Funktionen des Dynamic Route Servers

Der Dynamic Route Server für VPC bietet die folgenden Funktionen:

Dynamischer Routenaustausch

Stellt eBGP-Sitzungen mit externen Peers wie Routern, Firewalls, SD-WAN-Geräten und Transit-Gateways her, um Netzwerkrouten dynamisch zu ermitteln und zu veröffentlichen.

Richtliniengesteuertes Routing

Verwendet von Ihnen definierte Routing-Richtlinien, um zu steuern, wie Routen erlernt, reflektiert, bekannt gegeben oder zu VPC-Routing-Tabellen hinzugefügt werden.

Integration mit Transit Gateway

Integriert sich mit IBM Cloud® Transit Gateway als schreibgeschützter Spoke durch die Verwendung redundanter GRE-Tunnel mit eBGP, wodurch ein dynamischer Routenaustausch ermöglicht wird.

Hochverfügbarkeit (HA)

Stützt die Serverinstanz mit einem oder mehreren Knoten, die über verschiedene Verfügbarkeitszonen verteilt sind. Dieses Design bietet Redundanz auf Appliance-Ebene und einen kontinuierlichen Routenaustausch bei Ausfällen.

Statisches Routing

Fügt statische Routen dynamisch zu den VPC-Routing-Tabellen hinzu. Im Gegensatz zu herkömmlichen statischen Routen sind diese statischen Routen zustandsabhängig und werden je nach Zustand der Next-Hop-Peer-Gruppe automatisch hinzugefügt oder entfernt.

Anwendungsfall 1: Weiterleitung des Datenverkehrs über eine einzige Firewall als Next Hop

Sie können einen dynamischen Routenserver verwenden, um Routen über eine einzige Firewall zu veröffentlichen, die als Next-Hop-Gerät für den VPC-Datenverkehr fungiert. Der dynamische Routenserver erlernt Routen von BGP-Peers und fügt dynamisch zustandsbewusste Routen in die VPC-Routing-Tabellen ein, um den Datenverkehr zur Überprüfung durch die Firewall zu leiten. Wenn die Firewall ausfällt, werden die zugehörigen Routen zurückgezogen, um ein Blackholing des Datenverkehrs zu verhindern.

Eine

Die in diesem Beispiel verwendeten IP-Adressen, CIDR-Bereiche, ASNs und Ressourcennamen dienen lediglich der Veranschaulichung. Ersetzen Sie diese durch Werte, die zu Ihrer Umgebung passen. Führen Sie die folgenden Schritte aus, um diese Konfiguration einzurichten:

1. Erstellen Sie die VPC-Infrastruktur.

   1. Erstellen Sie eine Edge-VPC mit CIDR 10.240.0.0/16.
   2. Erstellen Sie beispielsweise ein Subnetz in der Edge-VPC für den dynamischen Routenserver und die Firewall 10.240.0.0/24.
   3. Erstellen Sie eine Workload-VPC mit CIDR 172.16.0.0/16.
   4. Erstellen Sie ein Workload-Subnetz, zum Beispiel 172.16.0.0/24.
   5. Konfigurieren Sie Sicherheitsgruppen so, dass BGP, BFD und jeglicher weiterer spezifischer Datenverkehr, der für die Routing-Steuerung erforderlich ist, zugelassen wird.

   Weitere Informationen finden Sie unter Erste Schritte mit Virtual Private Cloud(VPC) und Verwenden der IBM Cloud-Konsole zum Erstellen von VPC-Ressourcen.

2. Einrichten der Direct Link- und Transit Gateway-Verbindungen

   1. Bestellen Sie eine Direct Link-Verbindung zwischen Ihrem lokalen Netzwerk (10.0.0.0/16) und IBM Cloud.

      • Verbinden Sie das lokale Netzwerk (10.0.0.0/16) mit Direct Link.
      • Verbinden Sie die Edge-VPC (10.240.0.0/16) mit Direct Link.

   2. Erstellen Sie eine Transit Gateway-Verbindung.

      • Verbinden Sie die Workload-VPC (172.16.0.0/16) mit dem Transit Gateway.
      • Verbinden Sie die Edge-VPC (10.240.0.0/16) mit dem Transit Gateway.
      • Konfigurieren Sie einen Filter zum Blockieren von Präfixen und 10.0.0.0/8 in 172.16.0.0/16 der Edge-VPC-Verbindung.

