Über die DNS-Freigabe für VPE-Gateways

Großunternehmen benötigen möglicherweise eine Isolation auf Netzebene von Ressourcen, die von verschiedenen Geschäftsbereichen, Workloads oder Umgebungen verwendet werden. Diese Art der Isolation ermöglicht eine differenzierte Steuerung des Netzverkehrs für jede Ressourcengruppe. Die Isolation auf Netzebene kann auch dazu beitragen, gesetzliche und regulatorische Anforderungen an die Datentrennung zu erfüllen. Die Konfiguration eines Hubs und eines gemeinsam genutzten DNS-Netzes ist eine Möglichkeit, Ihre Kommunikationsservices effizient zu verwalten und Sicherheitsanforderungen im richtigen Maß zu erfüllen.

Bei diesem Netztyp können sich Ihre VPCs in verschiedenen Konten im Unternehmen befinden. Die VPE-Gateways (Virtual Private Endpoint) im DNS-Hub und in gemeinsam genutzten DNS-VPCs müssen für einander und von lokalen Netzen zugänglich sein. Das Verbinden eines VPC-Hubs mit den gemeinsam genutzten DNS-VPCs über ein Transit Gateway ist direkt, aber ohne zusätzliche Konfiguration gibt es keine DNS-Auflösung für die VPE-Services.

Die private DNS-Auflösung von VPC funktioniert in derselben VPC, erfordert jedoch, dass Sie komplexe Scripts manuell in andere VPCs oder lokale Umgebungen kopieren. Die Konfiguration der DNS-Freigabe für VPEs vereinfacht dieses Szenario, indem die DNS-Auflösung von Services unabhängig vom Standort ermöglicht wird. Komplexe Skripte sind nicht erforderlich, um Kopien von DNS-Einträgen zu pflegen, und es ist einfacher, die feinkörnige Datenzugriffskontrolle zu nutzen, die von einer VPC bereitgestellt wird, um den Zugriff auf Katalogdienste zu schützen.

Einführung

Wenn mehrere VPCs über Transit Gateway, Direct Link oder andere Konnektivitätsoptionen verbunden sind, kann eine der VPCs in der verbundenen Topologie als Hub aktiviert werden, um die DNS-Auflösung zu zentralisieren. Die Hub-VPC bietet DNS-Auflösung für alle Endpunkt-Gateways in den angeschlossenen VPCs der Topologie, was die Namensauflösung vereinfacht und die Notwendigkeit der manuellen Replikation von DNS-Einträgen verringert.

Bevor Sie beginnen, sollten Sie die Planung der DNS-Freigabe überprüfen.

Verfügbarkeit auswählen

Zusätzlich zum hubbasierten DNS-Freigabemodell können Sie nun lokal zugängliche VPEs in DNS-freigegebenen VPCs erstellen. Lokale VPEs bieten private, lokale Konnektivität zu unterstützten IBM Cloud Diensten, ohne den Datenverkehr über die Hub-VPC zu leiten. Derzeit wird diese Funktion nur für IBM Cloud Object Storage. unterstützt.

Im Folgenden sind die allgemeinen Schritte zum Konfigurieren der gemeinsamen DNS-Nutzung für VPE-Gateways beschrieben:

  1. Stellen Sie sicher, dass Sie VPCs erstellen oder über vorhandene VPCs verfügen, die für Ihre Hub-VPC und gemeinsam genutzte DNS-VPCs verwendet werden sollen. Diese VPCs können sich in mehreren Konten befinden. Diese VPCs müssen bereits mit einem Transit Gateway oder einer anderen Datenpfadkonnektivität konfiguriert sein.

    Weitere Informationen zum Erstellen einer VPC finden Sie unter Verwenden der IBM Cloud Konsole zum Erstellen von VPC-Ressourcen oder Erstellen von VPC-Ressourcen mit CLI und API.

  2. Aktivieren Sie eine VPC als Hub-VPC.

  3. Erstellen Sie Endpunktgateways für Multi-Tenant-Services in der Hub-VPC und aktivieren Sie die gemeinsame DNS-Nutzung für jedes Endpunktgateway.

  4. Wenn die Konten für den Hub-VPC und einen DNS-geteilten VPC gleich oder unterschiedlich sind, muss der Hub-VPC-Administrator eine Service-to-Service-Autorisierungsrichtlinie ( s2s ) erstellen, um dem DNS-geteilten VPC-Konto Lesezugriff zu gewähren. Weitere Informationen finden Sie unter Service-zu-Service-Autorisierung einrichten.

