Informazioni sulla condivisione DNS per i gateway VPE

I clienti aziendali su larga scala potrebbero aver bisogno dell'isolamento a livello di rete delle risorse utilizzate da diverse unità di business, carichi di lavoro o ambienti. Questo tipo di isolamento abilita il controllo granulare sul traffico di rete per ogni gruppo di risorse. L'isolamento a livello di rete può anche aiutare a soddisfare i requisiti legali e normativi di separazione dei dati. La configurazione di un hub e di una rete condivisa DNS è un modo per gestire in modo efficiente i servizi di comunicazione e soddisfare i requisiti di sicurezza su larga scala.

Con questo tipo di rete, i tuoi VPC possono essere in account diversi nell'azienda. I gateway VPE (Virtual Private Endpoint) nell'hub DNS e i VPC condivisi DNS devono essere accessibili l'uno all'altro e dalle reti in loco. La connessione di un hub VPC ai VPC condivisi DNS tramite un transit gateway è diretta, ma senza una configurazione aggiuntiva, non ci sarà alcuna risoluzione DNS per i servizi VPE.

La risoluzione DNS privata VPC funziona all'interno dello stesso VPC, ma richiede la copia manuale di script complessi in altri VPC o ambienti in loco. La condivisione DNS per i VPE semplifica questo scenario consentendo la risoluzione DNS dei servizi indipendentemente dalla posizione. Non sono necessari script complessi per mantenere le copie dei record DNS ed è più facile utilizzare il controllo di accesso ai dati a grana fine fornito da una VPC per proteggere l'accesso ai servizi di catalogo.

Introduzione

Quando più VPC sono collegate tramite Transit Gateway, Direct Link o altre opzioni di connettività, una delle VPC nella topologia collegata può essere abilitata come hub per centralizzare la risoluzione DNS. L'hub VPC fornisce la risoluzione DNS per tutti i gateway degli endpoint nelle VPC collegate della topologia, semplificando la risoluzione dei nomi e riducendo la necessità di replicare manualmente i record DNS.

Prima di iniziare, rivedete le considerazioni sulla pianificazione della condivisione del DNS.

Seleziona disponibilità

Oltre al modello di condivisione DNS basato su hub, ora è possibile creare VPE con accesso locale in VPC con DNS condiviso. I VPE ad accesso locale forniscono connettività locale privata ai servizi IBM Cloud supportati senza instradare il traffico attraverso l'hub VPC. Attualmente, questa funzionalità è supportata solo per IBM Cloud Object Storage.

La procedura generale per configurare la condivisione DNS per i gateway VPE è la seguente:

  1. Assicurati di creare o avere dei VPC esistenti da utilizzare per i tuoi VPC hub e condivisi da DNS. Questi VPC possono essere in più account. Questi VPC devono essere già configurati utilizzando un transit gateway o un'altra connettività del datapath.

    Per ulteriori informazioni sulla creazione di una VPC, consulta Utilizzo della IBM Cloud console per creare risorse VPC o Creazione di risorse VPC con CLI e API.

  2. Abilitare un VPC come VPC hub.

  3. Crea gateway endpoint per i servizi a più tenant nel VPC hub e abilita la condivisione DNS per ogni gateway endpoint.

  4. Quando si tratta dello stesso account o di account diversi per la VPC hub e una VPC con condivisione DNS, l'amministratore della VPC hub deve creare un criterio di autorizzazione da servizio a servizio ( s2s ) per dare accesso in lettura all'account della VPC con condivisione DNS. Per ulteriori informazioni, vedi Definizione dell'autorizzazione service - to - service.

  5. Assicurati di disabilitare il bind della risoluzione DNS (allow_dns_resolution) sui VPE ridondanti o in conflitto sui VPC condivisi da DNS. Per impostazione predefinita, lo switch di bind della risoluzione DNS è abilitato sui VPE.

  6. Configura un resolver personalizzato DNS sul VPC hub per essere responsabile della risoluzione delle query DNS dai VPC condivisi da DNS e hub, nonché da quelli dalle reti in loco.

  7. Crea un'associazione di risoluzione DNS sui VPC a cui vuoi consentire l'accesso dei record DNS del gateway VPE tra il VPC e il VPC hub DNS. Questi VPC sono chiamati VPC condivisi DNS.

  8. L'utente VPC condiviso dal DNS imposta il tipo di resolver DNS su Delegated per puntare al resolver personalizzato del VPC hub.

  9. L'utente della VPC con condivisione DNS crea gateway endpoint per i servizi comuni nella VPC con condivisione DNS.

Seleziona disponibilità

Per IBM Cloud Object Storage, è possibile creare un VPE con accesso locale in una VPC condivisa DNS selezionando il binding per risorsa durante la creazione del gateway endpoint. Questa configurazione consente l'accesso privato a specifici Object Storage bucket, mantenendo il resto del traffico instradato attraverso l'hub VPC.

  1. Per ogni VPC condiviso da DNS, l'utente VPC condiviso da DNS deve ripetere i passaggi da 4 a 9.

Come funziona la risoluzione DNS per VPE

DNS Services per VPE è un servizio regionale e non è associato a una VPC specifica.