   3. Stellen Sie sicher, dass die folgenden Verbindungen hergestellt sind:

      • Lokales Netzwerk zu Direct Link
      • Edge VPC zu Direct Link
      • Workload-VPC zu Transit Gateway
      • Edge VPC zu Transit Gateway

   Weitere Informationen finden Sie unter Erste Schritte mit IBM Cloud Direct Link und Erstellen eines Transit-Gateways.

3. Bereitstellung der virtuellen Serverinstanzen

   1. Weisen Sie der Firewall FW-1 eine IP-Adresse 10.240.1.10 zu.
   2. Aktivieren Sie die IP-Weiterleitung in der Firewall.
   3. Stellen Sie sicher, dass ein Host in Ihrem lokalen Netzwerk Datenverkehr über Direct Link senden kann.10.0.0.0/16
   4. Stellen Sie einen Workload-Host in der Workload-VPC mit der IP-Adresse bereit 172.16.0.10.

   Weitere Informationen finden Sie unter Erstellen virtueller Server für VPC.

4. Bereitstellung des dynamischen Routenservers

   1. Erstellen Sie eine Ingress-Routing-Tabelle in der Edge-VPC.
   2. Erstellen Sie eine virtuelle Netzwerkschnittstelle (VNI) im Edge-VPC-Subnetz.
   3. Weisen Sie dem VNI eine IP-Adresse 10.240.0.4 zu.
   4. Fügen Sie die VNI dem dynamischen Routenserver hinzu und konfigurieren Sie die ASN.
   5. Stellen Sie eine Instanz eines dynamischen Routenservers bereit.

   Weitere Informationen finden Sie unter Über Routing-Tabellen und Routen und Erstellen eines dynamischen Routenservers.

5. Verbinden Sie den dynamischen Routenserver mit dem Transit Gateway

   1. Stellen Sie sicher, dass ein GRE-Tunnel zwischen dem Dynamic Route Server und dem Transit Gateway eingerichtet ist.
   2. Überprüfen Sie, ob das BGP-Peering eingerichtet ist.
   3. Stellen Sie sicher, dass der Dynamic-Route-Server das VPC-Präfix der Workload 172.16.0.0/16 vom Transit-Gateway erlernt.

6. Firewall-Peer-Gruppe konfigurieren und Routen ankündigen

   1. Erstellen Sie eine Firewall-Peer-Gruppe auf dem Server für dynamische Routen.
   2. Fügen Sie 10.240.1.10 FW-1 als Next-Hop-Peer hinzu und aktivieren Sie BFD auf dem Peer.
   3. Erstellen Sie eine Peer-Gruppen-Richtlinie vom Typ VPC-Routing-Tabelle für das Ziel mit 172.16.0.0/16 dem nächsten Hop 10.240.1.10.
   4. Erstellen Sie eine Peer-Gruppen-Richtlinie vom Typ VPC-Routing-Tabelle für das Ziel mit 10.0.0.0/8 dem nächsten Hop 10.240.1.10.
   5. Konfigurieren Sie beide Richtlinien, um Routen zur Ingress-Routing-Tabelle der Edge-VPC hinzuzufügen.

   Weitere Informationen finden Sie unter Einen Peer an eine Peer-Gruppe anhängen und Eine Peer-Gruppenrichtlinie erstellen.

7. Routenaktualisierungen überprüfen

   1. Stellen Sie sicher, dass die Ingress-Routing-Tabelle die folgenden CIDR-Bereiche enthält:
      • 172.16.0.0/16 bis 10.240.1.10
      • 10.0.0.0/8 bis 10.240.1.10
   2. Stellen Sie sicher, dass beide Routen vom dynamischen Routenserver angekündigt werden.

8. Überprüfung des Datenverkehrs und des Failovers

   1. Leiten Sie den Datenverkehr vom lokalen Host an den Workload-Host weiter 172.16.0.10.
   2. Stellen Sie sicher, dass der Datenverkehr die Firewall FW-1 passiert.
   3. Entfernen Sie die Richtlinie für und 172.16.0.0/16 überprüfen Sie, ob die Verbindung unterbrochen ist.
   4. Erstellen Sie die Richtlinie neu und überprüfen Sie, ob die Verbindung wiederhergestellt ist.
   5. Beenden Sie die Firewall FW-1 und stellen Sie sicher, dass der Server für dynamische Routen die hinzugefügten Routen zurückzieht.
   6. Starten Sie die Firewall FW-1 neu und überprüfen Sie, ob die Routen automatisch wiederhergestellt werden und die Konnektivität wiederhergestellt ist.

