Isolamento della rete

L'isolamento della rete VPC avviene su tre livelli:

• Hypervisor- Le istanze del server virtuale sono isolate dall'hypervisor. Un'istanza del server virtuale non può raggiungere direttamente altre istanze del server virtuale ospitate dallo stesso hypervisor se non si trovano nello stesso VPC.

• Rete- L'isolamento si verifica a livello di rete utilizzando le VNI (virtual network identifier). Questi identificatori sono assegnati a ciascuna sottorete e si riferiscono a una singola zona. Un VNI viene aggiunto a tutti i pacchetti di dati che entrano in una qualsiasi zona della VPC: sia che entrino dall'hypervisor, se inviati da un'istanza di server virtuale, sia che entrino nella zona dal cloud, se inviati dalla funzione di routing implicito.

  A un pacchetto che lascia una zona viene tolto il VNI. Quando il pacchetto raggiunge la sua zona di destinazione, entrando tramite la funzione di instradamento implicito, il router implicito aggiunge sempre il VNI corretto per quella zona.

• Router- La funzione di router implicito garantisce l'isolamento di ogni VPC fornendo una funzione di routing virtuale (VRF) e una VPN con MPLS (multi-protocol label switching) nel backbone del cloud. La VRF di ogni VPC ha un identificativo univoco e questo isolamento consente a ciascun VPC di avere accesso alla propria copia dello spazio di indirizzi IPv4. La VPN MPLS consente di federare tutti gli edge del cloud: infrastruttura classica Direct Link e VPC.

Prefissi di indirizzo

I prefissi degli indirizzi sono le informazioni di riepilogo utilizzate dalla funzione di routing implicito di una VPC per individuare un' istanza di server virtuale di destinazione, indipendentemente dalla zona di disponibilità in cui si trova l'istanza di server virtuale di destinazione. La funzione principale dei prefissi di indirizzo è quella di ottimizzare l'instradamento sulla VPN MPLS, evitando casi di instradamento patologico. Tutte le sottoreti all'interno di un VPC devono trovarsi in un prefisso di indirizzo in modo che tutte le istanze del server virtuale presenti nel VPC siano raggiungibili da tutte le altre istanze del server virtuale nel VPC.

Indirizzi di origine endpoint del servizio cloud

Gli indirizzi di origine dell'endpoint del servizio cloud sono gli indirizzi IP che identificano una combinazione VPC e zona al di fuori del VPC. Ad esempio, un indirizzo di origine viene utilizzato quando un servizio esterno al VPC viene richiamato tramite un endpoint del servizio cloud. L'indirizzo IP dell'istanza del server virtuale viene sostituito con uno IPv4, l'indirizzo di origine, che identifica il VPC per l'endpoint del servizio cloud. Per i dettagli, vedere il seguente diagramma:

L'indirizzo di origine dell'endpoint del servizio Cloud nel diagramma è etichettato "Indirizzo VPC". Questo indirizzo ha un ambito esterno al VPC del cliente e quindi non è in conflitto con gli indirizzi VSI del cliente. Ogni VPC ha almeno un indirizzo di origine del servizio Cloud per zona.

Flussi di pacchetti di dati e router implicito

In una VPC si verificano sei diversi tipi di flussi di pacchetti di dati di istanze di server virtuali. In ordine crescente di complessità, questi flussi sono:

• Dentro la sottorete, dentro l'host (stesso hypervisor)
• Dentro la sottorete, tra host
• Tra sottoreti, dentro la zona
• Tra sottoreti, tra zone
• Servizio extra-VPC (per l'accesso a IaaS o CSE)
• Extra-VPC Internet (per l'accesso Internet)

Flussi di dati intra-subnet e intra-host- Questi pacchetti di dati sono i più semplici. I pacchetti fluiscono tra le istanze del server virtuale sull'hypervisor e nessun pacchetto lascia l'hypervisor.

Flussi di dati intra-subnet e inter-host- Questi flussi coinvolgono pacchetti che lasciano l'hypervisor. Ogni pacchetto è contrassegnato con il VNI (virtualized network identifier) appropriato per mantenere l'isolamento dei dati. I flussi vengono quindi inviati all'hypervisor di destinazione che ospita l'istanza del server virtuale di destinazione. L'hypervisor di destinazione elimina il VNI e inoltra il pacchetto dati all'istanza del server virtuale di destinazione.

Flussi di dati inter-subnet, intra-zona- Questi flussi coinvolgono pacchetti che utilizzano la funzione di router implicito della VPC, che collega tutte le subnet create nella VPC. Instrada il pacchetto di dati all'hypervisor di destinazione corretto. Se l'hypervisor di destinazione è diverso da quello di origine, il pacchetto di dati viene contrassegnato con il VNI appropriato e inviato all'hypervisor di destinazione. A questo punto, il VNI viene eliminato e il pacchetto dati viene inoltrato all'istanza del server virtuale di destinazione. (Questi ultimi passi sono gli stessi di quelli descritti nel precedente tipo di flusso di dati.)

Flussi di dati inter-subnet e inter-zona- Per questi flussi, la funzione di router implicito rimuove il VNI e inoltra il pacchetto nella VPN MPLS della VPC per il transito attraverso il backbone del cloud. Nella zona di destinazione, la funzione di router implicito contrassegna il pacchetto di dati con il VNI appropriato. Quindi, il pacchetto viene inoltrato all'hypervisor di destinazione, dove il VNI viene nuovamente rimosso in modo che il pacchetto di dati possa essere inoltrato all'istanza del server virtuale di destinazione.

Flussi di dati Extra - vpc service- I pacchetti destinati ai servizi IaaS o IBM Cloud Service Endpoint (CSE) utilizzano la funzione del router implicito del VPC. Utilizzano anche una funzione NAT (network address translation). La funzione di traduzione sostituisce l'indirizzo dell'istanza del server virtuale con un indirizzo IPv4 che identifica la VPC al servizio IaaS o CSE richiesto.

Flussi di dati internet extra-vpc- I pacchetti destinati a internet sono i più complessi. Oltre a utilizzare la funzione di router implicito della VPC, ciascuno di questi flussi si affida anche a una delle due funzioni di traduzione degli indirizzi di rete (NAT) del router implicito.

• Un NAT esplicito uno-a-molti attraverso una funzione di gateway pubblico che serve tutte le sottoreti ad esso collegate.
• NAT uno a uno assegnato alle singole istanze del server virtuale.

Dopo la traduzione NAT, il router implicito inoltra questi pacchetti destinati a Internet, utilizzando il backbone del cloud.

Ciclo di vita di indirizzi IP esterni associati a funzioni gateway pubbliche

Poiché sia gli indirizzi IP esterni che i PGW sono collegati a una zona di disponibilità. Una funzione gateway pubblica può avere solo un singolo IP esterno. Questo IP esterno ha il seguente ciclo di vita:

• L'IP esterno viene assegnato quando si crea il gateway pubblico.
• L'IP esterno viene rilasciato quando si rimuove il gateway pubblico.

Accesso classico

La funzione di accesso classico per VPC si ottiene riutilizzando l'identificatore VRF dell'account dell'infrastruttura classica IBM Cloud® come identificatore VRF per VPC. Questa implementazione consente alla funzione router implicito del VPC di unirsi alla stessa VPN MPLS utilizzata dall'account dell'infrastruttura classica. In questo modo, la VPC ha accesso alle risorse classiche e a tutto ciò che è raggiungibile tramite le connessioni Direct-Link esistenti.