10 Min. Lesezeit

Lernziele

Am Ende dieses Moduls werden Sie in der Lage sein:

  • Eine dreistufige VDC-Topologie (öffentliche Kante, private Anwendung, private Daten) entwerfen und erklären, warum Segmentierung und nicht eine Regelsammlung die tragende Isolationskontrolle auf IONOS ist.
  • LAN-Adressierung richtig planen: das Standard-Default /24, den reservierten Managed-Service-Bereich, die Gateway-Adressen und wo statische Adressierung DHCP übertrifft.
  • Entscheiden, wann eine statische öffentliche IPv4 reserviert werden soll, wer sie reservieren kann und wie sich das IPv6-Zuweisungsmodell unterscheidet.
  • Die dreistufige LAN-Topologie mit Netzwerkadaptern und einer reservierten öffentlichen IP im Data Center Designer aufbauen.

Einheit 3.1: VDC-Topologie und Segmentierung

Einführung

Die erste wichtige Entscheidung in jeder IONOS-Architektur ist nicht, welchen Server man baut, sondern welche Netzwerk jedes Tier verwendet, denn auf dieser Plattform ist die LAN, auf der eine Ressource lebt, das Hauptkriterium, das bestimmt, ob sie von dem Internet aus erreichbar ist. Eine LAN innerhalb eines virtuellen Rechenzentrums ist privat, bis Sie sie explizit mit dem Internet verbinden, sodass die Exposition etwas ist, das Sie absichtlich hinzufügen, anstatt etwas, das Sie später entfernen. Diese Einheit legt die Topologie fest, in die jeder nachfolgende Build im Modul passt: ein öffentliches Edge-LAN, ein privates Anwendungs-LAN und ein privates Daten-LAN. Sie beginnt mit den Adressierungs- und Segmentierungsentscheidungen und endet mit dem Aufbau dieser drei-LAN-Struktur in der Data Center Designer für FinCorps erste regulierte Workload.

1. Das Private-by-Default-Netzwerk und die Dreischichtarchitektur

Ein LAN wird erst dann öffentlich, wenn ein Internet-Zugriffselement daran angehängt wird. Ohne diese Verbindung ist das Netzwerk privat. Dieses einzelne Verhalten ist es, was den private-by-Default-Ansatz zum Pfad mit dem geringsten Widerstand macht: Lassen Sie eine Schicht auf einem nicht verbundenen LAN und sie ist bereits von außerhalb des virtuellen Rechenzentrums (VDC) nicht erreichbar. Die Dreischichtarchitektur ergibt sich direkt daraus:

  • Ein öffentliches Edge-LAN enthält nur den internetfähigen Einstiegspunkt (den Layer-7-Load Balancer in Einheit 3.3, sowie jeden IP-Failover-Edge in Einheit 3.5).
  • Ein privates Anwendungs-LAN enthält den zustandslosen Rechner oder den Kubernetes-Node-Pool.
  • Ein privates Daten-LAN enthält die gemanagten Datenbanken, den Cache und den gemeinsamen Speicher und ist nur über den internen Layer-4-Lastverteiler in Einheit 3.4 erreichbar.

Der Grund, warum diese Schichtung die Kontrolle darstellt, anstatt eine Bequemlichkeit, liegt darin, wo die Plattform-Filterung bindet. NIC-Ebene-Feuerwände und Network Security Groups sind an den Server-NICs auf VDC-Ebene angehängt, sie gelten jedoch nicht für die Managed Application Load Balancer, die Managed Network Load Balancer oder die Managed Kubernetes-Cluster-Abstraktion. Da Sie die gemanagten Lastverteiler nicht in einer Sicherheitsgruppe einwickeln können, können Sie sich nicht auf eine Firewall-Regel verlassen, um die Platzierung einer Datenbank auf einem öffentlichen Pfad zu kompensieren. Die Topologie selbst muss die Isolation durchführen. Segmentierung ist daher die tragende Entscheidung, und die Dreischicht-LAN-Aufteilung ist das Minimum, das sie sauber ausdrückt. Einheit 3.2 fügt dann Firewall- und NSG-Regeln als zweite Schicht innerhalb dieser Topologie hinzu, nie als Ersatz dafür.

Für FinCorp, das deutsche Finanzdienstleistungsunternehmen, das seine Workload unter GDPR und BSI-Erwartungen durchführt, ist dies die Hülle, in die die regulierte Anwendung fällt. Die Compliance-Geschichte ist wesentlich einfacher zu erzählen, wenn die Datenebene architektonisch nicht in der Lage ist, eine eingehende Verbindung von außerhalb des VDC anzunehmen, da das Argument auf der Topologie und nicht auf der Richtigkeit einer Regelliste basiert.