Diese Konfiguration ermöglicht es dem dynamischen Routenserver, den Datenverkehr dynamisch durch eine einzige Firewall zu leiten und bei Ausfällen der Firewall Routen automatisch zurückzuziehen, um ein Blackholing des Datenverkehrs zu verhindern.

Anwendungsfall 2: Weiterleitung des Datenverkehrs durch zwei Firewalls mit prioritätsbasiertem Failover

Sie können einen dynamischen Routingserver mit zwei Firewall-Geräten in derselben Verfügbarkeitszone verwenden, um einen aktiven und einen Standby-Datenpfad bereitzustellen. Jede Firewall wird als Next-Hop-Peer in derselben Peer-Gruppe mit einer anderen Priorität hinzugefügt. Der dynamische Routenserver fügt Routen für beide Firewalls gleichzeitig zur VPC-Ingress-Routing-Tabelle hinzu, doch die VPC-Routing-Tabelle verwendet den numerisch niedrigeren Prioritätswert als aktiven Pfad. Wenn die primäre Firewall ausfällt, erkennt der dynamische Routenserver den Ausfall über BFD und entfernt den primären Routeneintrag. Die VPC-Routing-Tabelle verwendet dann automatisch den bereits vorhandenen Routeneintrag der Standby-Firewall und leitet den Datenverkehr ohne manuelles Eingreifen um. Sobald sich die primäre Firewall wieder erholt hat, wird ihr Routeneintrag wiederhergestellt und der Datenverkehr wird wieder über den primären Pfad geleitet.

Bevor Sie zwei Firewalls konfigurieren, führen Sie die in Anwendungsfall 1 beschriebene Einrichtung der VPC-Infrastruktur, des Transit-Gateways und des dynamischen Routenservers durch. Fügen Sie anschließend eine zweite Firewall mit einer höheren Prioritätsnummer zur selben Peer-Gruppe hinzu.

Anwendungsfall 3: Bereitstellung von Firewalls über mehrere Verfügbarkeitszonen hinweg

Sie können einen dynamischen Routenserver in einer Multi-Zone-Architektur einsetzen, um die Verkehrssteuerung durch Firewalls auch dann aufrechtzuerhalten, wenn eine gesamte Verfügbarkeitszone ausfällt. In dieser Topologie werden Firewalls in zwei oder mehr Verfügbarkeitszonen bereitgestellt und mit zonenbezogenen Prioritäten derselben Next-Hop-Peer-Gruppe hinzugefügt. Firewalls in der primären Zone erhalten die niedrigsten Prioritätsnummern und werden bei der Weiterleitung bevorzugt. Firewalls in sekundären Zonen erhalten höhere Prioritätsnummern und dienen als zonenübergreifende Ausweichlösung.

Der dynamische Routenserver fügt gleichzeitig Routeneinträge für alle Firewalls zur VPC-Ingress-Routing-Tabelle hinzu. Solange eine Firewall in der primären Zone funktionsfähig ist, wird der gesamte Datenverkehr über die Firewall dieser Zone geleitet. Wenn alle Firewalls in der primären Zone ausfallen, entfernt der dynamische Routenserver diese Routeneinträge, und die VPC-Routing-Tabelle beginnt automatisch, die Einträge mit der nächstniedrigeren Priorität zu verwenden, die zu Firewalls in einer anderen Zone gehören. Sobald sich die primäre Zone wiederhergestellt hat, werden deren Firewalls wieder als aktiver Pfad genutzt.

Der wesentliche Unterschied zu Anwendungsfall 2 besteht in der Zonenplatzierung. In Anwendungsfall 2 werden zwei Firewalls in derselben Zone für die zoneneinterne Redundanz verwendet. In diesem Anwendungsfall werden die Firewalls über verschiedene Zonen verteilt, um Fehlertoleranz auf Zonenebene zu gewährleisten, sodass Ihre Routing-Konfiguration auch bei einem vollständigen Ausfall einer Zone intakt bleibt. Beide verwenden denselben prioritätsbasierten Mechanismus.

Anwendungsfall 4: Ermitteln von Routen aus Router-Peer-Gruppen

Sie können einen dynamischen Routenserver verwenden, um über eine Router-Peer-Gruppe ein BGP-Peering mit einem oder mehreren Routern herzustellen, und mithilfe von Richtlinien steuern, wie erlernte Routen in Ihrem Netzwerk verteilt werden. In dieser Topologie stellt der dynamische Routenserver eine Peer-Verbindung zu einem Router in der Workload-VPC her, der Overlay-Netzwerkpräfixe bekanntgibt. Eine Learned Routes-Richtlinie spiegelt diese Präfixe an andere Peer-Gruppen wider, und eine VPC-Routing-Tabellen-Richtlinie fügt sie der Ingress-Routing-Tabelle hinzu, wobei die Firewall als nächster Hop dient. Dieser Prozess ermöglicht es dem dynamischen Routenserver, als Routenreflektor zwischen Routing-Domänen zu fungieren, sodass Hosts vor Ort Overlay-Workloads erreichen können, ohne dass manuelle Routenaktualisierungen erforderlich sind.