  5. Stellen Sie sicher, dass Sie die DNS-Auflösungsbindung (allow_dns_resolution) für redundante oder in Konflikt stehende VPEs auf den gemeinsam genutzten DNS-VPCs inaktivieren. Standardmäßig ist der Schalter für die DNS-Auflösungsbindung für VPEs aktiviert.

  6. Konfigurieren Sie einen angepassten DNS-Auflöser auf der Hub-VPC, um für die Auflösung von DNS-Abfragen von Hub-VPCs und gemeinsam genutzten DNS-VPCs sowie von lokalen Netzen verantwortlich zu sein.

  7. Erstellen Sie eine DNS-Auflösungsbindung auf den VPCs, denen Sie den Zugriff auf VPE-Gateway-DNS-Datensätze zwischen der VPC und der DNS-Hub-VPC ermöglichen möchten. Diese VPCs werden als gemeinsam genutzte DNS-VPCs bezeichnet.

  8. Der gemeinsam genutzte DNS-VPC-Benutzer setzt seinen DNS-Auflösungstyp auf Delegated, um auf den angepassten Auflöser der Hub-VPC zu verweisen.

  9. Der Benutzer der DNS-geteilten VPC erstellt Endpunkt-Gateways für allgemeine Dienste in der DNS-geteilten VPC.

Verfügbarkeit auswählen

Sie können eine lokal zugängliche VPE in einer DNS-freigegebenen VPC erstellen, IBM Cloud Object Storage indem Sie beim Erstellen des Endpunkt-Gateways die Option „Per-resource binding“ (Ressourcenbezogene Bindung) auswählen. Diese Konfiguration ermöglicht den privaten Zugriff auf bestimmte Object Storage Buckets, während der übrige Datenverkehr weiterhin über die Hub-VPC geleitet wird.

  1. Für jede gemeinsam genutzte DNS-VPC muss der gemeinsam genutzte DNS-VPC-Benutzer die Schritte 4-9 wiederholen.

Wie die DNS-Auflösung für VPE funktioniert

DNS Services für VPE ist ein regionaler Dienst und ist nicht mit einem bestimmten VPC verbunden.

Für jedes VPE wird eine DNS-Zone erstellt. Um die DNS-Auflösung zwischen VPCs zu ermöglichen, werden sowohl die über DNS freigegebene VPC als auch die Hub-VPC als zulässige Netzwerke für diese Zone hinzugefügt.

Anwendungsfall: Gemeinsame Nutzung von DNS in einer Hub-und Peripherienetztopologie

In einer Unternehmensumgebung kann die Verwaltung des Zugriffs auf IBM-Services mithilfe von virtuellen privaten Endpunkten (Virtual Private Endpoints, VPEs), verteilt auf mehrere Konten, VPCs und Organisationen, eine überwältigende Aufgabe sein. Die lokale Verbindung zu diesen Services kann zu Komplexität und Herausforderungen für einen Netzadministrator führen. Dieser Anwendungsfall beschreibt die Lösung dieses Problems durch IBM, indem die Netztopologie und das DNS-Management vereinfacht werden.

In diesem Beispiel verfügt der Kunde über drei Anwendungen, die er auf separaten VPCs isolieren und gleichzeitig eine gemeinsame Verbindung zu seiner lokalen Infrastruktur aufrechterhalten möchte. Der Kunde leitet den gesamten Datenverkehr über sein On-Premises-Netz weiter und stützt sich für den Zugriff auf IBM Services auf private Konnektivität über ein VPE.

Jede der Anwendungs-VPCs enthält einen IBM Kubernetes Service (IKS)-Cluster und eine IBM Cloud Databases (ICD)-Datenbank. Die VPCs enthalten VPEs für jeden dieser Services.

Diese VPCs stützen sich auch auf einen gemeinsamen Dienst, wie Cloud Object Storage für Backups, IBM Cloud® Identity and Access Management (IAM) für die Autorisierung, IBM Cloud Business Support Server (BSS) für die Abrechnung und Container Registry für die Verwaltung von Anwendungsimages. Der Kunde verwendet diese Services auch über ein VPE für private Konnektivität.

