Architettura

Dynamic Route Server per VPC è una funzionalità in versione beta disponibile a scopo di valutazione e test per alcuni clienti selezionati. L'accesso è limitato agli account presenti nell'elenco delle autorizzazioni.

Il Dynamic Route Server per VPC automatizza la gestione dell'instradamento in topologie di rete complesse. Anziché aggiornare manualmente le rotte statiche man mano che cambiano i carichi di lavoro, i firewall e le reti collegate, è sufficiente definire una volta le politiche di routing e il server di routing dinamico manterrà automaticamente aggiornate le tabelle di routing della VPC. Utilizza il Border Gateway Protocol (BGP) per acquisire le rotte dai peer connessi e applica le politiche definite dall'utente per determinare quali rotte vengano aggiunte alle tabelle di routing della VPC, riflesse ad altri peer o pubblicate verso le reti connesse.

Un server di instradamento dinamico non si trova nel percorso dei dati. Il traffico tra i tuoi carichi di lavoro e le reti collegate segue i percorsi che il server di instradamento dinamico aggiunge alle tabelle di instradamento della tua VPC, e non passa attraverso il server di instradamento dinamico stesso.

Concetti chiave

Comprendere i seguenti concetti, che consentono di pianificare e configurare un server di instradamento dinamico.

Membri

Un'istanza di server di instradamento dinamico è costituita da uno o più membri. Ogni membro è un dispositivo di routing gestito da IBM Cloud e distribuito nella zona di disponibilità dell'interfaccia di rete virtuale (VNI) fornita dall'utente. I membri stabiliscono sessioni BGP con i propri peer e scambiano informazioni di routing per conto dell'istanza del server di routing dinamico. È possibile avere fino a tre membri, uno per ogni zona di disponibilità, per garantire la ridondanza a livello di zona.

Coetanei e gruppi di coetanei

Per "peer" si intende qualsiasi dispositivo di rete compatibile con il protocollo BGP a cui si connette il server di instradamento dinamico, come ad esempio un firewall, un router, un dispositivo SD-WAN o una connessione IBM Cloud® Transit Gateway. I peer sono organizzati in gruppi di peer in modo che il comportamento di routing, il monitoraggio dello stato di salute e i filtri di routing possano essere definiti una sola volta e applicati in modo coerente a tutti i membri del gruppo.

Un gruppo di pari può ricoprire uno dei seguenti ruoli:

Router
Il peer scambia le rotte con il server delle rotte dinamiche tramite BGP. Utilizzare questo ruolo per i dispositivi che pubblicizzano e apprendono percorsi, come i router o i dispositivi SD-WAN.
Hop successivo
Il peer è solo una destinazione di inoltro. Il server di instradamento dinamico aggiunge alle tabelle di instradamento della VPC percorsi che indicano questo peer come hop successivo, ma il peer non pubblicizza i percorsi. Utilizzare questo ruolo per i firewall o i dispositivi di sicurezza attraverso i quali il traffico deve passare per essere sottoposto a ispezione.

Criteri di instradamento

Le politiche di instradamento, definite a livello di gruppo di peer, controllano il modo in cui il server di instradamento dinamico gestisce le rotte. Sono supportati i seguenti tipi di policy:

Tabella di instradamento VPC
Aggiunge le rotte apprese da un gruppo di peer a una tabella di routing in ingresso o in uscita di una VPC, indirizzando facoltativamente il traffico verso un gruppo di peer di next-hop specificato, come ad esempio un firewall. I percorsi vengono aggiunti e rimossi automaticamente in base allo stato di salute dei peer del salto successivo.
Percorsi memorizzati
Indica i percorsi appresi da un gruppo di peer e trasmessi ad altri gruppi di router peer. Utilizzare questa politica quando il server di instradamento dinamico funge da riflettore di instradamento tra diversi domini di instradamento, ad esempio tra un gateway di transito e un router di rete overlay.
Percorsi personalizzati
Pubblica percorsi statici definiti dall'utente verso un gruppo di peer tramite BGP. Utilizzare questa politica per comunicare ai colleghi i percorsi di rete fissi, come ad esempio un intervallo CIDR locale.
Prefissi indirizzo VPC
Pubblica i prefissi degli indirizzi VPC ai router peer, in modo che i router esterni e i dispositivi on-premises possano individuare come raggiungere i carichi di lavoro VPC.

Monitoraggio dello stato di salute e failover automatico

Quando il monitoraggio dello stato è abilitato su un gruppo di peer, il server di instradamento dinamico verifica continuamente se i peer sono raggiungibili. Se un peer non è più disponibile, il server di instradamento dinamico rimuove automaticamente dalle tabelle di instradamento della VPC le rotte che dipendono da quel peer, impedendo che il traffico venga inviato a una destinazione irraggiungibile. Quando il peer si ripristina, le rotte vengono ripristinate senza alcun intervento manuale.