Eine Router-Peer-Gruppe wird mit der Rolle Router konfiguriert, was bedeutet, dass der Peer am Routenaustausch über BGP teilnimmt. Diese Konfiguration unterscheidet sich von einer Next-Hop-Peer-Gruppe, bei der der Peer ausschließlich als Weiterleitungsziel dient. Wenn Sie eine Router-Peer-Gruppe konfigurieren, geben Sie die IP-Adresse und die ASN des Router-Peers an. Der dynamische Routenserver baut eine BGP-Sitzung mit dem Router auf und beginnt, die von diesem angekündigten Routen zu erfassen.

Anwendungsfall 5: Weiterleitung des Datenverkehrs über aktive und Standby-Firewalls in einer einzigen VPC

Sie können einen dynamischen Routenserver verwenden, um den gesamten Nord-Süd- und Ost-West-Datenverkehr innerhalb einer einzelnen VPC über ein Paar aus aktiven und Standby-VNF (Virtual Network Functions) zu leiten, die als Firewalls oder Sicherheitsgeräte fungieren. Der Routenserver baut BGP-Peering mit beiden VNFs über deren Northbound- und Southbound-Schnittstellen auf, ermittelt Workload- und Standardrouten und fügt dynamisch zustandsabhängige Routen in die VPC-Routing-Tabellen ein. Bei aktiviertem BFD kann der dynamische Routingserver Ausfälle von VNFs in weniger als einer Sekunde erkennen und den Datenverkehr automatisch und ohne manuellen Eingriff auf die Standby-VNF umleiten.

Anwendungsfall 6: Einrichten eines festen lokalen Pfads über eine statische Route

Statische Routen funktionieren anders als erlernte Routen. Ihr Ziel, ihre Next-Hop-Peer-Gruppe und ihre Ziel-Routing-Tabellen stammen aus Ihrer Konfiguration und nicht aus einer BGP-Sitzung. Der dynamische Routenserver verwendet die Zone und die Priorität der Peers in der Next-Hop-Peer-Gruppe, um zu bestimmen, welche Routeneinträge hinzugefügt werden sollen. Es gelten dieselben Regeln für das Ingress- und Egress-Ranking, jedoch ist keine BGP-Anzeige von einem Peer erforderlich.

Diese Konfiguration ist sinnvoll, wenn ein Zielpräfix feststeht und bekannt ist und Sie nicht darauf angewiesen sein möchten, dass ein BGP-Peer es ankündigt. Ein gängiges Beispiel ist ein stabiler lokaler CIDR wie z. B. 10.0.0.0/8.

In derselben Topologie wie in Anwendungsfall 1 können Sie eine statische Route direkt auf dem dynamischen Routenserver definieren, anstatt sich auf eine benutzerdefinierte Routenrichtlinie zu verlassen:

• Ziel: 10.0.0.0/8
• Next-Hop-Peer-Gruppe: die Firewall-Peer-Gruppe
• Ziel-Routing-Tabelle: die Edge-VPC-Ingress-Routing-Tabelle
• Werbung: aktiviert

Der dynamische Routingserver fügt die Zielroute in 10.0.0.0/8 die Eingangs-Routing-Tabelle ein, wobei die Firewall als nächster Hop dient. Bei diesem Prozess muss kein Peer die Route ankündigen. Wenn die Werbung für die statische Route aktiviert ist, wird die Route über die Edge-VPC-Verbindung an das Transit-Gateway weitergeleitet, sodass andere Verbindungen in der Workload-VPC davon Kenntnis erhalten.

Das zustandsorientierte Verhalten bei statischen Routen entspricht dem bei erlernten Routen. Wenn der Zustand der Firewall-Peer-Gruppe gestört ist, wird der Eintrag für die statische Route zurückgezogen. Sobald sich die Peer-Gruppe erholt hat, wird der Eintrag wiederhergestellt. Dieser Mechanismus unterscheidet ihn von einer einfachen statischen VPC-Route: Der dynamische Routenserver verwaltet den Lebenszyklus der Route und verknüpft ihn mit dem Zustand des Peers.