Planung für VPE-Gateways

Bevor Sie ein virtuelles privates Endpunkt-Gateway erstellen, sollten Sie die folgenden Punkte beachten.

VPE-Erstellung und Konfigurationsgrenzen

Sie können nur eine VPE pro Dienst innerhalb einer einzelnen VPC erstellen.
Sie können nur eine IP-Adresse pro VPC-Zone an ein VPE-Gateway binden.
Eine reservierte IP-Adresse, die an ein VPE-Gateway gebunden ist, kann Verkehr aus anderen Zonen innerhalb derselben VPC empfangen, sofern Ihre Network ACL (NACL)-Regeln dies zulassen.

Sie können bis zu fünf Sicherheitsgruppen hinzufügen, wenn Sie eine VPE erstellen. Wenn Sie während der VPE-Erstellung keine Sicherheitsgruppe angeben, wird die Standardsicherheitsgruppe für Ihre VPC verwendet.

Wenn Sie nicht mindestens eine Sicherheitsgruppe auswählen, wird empfohlen, Ihre Standardsicherheitsgruppenregeln zu aktualisieren, um die Unterbrechung des Datenverkehrs auf einem neu erstellten VPE zu minimieren.
Sie können eine Sicherheitsgruppe vor oder während der Bereitstellung (in der Konsole) erstellen.
- Die Sicherheitsgruppe muss in derselben VPC erstellt werden wie Ihr VPE.
- Konfigurieren Sie Eingangsregeln, die definieren, welcher Typ von Datenverkehr zum VPE zulässig ist. Geben Sie für jede Regel die folgenden Informationen an:
  - Geben Sie einen CIDR-Block oder eine IP-Adresse für den zulässigen eingehenden Datenverkehr an. Alternativ können Sie eine Sicherheitsgruppe in derselben VPC angeben, um Datenverkehr zu allen Quellen zuzulassen, die der ausgewählten Sicherheitsgruppe zugeordnet sind.
  - Wählen Sie die Protokolle und Ports aus, für die die Regel gelten soll.

Für kontoübergreifende VPEs muss die CRN der Zielressource angegeben werden, da Ressourcen aus anderen Konten über die Benutzeroberfläche oder die CLI nicht auffindbar sind.
Beide Konten müssen sich innerhalb derselben IBM Cloud Region befinden, um eine Verbindung herstellen zu können. Verbindungen zwischen verschiedenen Regionen werden nur zwischen Regionen unterstützt, die an einer Multizone-Region (MZR) teilnehmen.
Kontoübergreifende VPEs, die eine Verbindung zu IBM Diensten herstellen, unterliegen der CBR-Durchsetzung und erfordern eine entsprechende Richtlinienkonfiguration auf beiden Konten.
Die Ziel-Serviceinstanz muss vom Serviceteam für den kontoübergreifenden Zugriff freigegeben worden sein, da nicht alle IBM Cloud Dienste delegierte VPE-Konnektivität unterstützen. Überprüfen Sie die Servicedokumentation auf spezifische Support- und Zugangsmodelle.

Sie können auf IBM Cloud®-Services zugreifen, indem Sie entweder virtuelle private Endpunkte oder den Serviceendpunkt direkt verwenden. Wenn Sie jedoch möchten, dass Ihr VPC ein bestimmtes Verhalten oder bestimmte Einschränkungen durchsetzen kann, wird empfohlen, den direkten Zugriff auf die IP-Adressen des Serviceendpunkts zu blockieren, die NACLs verwenden. Weitere Informationen finden Sie unter ACLs und Sicherheitsgruppen für die Verwendung mit Endpunktgateways konfigurieren.

IBM Cloud-Services unterstützen keinen gleichzeitigen Zugriff auf einen Serviceendpunkt und virtuellen privaten Endpunkt über dieselbe virtuelle Instanz.

Die folgenden Elemente werden nicht unterstützt:
- Dienste, die in Zonen und Regionen bereitgestellt werden, die nicht Teil von IBM Cloud Multi-Zone Regions(MZRs) sind
- IBM Cloud Flow Logs for VPC
- Benutzerdefinierte Routen ausgeben
- UDP-Verkehr zu einem VPE wird über IBM Cloud Direct Link oder Transit Gateway nicht unterstützt (z. B. bei einer Verbindung von einer virtuellen Serverinstanz oder einem Bare Metal Server außerhalb der VPC des VPE). Dazu gehören auch UDP-basierte Dienste wie das Network Time Protocol (NTP).

Virtuelle private Endpunkte unterstützen ausschließlich IPv4-Adressierung.
Jedes Endpunkt-Gateway ist an eine einzelne VPC gebunden.
Wenn eine kontoübergreifende VPE erstellt wird, erhält das Konto, dem die Zielressource gehört, Benachrichtigungen über die Erstellung und Löschung von VPEs über Activity Tracker Ereignisse. Dies ist wichtig, da der Ressourcenbesitzer aktiviert Activity Tracker haben muss, um über diese Aktionen informiert zu werden, und es ist die einzige Möglichkeit, um zu sehen, ob jemand eine Verbindung zur Ressource hergestellt hat.
Die Zuordnung eines Endpunkt-Gateways zu einem Dienst hängt vom jeweiligen IBM Cloud Dienst ab, den Sie aktivieren. Bewährte Verfahren finden Sie in der Dokumentation für den jeweiligen Dienst IBM Cloud.
Die Gesamtzahl der aktiven Verbindungen über ein VPE-Gateway ist begrenzt. Weitere Informationen finden Sie unter Gibt es eine Begrenzung für die Gesamtzahl der gleichzeitigen aktiven Verbindungen zu einem Endpunkt-Gateway?