Puoi scegliere il metodo di rilevamento più adatto alle tue esigenze:

  • BFD su BGP- Il Bidirectional Forwarding Detection (BFD) rileva i guasti di rete in meno di un secondo. Questa opzione è consigliata per i gruppi di peer di hop successivo, come i firewall, in cui è fondamentale un failover rapido.
  • BGP- Utilizza i timer di keepalive e di attesa del BGP. Si rileva un errore quando la sessione BGP viene interrotta.
  • Nessuna- Disabilita il monitoraggio dello stato, in modo che le rotte non vengano rimosse in caso di guasto di un peer. Utilizzare questa opzione solo quando il peer non supporta il protocollo BGP.

Transit Gateway integrazione

È possibile collegare un server di instradamento dinamico a un gateway di transito ( IBM Cloud® Transit Gateway ) per partecipare allo scambio di percorsi tra tutte le reti collegate al gateway di transito, inclusi i server di instradamento virtuali ( Direct Link ), altre VPC e gli ambienti di server virtuali Power. Una volta stabilita la connessione, il gateway di transito avvia automaticamente sessioni BGP ridondanti con ciascun server membro della rete di instradamento dinamico. Il server di instradamento dinamico apprende le rotte pubblicate dal gateway di transito e può utilizzare criteri per aggiungere tali rotte alle tabelle di instradamento della VPC o per rifletterle su altri peer.

Un'istanza di server di instradamento dinamico può essere collegata a un solo gateway di transito alla volta. Per ulteriori informazioni, consultare la sezione "Informazioni su IBM Cloud Transit Gateway ".

Come un server di instradamento dinamico instrada il traffico attraverso un firewall

L'esempio seguente illustra come un server di instradamento dinamico automatizzi l'instradamento del traffico attraverso un firewall in una topologia a tre VPC. Questo esempio illustra un modello comune per le organizzazioni che richiedono che tutto il traffico tra la rete locale e i carichi di lavoro nel cloud passi attraverso un dispositivo di sicurezza centralizzato.

Firewall singolo come hop successivo
Server di instradamento dinamico che instrada il traffico attraverso un unico firewall

In questa topologia:

  • Una rete locale (10.0.0.0/16) è collegata a IBM Cloud tramite Direct Link.
  • Una VPC di carico di lavoro (172.16.0.0/16) ospita i carichi di lavoro cloud ed è collegata alla VPC periferica tramite Transit Gateway.
  • Il VPC periferico (10.240.0.0/16) funge da hub di sicurezza. Contiene il server di routing dinamico e un firewall (10.240.1.10) che tutto il traffico tra domini deve attraversare.

Senza un server di instradamento dinamico, sarebbe necessario aggiungere e aggiornare manualmente le rotte nella tabella di instradamento di ingresso della VPC periferica ogni volta che cambia una sottorete di un carico di lavoro o un firewall diventa non disponibile. Con un server di routing dinamico, questo processo viene gestito automaticamente:

  1. Il server di instradamento dinamico si connette al gateway di transito e rileva il prefisso VPC del carico di lavoro (172.16.0.0/16). Il gateway di transito diffonde questo prefisso CIDR al server di instradamento dinamico tramite una sessione BGP.

  2. Un gruppo di peer del firewall viene configurato con il firewall (10.240.1.10) come peer di hop successivo. La funzione BFD è abilitata in modo che il server di instradamento dinamico possa rilevare rapidamente eventuali guasti del firewall.

  3. Vengono applicate le politiche relative alle tabelle di routing VPC. Il server di instradamento dinamico aggiunge due rotte alla tabella di instradamento in ingresso della VPC periferica:

    • Una rotta per 172.16.0.0/16 con hop successivo 10.240.1.10 (firewall): intercetta il traffico in entrata nella VPC periferica proveniente dall'ambiente on-premise e diretto verso la VPC del carico di lavoro, e lo indirizza attraverso il firewall prima che prosegua verso il gateway di transito.

    • Una rotta per 10.0.0.0/8 con hop successivo 10.240.1.10 (firewall): intercetta il traffico in entrata nella VPC perimetrale proveniente dalla VPC del carico di lavoro e diretto verso la rete locale, e lo indirizza attraverso il firewall prima che prosegua verso la rete locale.

  4. Il traffico attraversa il firewall in entrambe le direzioni. Tutto il traffico tra la rete locale e la VPC del carico di lavoro passa attraverso il firewall per essere ispezionato, indipendentemente dalla direzione in cui viaggia. Dopo che il firewall ha controllato e inoltrato il traffico, la tabella di routing del sistema VPC lo inoltra al gateway di transito, che lo consegna alla destinazione.

  5. Se il firewall non è più disponibile, il server di instradamento dinamico rileva il guasto tramite BFD e rimuove automaticamente entrambe le rotte dalla tabella di instradamento in ingresso. Il traffico viene interrotto anziché essere inviato a un dispositivo irraggiungibile. Quando il firewall torna a funzionare, le rotte vengono ripristinate automaticamente.

In questo esempio viene utilizzato un unico firewall. Per il failover attivo e in standby, è possibile aggiungere un secondo firewall come peer di next-hop a priorità inferiore nello stesso gruppo di peer. Per garantire la ridondanza a livello di zona, è possibile distribuire i firewall in più zone di disponibilità e aggiungerli allo stesso gruppo di peer con priorità specifiche per ciascuna zona. Per ulteriori informazioni, consultare la sezione " Casi d'uso del server di instradamento dinamico ".