Während die Netzkonnektivität zwischen VPCs bereits über ein Transit Gateway bereitgestellt wird, ist die DNS-Auflösung von VPE-DNS-Datensätzen standardmäßig nicht gegenseitig auflösbar. Ohne DNS-Sharing für VPE ist die Verwaltung des VPE überwältigend, da der Kunde Folgendes verwalten muss:

  • Bereitstellung mehrerer IBM Service-VPCs für jede ihrer Anwendungs-VPCs, einschließlich der Verwaltung der Überwachung von Anwendungsabhängigkeiten
  • Verwaltung der Sicherheit (Sicherheitsgruppen, Netz-ACLs usw.) auf VPC-Basis
  • Das DNS-Management zwischen jeder VPC und jedem lokalen Netz, das möglicherweise angepasste Auflöser verwendet

Abbildung 1 zeigt, wie der Kunde die gemeinsame Nutzung von DNS nutzen kann, um seine Implementierung und Operationen im Kontext einer Hub-and-Spoke-Architektur zu vereinfachen. Hier verwendete der Kunde die DNS-Freigabe für folgende Zwecke:

  • Erstellen Sie alle allgemeinen IBM Service-VPEs einmal in der DNS-Hub-VPC und lassen Sie zu, dass sie von allen anderen VPCs gemeinsam genutzt werden. Der Kunde benötigt keine allgemeinen VPEs mehr auf jeder Anwendungs-VPC und kann diese stattdessen zentral verwalten.
  • Leiten Sie den gesamten DNS-Datenverkehr über eine einzelne DNS-Hub-VPC weiter, die die Bereitstellung von Sicherheitsgruppen und Netz-ACLs zentralisieren kann.
  • Konsolidieren Sie das gesamte DNS in einem einzigen angepassten Auflöser, um den Zugriff für alle VPEs sowohl von der DNS-Hub-VPC als auch von den Anwendungs-VPCs zu verwalten. Die Hochverfügbarkeit des angepassten Resolvers kann durch Angabe von Resolver-Appliances an verschiedenen Positionen erreicht werden. Dieser angepasste Auflöser kann auch zum Konfigurieren von lokalen Verbindungsregeln verwendet werden.
  • Stellen Sie ihre Anwendungen weiterhin in den Anwendungs-VPCs bereit.

Anwendungsfall des Naben- und Speichenmodells
Anwendungsfall

Um diese Architektur mit aktivierter DNS-Freigabe für VPE-Gateways zu erreichen, können Sie die folgenden Schritte ausführen, um Ihren Hub und gemeinsam genutzte DNS-VPCs zu konfigurieren.

Für die als DNS-Hub verwendete VPC:

  • Erstellen Sie ein VPE-Gateway für einen gemeinsamen Dienst, z. B. IAM, Abrechnung und Container Registry.
  • Erstellen Sie einen angepassten DNS-Auflöser auf der VPC.
  • Legen Sie diese VPC als DNS-Hub fest.

Für jede gemeinsam genutzte DNS-VPC:

  • Erstellen Sie nach Bedarf VPE-Gateways für Anwendungsservices wie IKS-und ICD-Instanzen.
  • Erstellen Sie eine DNS-Auflösungsbindung an die DNS-Hub-VPC, um die zugehörigen VPE-DNS-Datensätze mit der DNS-Hub-VPC gemeinsam zu nutzen.
  • Konfigurieren Sie Ihr DNS so, dass der angepasste Auflöser auf einer DNS-Hub-VPC verwendet wird, indem Sie den Auflösungstyp in Delegiert mit der DNS-Hub-VPC ändern.

IBM Cloud dienstdomänen für VPE

Wenn die DNS-Freigabe für Virtual Private Endpoints (VPE) konfiguriert ist, werden DNS-Anfragen für unterstützte IBM Cloud Service-Endpunkte über den DNS-Hub VPC zu privaten IP-Adressen aufgelöst.

Unterstützte Dienstdomänen

Die DNS-Auflösung durch VPE umfasst Domänen wie z. B.:

  • *.cloud.ibm.com
  • *.appdomain.cloud
  • *.networklayer.com
  • *.isops.ibm.com
  • icr.io

Die spezifischen Domänen, die aufgelöst werden, hängen von den IBM Cloud Diensten ab, auf die Sie über VPE-Gateways zugreifen.