2. LAN Adressierung: Das /24, der Reservierte Bereich und das Gateway

Jedes LAN standardmäßig auf ein /24-Subnetz, das die Adresseneinheit ist, die Sie planen. Innerhalb dieses /24 ist der Adressenraum nicht vollständig für Ihre Zuweisung verfügbar:

  • Adressen .2 bis .9 sind für gemanagte Dienste innerhalb des LAN /24 reserviert. Weisen Sie diese nicht Ihren eigenen virtuellen Maschinen zu.
  • Adressen .10 bis .255 sind der Bereich, aus dem VM-IPs zugewiesen werden.

Private LANs ziehen aus den RFC-1918-Bereichen (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). Die maximale Übertragungseinheit auf dem LAN beträgt 1500 Byte; die Planung für diese MTU vermeidet Fragmentierungsurprises, wenn Sie später verschlüsselte Tunnel über das gleiche Fabric in Einheit 3.6 ausführen.

Die Entscheidung zwischen statischer und DHCP-Zuweisung wird pro Tier und pro Rolle getroffen. Die Anwendungsebene kann DHCP tolerieren, da ihre Mitglieder austauschbar und zustandslos sind. Die Datenebene und alle Node, die andere Ressourcen über IP ansprechen, sollten eine statische Adresse haben, da ein Datenbankendpunkt oder ein Lastverteilungsziel, das bei einer Lease-Verlängerung verschoben wird, ein Ausfall ist, der nur auf sich warten lässt. Der praktische Schutz besteht darin, DHCP-zugewiesene und statisch zugewiesene Adressen in nicht überlappenden Teilen des .10-.255-Bereichs zu halten, damit eine Lease nie mit einer festen Adresse kollidiert.

Interne Datenverkehr zwischen LANs im gleichen virtuellen Rechenzentrum (VDC) kann bis zu 6000 Mbps betragen, und der NIC-Firewall-Pfad ist für 6 Gbps Durchsatz ausgelegt, sodass die Segmentierungsgrenze kein Leistungsengpass für den Ost-West-Datenverkehr zwischen der Anwendungs- und der Datenebene ist.

3. Reservierte öffentliche IPv4 und das IPv6-Modell

Eine öffentliche Edge benötigt eine stabile Adresse. Eine reservierte IPv4-Adresse ist regionsspezifisch: sie kann nur in der Rechenzentrum-Region verwendet werden, in der sie reserviert wurde, und obwohl unterschiedliche IPs aus einem reservierten Block verschiedene Netzwerke bedienen können, ist dies immer noch nur innerhalb der gleichen Region möglich. Die Reservierung einer IP erfordert das Privileg Reservierte IP-Blöcke, sodass nur Vertragsinhaber, Administratoren oder Benutzer, die dieses Privileg erhalten haben, dies tun können; alle anderen haben nur Lesezugriff auf die IP-Verwaltung. Ein reservierter IPv4-Block wird mit 5,00 EUR pro 30 Tage pro Adresse berechnet. IPs können nicht einzeln zurückgegeben werden, sondern nur als Block und nur, wenn keine Adresse in ihm in Verwendung ist, und wenn Sie eine statische IP zurückgeben, können Sie diese Adresse nicht wieder reservieren.

Sie reservieren die öffentliche IP, bevor Sie das Objekt erstellen, das sie verbraucht. Der Layer-7-Lastenausgleich in Einheit 3.3, das VPN Gateway und NAT-Gateway in Einheit 3.6 und die IP-Failover-Edge in Einheit 3.5 erwarten alle, dass eine reservierte öffentliche IPv4 bereits existiert; die Bereitstellung des Verbrauchers zuerst und die Suche nach einer Adresse danach ist die häufigste vermeidbare Nachbearbeitung in der Konsole.

IPv6 folgt einer hierarchischen Zuweisung anstelle einer pro-Adresse-Reservierung. Ein virtuelles Rechenzentrum erhält eine öffentliche /56, jedes IPv6-aktivierte LAN erhält eine /64 (ausgewählt aus dieser /56 oder automatisch zugewiesen), und jedes Netzwerkinterface erhält eine /80. Ein virtuelles Rechenzentrum kann bis zu 256 IPv6-aktivierte LANs haben, und die Plattform unterstützt die Dual-Stack-Operation. Eine Grenze ist bei der Topologie-Phase wichtig: die gemanagten Netzwerkdienste (Application Load Balancer, Network Load Balancer, NAT-Gateway, IP-Failover und Managed Kubernetes) sind IPv4-only, sodass ein IPv6-facing Design immer noch seine gemanagte Edge auf IPv4 beendet.

