Informationen zu virtuellen Netzschnittstellen

Eine virtuelle Netzschnittstelle (VNI) ist eine logische Abstraktion einer Netzschnittstelle in einem Teilnetz. Sie kann einer Zielressource zugeordnet werden, wodurch diese Ressource über Netzkonnektivität verfügt. Als Ressource der höchsten Ebene mit einem CRN ist der Lebenszyklus einer VNI unabhängig von der Zielressource, der sie zugeordnet ist (sofern auto_delete nicht auf true gesetzt ist). Darüber hinaus verfügt er über eigene IAM-Berechtigungen.

Eine VNI verfügt über die folgenden Eigenschaften, die Netzrichtlinien definieren:

  • Primäre und sekundäre IP-Adressen
  • Sicherheitsgruppen
  • IP-Spoofing
  • Infrastruktur-NAT
  • Protokollstatusfilterung

Diese Richtlinien werden beibehalten, wenn die VNI von einem Ziel abgehängt und einem anderen Ziel zugeordnet wird. Berechtigungen zum Ändern der Eigenschaften werden auf der VNI und nicht auf dem Ziel der VNI festgelegt.

Variable IP-Adressen und Datenflussprotokollkollektoren sind Ressourcen, die einer VNI zugeordnet werden können. Diese zugeordneten Ressourcen bleiben der VNI zugeordnet, wenn die VNI den Anschluss von einem Ziel zu einem anderen wechselt. Darüber hinaus:

  • Verweise auf die variablen IPs, die einer VNI zugeordnet sind, können als untergeordnete Sammlung der VNI abgerufen werden.
  • Ein Datenflussprotokollkollektor, der einer VNI zugeordnet ist, kann abgerufen werden, indem die Datenflussprotokollkollektoren nach target.id gefiltert und anschließend die id der VNI angegeben werden.

Nicht alle unterstützten Zielressourcen unterstützen alle VNI-Richtlinien. Weitere Informationen hierzu enthält der Abschnitt Bekannte Probleme.

Wichtige Vorteile und Funktionen

Zu den Highlights der virtuellen Netzschnittstelle gehören:

  • Die Möglichkeit, mehrere sekundäre private IPv4-IP-Adressen aus einem VPC-Teilnetz zuzuweisen.
  • Die Option, Sicherheitsgruppen und eindeutige IAM-Richtlinien zu definieren und durchzusetzen, um Ihnen mehr Kontrolle über die Netzsicherheit zu geben.
  • Skalierbarkeit und Flexibilität für Hochverfügbarkeitslösungen.
  • Vorhandensein ohne Zuordnung zu einem Server und die Option zum Verschieben von einer Instanz oder Ressource zu einer anderen, wodurch die Failover-Zeit reduziert wird.
  • Die Möglichkeit, variable IPs, primäre/sekundäre reservierte IPs und Sicherheitsgruppen zuzuordnen.

Hinweise zur Planung

Beachten Sie die folgenden Punkte, bevor Sie ein VNI erstellen:

  • Das Erstellen von Ressourcen mit untergeordneten Netzschnittstellen wird weiterhin unterstützt, neue Netzfunktionen, wie z. B. sekundäre IP-Adressen, werden jedoch nur für virtuelle Netzschnittstellen unterstützt.

  • Alle IP-Adressen in einer virtuellen Netzschnittstelle müssen sich in demselben Teilnetz befinden.

  • Obwohl eine Instanz oder ein Bare-Metal-Server keine Mischung aus Schnittstellentypen zulässt, lässt ein Teilnetz eine Mischung aus Instanzen und Bare-Metal-Server zu-einige mit untergeordneten Netzschnittstellen und andere mit virtuellen Netzschnittstellen.

  • Sie müssen die primäre IP-Adresse konfigurieren, wenn Sie eine virtuelle Netzschnittstelle erstellen. Sie können zusätzliche (sekundäre) reservierte IP-Adressen konfigurieren, wenn Sie die virtuelle Netzschnittstelle erstellen, oder Sie können später sekundäre IP-Adressen einzeln hinzufügen. Alle sekundären IP-Adressen müssen sich in demselben Teilnetz wie die primäre IP-Adresse befinden.

  • Die Infrastruktur-NAT übersetzt die Zieladresse aus der öffentlichen IP-Adresse, die über die variable IP-Adresse zugeordnet wurde, in die private IP-Adresse der virtuellen Serverinstanz. Sie können eine variable IP-Adresse in einer virtuellen Netzschnittstelle konfigurieren, für die die Infrastruktur-NAT aktiviert ist. Eine auf diese Weise konfigurierte virtuelle Netzschnittstelle kann von einer Instanz oder einem Bare-Metal-Server verwendet werden.

  • Für eine virtuelle Netzschnittstelle, die IP-Spoofing ermöglicht und für die die Infrastruktur-NAT inaktiviert ist, können Sie mehrere variable IP-Adressen konfigurieren. Eine auf diese Weise konfigurierte virtuelle Netzschnittstelle kann nur von einem Bare-Metal-Server verwendet werden.

