eine Firewall (10.240.1.10), die der gesamte domänenübergreifende Datenverkehr passieren muss.

Ohne einen dynamischen Routenserver müssten Sie die Routen in der Ingress-Routing-Tabelle der Edge-VPC jedes Mal manuell hinzufügen und aktualisieren, wenn sich ein Workload-Subnetz ändert oder eine Firewall nicht mehr verfügbar ist. Mit einem dynamischen Routenserver wird dieser Vorgang automatisch abgewickelt:

  1. Der dynamische Routenserver stellt eine Verbindung zum Transit-Gateway her und ermittelt das VPC-Präfix der Workload (172.16.0.0/16). Das Transit-Gateway übermittelt dieses CIDR-Präfix über eine BGP-Sitzung an den dynamischen Routenserver.

  2. Eine Firewall-Peer-Gruppe wird mit der Firewall (10.240.1.10) als Next-Hop-Peer konfiguriert. BFD ist aktiviert, damit der dynamische Routenserver Ausfälle der Firewall schnell erkennen kann.

  3. Die Richtlinien der VPC-Routing-Tabelle werden angewendet. Der dynamische Routenserver fügt der Ingress-Routing-Tabelle der Edge-VPC zwei Routen hinzu:

    • Eine Route für 172.16.0.0/16 mit Next-Hop ( 10.240.1.10 Firewall): Fängt den Datenverkehr ab, der von der lokalen Umgebung in die Edge-VPC gelangt und für die Workload-VPC bestimmt ist, und leitet ihn durch die Firewall, bevor er zum Transit-Gateway weitergeleitet wird.

    • Eine Route 10.0.0.0/8 mit dem nächsten Hop 10.240.1.10 (Firewall): Fängt den Datenverkehr ab, der von der Workload-VPC in die Edge-VPC gelangt und für das lokale Netzwerk bestimmt ist, und leitet ihn durch die Firewall, bevor er zum lokalen Netzwerk weitergeleitet wird.

  4. Der Datenverkehr fließt in beide Richtungen durch die Firewall. Der gesamte Datenverkehr zwischen dem lokalen Netzwerk und der Workload-VPC durchläuft zur Überprüfung die Firewall, unabhängig davon, in welche Richtung er verläuft. Nachdem die Firewall den Datenverkehr geprüft und weitergeleitet hat, leitet die Routing-Tabelle des VPC-Systems ihn an das Transit-Gateway weiter, das ihn an den Bestimmungsort übermittelt.

  5. Wenn die Firewall ausfällt, erkennt der dynamische Routenserver den Ausfall über BFD und entfernt automatisch beide Routen aus der Eingangs-Routing-Tabelle. Der Datenverkehr wird gestoppt, anstatt an ein nicht erreichbares Gerät weitergeleitet zu werden. Sobald die Firewall wieder funktionsfähig ist, werden die Routen automatisch wiederhergestellt.

In diesem Beispiel wird eine einzelne Firewall verwendet. Für das Failover im Aktiv- und Standby-Modus können Sie eine zweite Firewall als Next-Hop-Peer mit niedrigerer Priorität in derselben Peer-Gruppe hinzufügen. Zur Zonenredundanz können Sie Firewalls in mehreren Verfügbarkeitszonen bereitstellen und diese mit zonenspezifischen Prioritäten derselben Peer-Gruppe hinzufügen. Weitere Informationen finden Sie unter Anwendungsfälle für den Dynamic Route Server.