DCD Implementierung Schritt-für-Schritt

Sie werden die drei-LAN-Topologie von FinCorp erstellen: einen öffentlichen Edge-LAN, einen privaten Anwendungs-LAN und einen privaten Daten-LAN, mit einer Server-NIC auf jeder Ebene und einer reservierten öffentlichen IPv4, die für den Edge bereit ist. Dies realisiert die Segmentierungsentscheidung aus Abschnitt 1, bevor irgendeine Rechen-, Sicherheits- oder Lastverteilungskomponente darauf aufsetzt.

Ziel: Die drei-LAN-Topologie mit NICs und einer reservierten öffentlichen IP erstellen.

Schritte (in der Data Center Designer):

  1. Öffnen Sie das FinCorp-VDC, das in Einheit 2.1 erstellt wurde (wiederverwenden Sie es; erstellen Sie keine neue Region). Die Region ist bereits festgelegt und IP-Reservierungen werden daran gebunden.
  2. Gehen Sie zu Menü > Netzwerkdienste > IP-Verwaltung und wählen Sie Öffentliche IPv4-Blöcke reservieren. Reservieren Sie einen öffentlichen IPv4-Block in der gleichen Region wie das VDC. Sie können keine spezifische Adresse auswählen; Sie erhalten eine (oder mehrere) aus dem Pool. Dies ist die zukünftige Edge-Adresse, die zuerst reserviert wird.
  3. Im Arbeitsbereich platzieren Sie den Anwendungs-Server und den Daten-Server. Jeder Server erhält eine NIC, die Sie in den nächsten Schritten einem LAN zuweisen werden.
  4. Erstellen Sie das private Anwendungs-LAN: Ziehen Sie ein LAN in den Arbeitsbereich (oder verbinden Sie die Anwendungs-Server-NIC mit einem neuen LAN) und lassen Sie es unverbunden mit dem Internet, damit es privat bleibt. Behalten Sie die Standard-/24 bei.
  5. Erstellen Sie das private Daten-LAN auf die gleiche Weise, als zweites privates LAN, und binden Sie die Daten-Server-NIC daran. Verbinden Sie es nicht mit dem Internet.
  6. Erstellen Sie das öffentliche Edge-LAN, indem Sie das Internet-Zugriff-Element an ein neues LAN anhängen. Dies ist das einzige LAN, das dem Internet zugewandt ist; reservieren Sie es für den Edge-Lastverteilungs- und IP-Failover-NIC, der in späteren Einheiten erstellt wird.
  7. Legen Sie auf jeder NIC die Adressierung pro Ebene fest: eine statische Adresse aus dem Bereich .10-.255 für die Daten-Server-NIC (damit der Datenbank-Endpunkt stabil ist), DHCP-akzeptabel für die austauschbare Anwendungs-NIC. Behalten Sie den Bereich .2-.9 für gemanagte Dienste frei.
  8. Stellen Sie die Änderungen bereit. Die drei-LAN-Form jetzt existiert mit der reservierten öffentlichen IP und den segmentierten Ebenen.

Häufige Fehler:

  • Die Reservierung der öffentlichen IP nach dem Erstellen des Consumers. Reservieren Sie es zuerst; der Lastverteilungs-, Gateway- oder Failover-Gruppe erwartet, dass es existiert.
  • Die Zuweisung einer VM in den Bereich .2-.9 für gemanagte Dienste oder in den Bereich .1/.2 für die Gateway-Adresse, was mit der Plattform-Adressierung kollidiert.
  • Die Verbindung des Daten-LAN mit dem Internet "nur zum Testen", was die gesamte Segmentierungsargumentation, auf der die Compliance-Geschichte basiert, untergräbt.
  • Die Platzierung eines IP-Failover-Edges oder eines Load Balancer auf dem gleichen öffentlichen LAN und die Erwartung, dass eine NSG es schützt; die gemanagten Lastverteilungs-Komponenten können nicht in einer Sicherheitsgruppe eingeschlossen werden, sodass die Sicherheit der Daten-Ebene durch die private LAN-Ebene gewährleistet werden muss.
  • Die Reservierung der IP in der falschen Region; eine reservierte IPv4 ist regionsspezifisch und kann nicht anderswo verwendet werden.