  • Wenn die Eigenschaft auto-delete einer virtuellen Netzschnittstelle auf false gesetzt ist und Sie dann die virtuelle Serverinstanz löschen, bleibt die virtuelle Netzschnittstelle erhalten. Die virtuelle Netzschnittstelle kann dann einer anderen Zielressource zugeordnet werden.

  • Nachdem eine VNI von einem Ziel abgehängt wurde, können Sie sie einem der folgenden Elemente zuordnen:

    • Ein neues gemeinsam genutzte Mountziel (wenn IP-Spoofing inaktiviert ist, gibt es keine sekundären IPs, Infrastruktur-NAT ist auf true gesetzt und die Filterung des Protokollstatus ist nicht inaktiviert)
    • Ein neuer Netzanschluss in einer Instanz (wenn NAT der Infrastruktur auf true gesetzt ist)
    • Neuer Netzanschluss auf einem Bare-Metal-Server (wenn Bare-Metal-Server unterstützt wird)

Filtermodus für Protokollstatus

Die Protokollstatusfilterung überwacht jede Netzverbindung, die über eine virtuelle Netzschnittstelle (Virtual Network Interface, VNI) fließt, und löscht alle Pakete, die auf der Basis des aktuellen Verbindungsstatus und des aktuellen Protokolls ungültig sind. Wenn Sie bidirektionale ECMP-Routen verwenden, z. B. Routen, die für Aktiv/Aktiv-HA-Konfigurationen in VNFs (Dual Virtual Network Functions) konfiguriert sind, können Sie die Filterung inaktivieren, um Paketverluste zu vermeiden. Die Deaktivierung der Filterung lässt Pakete zu, die durch Sicherheitsgruppenregeln und Netzwerk-ACLs erlaubt sind, zwingt aber nicht jede der TCP-Verbindungen, sich an das RFC 793 TCP-Protokoll anzupassen.

Sie können einen Filtermodus für den Protokollstatus (auto, enable, disable) auswählen, wenn Sie eine VNI erstellen oder aktualisieren. Der Standardwert (auto) aktiviert oder inaktiviert die Filterung auf der Basis des Zielressourcentyps Ihrer VNI. Wenn der Zieltyp ein Bare-Metal-Server ist, ist die Filterung inaktiviert. Für eine virtuelle Serverinstanz oder einen Dateifreigabemount ist die Filterung aktiviert.

Der Filtermodus für den Protokollstatus ist nur auf einer VNI verfügbar. Bei älteren Netzschnittstellen ist der Modus unsichtbar und das Verhalten ist immer auf auto gesetzt.

Erste Schritte mit virtuellen Netzschnittstellen

Sie können eine VNI verwenden, um die IP-Adressen und Sicherheitsgruppen in einer separaten Ressource mit einem von Ihrer Zielressource unabhängigen Lebenszyklus zu verwalten.

  1. Stellen Sie sicher, dass eine VPC und ein Teilnetz zugeordnet sind. Weitere Informationen finden Sie unter 'VPC-Ressourcen erstellen' mit der IBM Cloud-Konsole oder mit CLI und API erstellen.

  2. Überprüfen Sie Planungsüberlegungen und bekannte Probleme.

  3. Stellen Sie sicher, dass Sie über die richtigen IAM-Berechtigungen zum Erstellen einer VNI verfügen.

  4. Erstellen Sie eine virtuelle Netzschnittstelle mit einer privaten IP-Adresse, einer öffentlichen IP-Adresse und Sicherheitsgruppen.

  5. Ordnen Sie Ihre VNI bei der Bereitstellung des Ziels einer unterstützten Zielressource zu. Derzeit werden drei Zieltypen unterstützt:

    • Neue Instanz des virtuellen Servers
      • Wenn Sie eine Instanz bereitstellen, ordnen Sie die VNI der primären untergeordneten Netzanschlussressource zu. Siehe Virtuelle Serverinstanzen erstellen.
      • Wenn Sie über eine vorhandene virtuelle Serverinstanz mit einem primären Netzanschluss verfügen, können Sie einen zusätzlichen Netzanschluss auf der virtuellen Serverinstanz bereitstellen und die VNI an den neuen Netzanschluss anhängen. Siehe Netzanhänge erstellen.
    • Bare-Metal-Server
      • Wenn Sie einen Bare-Metal-Server bereitstellen, verbinden Sie die VNI mit der untergeordneten Ressource für den primären Netzanschluss. Siehe Creating Bare Metal Servers on VPC.
      • Wenn Sie einen vorhandenen Bare-Metal-Server mit einem primären Netzanschluss haben, können Sie einen zusätzlichen Netzanschluss auf dem Bare-Metal-Server bereitstellen und die VNI an den neuen Netzanschluss anhängen. Siehe Netzanhänge erstellen.
    • Dateifreigabemount

Es ist auch möglich, eine VNI im Kontext der Bereitstellung jedes dieser Ziele zu erstellen. Mit anderen Worten: Sie müssen keine VNI im Voraus erstellen. Später können Sie die Instanz löschen und die VNI beibehalten, indem Sie sicherstellen, dass --auto-delete auf false gesetzt ist (Automatische Freigabe ). Anschließend können Sie eine neue Instanz mit derselben VNI erstellen.