Per ogni VPE viene creata una zona DNS. Per abilitare la risoluzione DNS tra VPC, sia la VPC con condivisione DNS che la VPC hub vengono aggiunte come reti consentite per quella zona.

Caso di utilizzo: condivisione DNS in una topologia di rete hub e spoke

In un ambiente aziendale, gestire l'accesso ai servizi IBM utilizzando VPE (Virtual Private Endpoints), distribuiti su più account, VPC e organizzazioni può essere un'attività travolgente. La connessione a questi servizi in loco può aggiungere complessità e sfide per un amministratore di rete. Questo caso di utilizzo descrive la soluzione IBMa questo problema semplificando la topologia di rete e la gestione DNS.

In questo esempio, il cliente ha tre applicazioni che desidera isolare su VPC separati, mantenendo anche una connessione comune alla propria infrastruttura in loco. Il cliente instrada tutto il traffico attraverso la propria rete in loco e si affida alla connettività privata attraverso un VPE per accedere ai servizi IBM.

Ogni VPC applicativa contiene un cluster IBM Kubernetes Service (IKS) e un database IBM Cloud Databases (ICD). I VPC contengono VPE per ciascuno di questi servizi.

Queste VPC si affidano anche a un servizio comune, come Cloud Object Storage per i backup, IBM Cloud® Identity and Access Management (IAM) per le autorizzazioni, IBM Cloud Business Support Server (BSS) per la fatturazione e Container Registry per la gestione delle immagini delle applicazioni. Il Cliente utilizza questi servizi anche tramite un VPE per la connettività privata.

Mentre la connettività di rete tra i VPC è già fornita tramite un gateway di transito, per impostazione predefinita la risoluzione DNS dei record DNS VPE non è risolvibile l'uno dall'altro. Senza la condivisione DNS per VPE, la gestione del VPE è schiacciante, in quanto il cliente deve gestire:

  • La distribuzione di più VPC del servizio IBM per ciascuno dei relativi VPC dell'applicazione, inclusa la gestione della traccia delle dipendenze dell'applicazione
  • La gestione della sicurezza (gruppi di sicurezza, ACL di rete e così via) per VPC
  • La gestione di DNS tra ogni VPC e rete in loco, potenzialmente utilizzando resolver personalizzati

La Figura 1 mostra in che modo il cliente può utilizzare la condivisione DNS per semplificare la distribuzione e le operazioni nel contesto di un'architettura hub e spoke. Qui, il cliente ha utilizzato la condivisione DNS per:

  • Crea tutti i VPE del servizio IBM comuni una sola volta nel VPC hub DNS e consenti loro di essere condivisi da tutte le altre VPC. Il cliente non richiede più VPE comuni su ogni VPC dell'applicazione e può invece gestirli centralmente.
  • Instradare tutto il traffico DNS tramite un singolo VPC hub DNS, che può centralizzare la distribuzione dei gruppi di sicurezza e degli ACL di rete.
  • Consolida tutti i DNS in un unico resolver personalizzato per gestire l'accesso per tutti i VPE sia dal VPC hub DNS che dai VPC dell'applicazione. L'alta disponibilità del resolver personalizzato può essere ottenuta specificando le applicazioni resolver in diverse ubicazioni. Questo resolver personalizzato può essere utilizzato anche per configurare le regole di connessione in loco.
  • Continuare a distribuire le relative applicazioni all'interno dei VPC dell'applicazione.

d'uso del modello hub and
d'uso*

Per ottenere questa architettura con la condivisione DNS abilitata per i gateway VPE, puoi seguire questa procedura per configurare i tuoi VPC hub e condivisi da DNS.

Per il VPC utilizzato come hub DNS:

  • Creare un gateway VPE per un servizio comune, come IAM, fatturazione e Container Registry.
  • Crea un resolver DNS personalizzato sul VPC.
  • Designare questo VPC come hub DNS.

Per ogni VPC condiviso da DNS:

  • Creare i gateway VPE per i servizi dell'applicazione, ad esempio le istanze IKS e ICD (se necessario).
  • Crea un bind della risoluzione DNS al VPC hub DNS per condividere i relativi record DNS VPE con il VPC hub DNS.
  • Configurare il DNS per utilizzare il resolver personalizzato su un VPC hub DNS modificando il relativo tipo di resolver in Delegato con il VPC hub DNS.

IBM Cloud domini di servizio per VPE

Quando la condivisione DNS è configurata per gli endpoint privati virtuali (VPE), le query DNS per gli endpoint del servizio IBM Cloud supportati si risolvono agli indirizzi IP privati attraverso l'hub DNS VPC.

Domini di servizio supportati

La risoluzione DNS tramite VPE include domini quali:

  • *.cloud.ibm.com
  • *.appdomain.cloud
  • *.networklayer.com
  • *.isops.ibm.com
  • icr.io

I domini specifici che vengono risolti dipendono dai servizi IBM Cloud a cui si accede tramite i gateway VPE.