Unternehmensfallstudie (FinCorp)

Die regulierte, kundenorientierte Dienstleistung von FinCorp ist das Workload, das dieses Modul verankert. Die Anforderung ist einfach: Kunden erreichen einen öffentlichen HTTPS-Endpunkt, aber die Kontodaten dürfen nie aus dem Internet erreichbar sein. Die Designentscheidung besteht darin, dies als Topologie und nicht als Regelsatz auszudrücken. Der öffentliche Rand LAN wird später den Layer-7-Lastenausgleich auf dem reservierten IPv4 tragen; die Anwendungsebene führt die Geschäftslogik auf einem privaten LAN mit DHCP-zugewiesenen, austauschbaren Netzwerkkarten aus; und die relationale Cluster befindet sich auf einem privaten Daten-LAN mit einer statischen Adresse, die nur von dem internen Layer-4-Lastenausgleich, der in Einheit 3.4 erstellt wurde, vermittelt wird. Da das Daten-LAN nie mit dem Internet verbunden ist, kann FinCorp seinen Auditoren argumentieren, dass die Datenbank keine externe Verbindung akzeptieren kann, unabhängig davon, ob eine bestimmte Firewall-Regel an einem bestimmten Tag korrekt ist. Jeder spätere Build in diesem Modul bindet sich an diese exakte Form.

Zusammenfassung

Die Netzwerkebene, auf der eine Ressource sitzt, ist die primäre Kontrolle über ihre Exposition bei IONOS, da ein LAN privat ist, bis es explizit mit dem Internet verbunden wird, und da die gemanagten Lastverteilungs-Manager und die Kubernetes Cluster nicht in einer Firewall oder Sicherheitsgruppe eingeschlossen werden können. Das macht die Segmentierung, ausgedrückt als die dreistufige Topologie (öffentliche Kante, private Anwendung, private Daten), die tragende Isolierungsentscheidung. Die Adressierung wird um die /24-Standardadresse herum geplant, wobei der .2-.9-Managed-Service-Bereich reserviert ist und statische Adressen für jedes Node, das von IP adressiert wird, festgelegt werden. Eine reservierte öffentliche IPv4 ist regionsspezifisch, kostet 5,00 EUR pro 30 Tage, erfordert das Privileg "Reserve IP-Blöcke" und sollte vor dem Edge-Konstrukt, das es verbraucht, reserviert werden; IPv6 wird hierarchisch als /56 pro VDC, /64 pro LAN, /80 pro NIC zugewiesen.

Wichtige Punkte:

  • Ein LAN ist privat, bis ein Internet-Zugriffselement angehängt wird, sodass privat-per-Standard der Standard ist und die Exposition absichtlich hinzugefügt wird.
  • NIC-Feuerwände und NSGs binden nur an Server-NICs, nie an den gemanagten ALB/NLB oder die Kubernetes Cluster-Abstraktion, sodass die Topologie die eigentliche Isolierungssteuerung ist.
  • Die LAN /24 reserviert .2-.9 für gemanagte Dienste und weist VM-IPs von .10-.255 zu; statische Adressierung gehört auf jedes Node, das von IP adressiert wird, DHCP auf austauschbare Ebenen.
  • Eine reservierte IPv4 ist regionsspezifisch, wird mit 5,00 EUR pro 30 Tage berechnet, benötigt das Privileg "Reserve IP-Blöcke" und muss vor dem verbrauchenden Edge-Konstrukt reserviert werden.
  • IPv6 ist hierarchisch (/56 pro VDC, /64 pro LAN, /80 pro NIC, bis zu 256 IPv6-aktivierte LANs), aber die gemanagten Netzwerkdienste sind IPv4-nur.

Wichtige Begriffe:

  • Reservierter IPv4-Block: eine regionsspezifische statische öffentliche Adresse (oder Block), die in IP-Management reserviert ist, nur als ganzer Block und nur wenn ungenutzt zurückgegeben werden kann.
  • Gemanagter Dienstebereich (.2-.9): die pro-LAN /24-Adressen, die für plattform-gemanagte Dienste reserviert sind, niemals zu Kunden-VMs zugewiesen werden.
  • Doppelter Stapel: gleichzeitiger IPv4- und IPv6-Betrieb auf einem LAN; beachten Sie, dass die gemanagten Netzwerkdienste IPv4-nur bleiben.

Weiterführende Literatur

  • Einheit 3.2: Netzwerksicherheit: Firewall und Sicherheitsgruppen (die Regelschicht innerhalb dieser Topologie).
  • Einheit 3.4: Lastverteilung - Schicht 4 (der interne Lastverteiler vor dem Daten LAN).
  • Einheit 3.6: Hybrid-Konnektivität (die Gateways, die an die Kante und die Ausgangspfade angehängt werden).