Anwendungsfall 1: Hochverfügbarkeit mit virtuellen Netzschnittstellen

Virtuelle Netzschnittstellen reduzieren den Zeitaufwand für den Wechsel zu einer Failover-Instanz. In einer virtuellen Serverinstanz, die keine virtuellen Netzschnittstellen verwendet, erfordert ein Failover Routing-Änderungen, deren Weitergabe einige Minuten dauern kann. Im folgenden Beispiel haben Sie eine primäre virtuelle Serverinstanz, die mit einer Netzschnittstelle konfiguriert ist, und eine virtuelle Sicherungsserverinstanz, die über eine eigene Netzschnittstelle verfügt. Wenn die primäre virtuelle Serverinstanz fehlschlägt, müssen Sie die virtuelle Serverinstanz für die Sicherung online schalten und Ihre Routen für die Verwendung der Netzschnittstelle der Sicherungsinstanz neu konfigurieren.

Traditionelle Methode zur Verwendung von{: caption="bei NetzwerkschnittstellenTraditioneller " caption-side="bottom"} bei Netzwerkschnittstellen

Mithilfe einer virtuellen Netzschnittstelle können Sie sie von einer Instanz in eine andere verschieben. Der unabhängige Lebenszyklus der virtuellen Netzschnittstelle bedeutet, dass die IP-Adresse beibehalten wird und Sie Ihre Routen nicht neu konfigurieren müssen, wodurch die Failover-Zeit auf Sekunden reduziert wird.

für virtuelle
für virtuelle Netzwerkschnittstellen*

Anwendungsfall 2: Sekundäre IP-Adressen mit virtuellen Netzschnittstellen

Eine virtuelle Serverinstanz, die mehrere Instanzen einer Anwendung ausführt, kann so segmentiert werden, dass jede Instanz der Anwendung eine eigene IP-Adresse hat.

In diesem Beispiel werden auf einer einzelnen virtuellen Serverinstanz drei Instanzen einer SQL-Datenbankanwendung ausgeführt. Jede SQL-Instanz muss ihre eigene IP-Adresse haben. Durch Verwendung sekundärer IP-Adressen in einer virtuellen Netzschnittstelle können Sie jeder Anwendungsinstanz unterschiedliche IP-Adressen zuordnen.

Sekundäre IP-Adressen in einer virtuellen
IP-Adressen in einer virtuellen

Unterstützung für alte API-Clients

Aus Gründen der Kompatibilität mit alten Clients stellt die API-Antwort eine schreibgeschützte Darstellung jedes Netzanschlusses und der zugehörigen virtuellen Netzschnittstelle als untergeordnete Netzschnittstelle bereit:

Zuordnung der Eigenschaften der Instanz-Netzwerkschnittstelle
Netzschnittstelleneigenschaft Zugeordnet von
allow_ip_spoofing virtual_network_interface.allow_ip_spoofing
created_at network_attachment.created_at
floating_ips virtual_network_interface.floating_ips
href network_attachment.href (/network_attachments wird durch /network_interfaces ersetzt)
id network_attachment.id
name network_attachment.name
port_speed network_attachment.port_speed
primary_ip virtual_network_interface.primary_ip
resource_type "Netzschnittstelle"
security_groups virtual_network_interface.security_groups
status Weitere Informationen finden Sie in der Tabelle "Statuswerte für Instanznetzschnittstellen".
subnet virtual_network_interface.subnet
type network_attachment.type

Der Wert für status wird anhand der folgenden Tabelle bestimmt:

Statuswerte der Instanz-Netzwerkschnittstelle
Anhang an Netz lifecycle_state VNI lifecycle_state status
deleting Beliebig deleting
Beliebig deleting deleting
failed alle außer deleting failed
alle außer deleting failed failed
pending, suspended, updating, waiting Alle außer deleting oder failed pending
Alle außer deleting oder failed pending, suspended, updating, waiting pending
stable stable available
  • Dieselben Eigenschaften werden beim Abrufen einer Bare-Metal-Server-Netzschnittstelle abgeleitet, zusätzlich zu den folgenden Eigenschaften, die für Bare-Metal-Server-Netzschnittstellen spezifisch sind:
Zuordnung der Eigenschaften von Bare-Metal-Server-Netzwerkschnittstellen
Netzschnittstelleneigenschaft Zugeordnet von
enable_infrastructure_nat virtual_network_interface.enable_infrastructure_nat
mac_address virtual_network_interface.mac_address
interface_type network_attachment.interface_type
allowed_vlans network_attachment.allowed_vlans
vlan network_attachment.vlan
allow_interface_to_float network_attachment.allow_interface_to_float