13 min de lectura

Objetivos de aprendizaje

Al final de este módulo, podrás:

  • Diseñar una topología de VDC de tres niveles (borde público, aplicación privada, datos privados) y explicar por qué la segmentación, y no un conjunto de reglas, es el control de aislamiento que soporta la carga en IONOS.
  • Planificar la dirección LAN de manera correcta: el valor predeterminado /24, el rango de servicios gestionados reservado, las direcciones de puerta de enlace y dónde la dirección estática es mejor que DHCP.
  • Decidir cuándo reservar una dirección pública estática IPv4, quién puede reservarla y cómo el modelo de asignación IPv6 es diferente.
  • Construir la topología de tres LAN con NICs y una dirección pública reservada IP en el Data Center Designer.

Unidad 3.1: Topología y segmentación de VDC

Introducción

La primera decisión real en cualquier arquitectura de IONOS no es qué servidor construir, sino en qué red se encuentra cada nivel, porque en esta plataforma el LAN en el que vive un recurso es lo principal que determina si es accesible desde internet. Un LAN dentro de un Centro de Datos Virtual es privado hasta que lo conecte explícitamente a internet, por lo que la exposición es algo que se agrega deliberadamente en lugar de algo que se elimina más tarde. Esta unidad fija la topología en la que se basa cada construcción posterior en el módulo: un borde público LAN, una aplicación privada LAN y un dato privado LAN. Comienza con las decisiones de direccionamiento y segmentación, y termina construyendo esa forma de tres LAN en el Data Center Designer para el primer Workload regulado de FinCorp.

1. La Red Privada-Por-Defecto y el Diseño de Tres Niveles

Un LAN se vuelve público solo cuando se le adjunta un elemento de acceso a Internet; sin esa conexión, la red es privada. Ese comportamiento es lo que hace que la privacidad por defecto sea el camino de menor resistencia: dejar un nivel en un LAN no conectado y ya es inaccesible desde fuera del centro de datos virtual. El diseño de tres niveles se deriva directamente de esto:

  • Un borde público LAN solo lleva el punto de entrada que enfrenta a Internet (el nivel 7 Load Balancer en la Unidad 3.3, más cualquier borde de conmutación por error IP en la Unidad 3.5).
  • Un nivel de aplicación privado LAN lleva el cómputo sin estado o el grupo de Kubernetes Node.
  • Un nivel de datos privado LAN lleva las bases de datos gestionadas, la caché y el almacenamiento compartido, y es accesible solo a través del equilibrador de carga de nivel 4 interno en la Unidad 3.4.

La razón por la que esta capa es el control, en lugar de una comodidad, es donde se vincula el filtrado de la plataforma. Los firewalls de nivel NIC y Network Security Groups se adjuntan a los NIC de servidor en el nivel del centro de datos virtual solo; no se aplican al Managed Application Load Balancer, al Managed Network Load Balancer, o a la abstracción Managed Kubernetes Cluster. Debido a que no puede envolver los equilibradores gestionados en un grupo de seguridad, no puede confiar en una regla Firewall para compensar la colocación de una base de datos en un camino público. La topología en sí misma tiene que hacer la isolación. La segmentación es, por lo tanto, la decisión que soporta la carga, y la división de tres-LAN es el mínimo que la expresa de manera clara. La Unidad 3.2 agrega entonces reglas Firewall y NSG como una segunda capa dentro de esa topología, nunca como sustituto de ella.

Para FinCorp, la empresa de servicios financieros alemana que lleva su Workload bajo GDPR y expectativas BSI, esto es el shell en el que se deposita la aplicación regulada. La historia de cumplimiento es materialmente más fácil de hacer cuando el nivel de datos es arquitectónicamente incapaz de aceptar una conexión de entrada desde fuera del centro de datos virtual, porque el argumento se basa en la topología en lugar de en la corrección de una lista de reglas.

2. LAN Direcciones: La /24, el rango reservado y la puerta de enlace

Cada LAN tiene como valor predeterminado una subred /24, que es la unidad de direccionamiento que planea. Dentro de esa /24, el espacio de direcciones no es completamente suyo para asignar:

  • Las direcciones .2 a .9 están reservadas para servicios administrados dentro de la subred /24 de LAN. No las asigne a sus propias máquinas virtuales.
  • Las direcciones .10 a .255 son el rango desde el cual se asignan las direcciones IP de VM.

Las redes LAN privadas se alimentan de los rangos RFC 1918 (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). La unidad de transmisión máxima en el LAN es de 1500 bytes; planificar para esa MTU evita sorpresas de fragmentación cuando más tarde se ejecuten túneles cifrados sobre la misma trama en la Unidad 3.6.

La decisión de estática versus DHCP se toma por nivel y por función. El nivel de aplicación puede tolerar DHCP porque sus miembros son intercambiables y sin estado. El nivel de datos y cualquier Node que otros recursos dirijan mediante IP debe tener una dirección estática, porque un punto final de base de datos o un objetivo de equilibrio de carga que se mueve en una renovación de arrendamiento es una interrupción que está por suceder. La guardia práctica es mantener las direcciones asignadas por DHCP y las direcciones asignadas de forma estática en partes no superpuestas del rango .10-.255, para que un arrendamiento nunca colisione con una dirección fija.

El tráfico interno entre redes LAN en el mismo VDC se mueve a una velocidad de hasta 6000 Mbps, y el camino NIC Firewall tiene una tasa de hasta 6 Gbps de rendimiento, por lo que el límite de segmentación no es un cuello de botella de rendimiento para el tráfico este-oeste entre los niveles de aplicación y datos.

3. Direcciones públicas reservadas IPv4 y el modelo IPv6

Una arista pública necesita una dirección estable. Una dirección IPv4 reservada está vinculada a la región: solo se puede utilizar en la región del centro de datos donde se reservó, y aunque diferentes direcciones IP de un bloque reservado pueden servir a diferentes redes, eso solo es posible dentro de la misma región. Reservar un IP requiere el privilegio Reservar bloques de IP, por lo que solo los propietarios del contrato, administradores o usuarios a los que se les ha concedido ese privilegio pueden hacerlo; todos los demás tienen acceso de solo lectura a la administración de IP. Un bloque de direcciones IPv4 reservadas se factura a 5,00 EUR por 30 días por dirección. Las direcciones IP no se pueden devolver de forma individual, solo como un bloque y solo cuando ninguna dirección en él está en uso, y si devuelve una dirección IP estática, no podrá reservar esa misma dirección de nuevo después.

Usted reserva la dirección pública IP antes de construir la cosa que la consume. El equilibrador de carga de capa 7 en la Unidad 3.3, la puerta de enlace VPN Gateway y NAT en la Unidad 3.6, y la arista de conmutación por error IP en la Unidad 3.5 esperan que ya exista una dirección pública IPv4 reservada; provisionar el consumidor primero y buscar una dirección después es el retrabajo más común que se puede evitar en la consola.

IPv6 sigue una asignación jerárquica en lugar de una reserva por dirección. Un centro de datos virtual recibe un público /56, cada IPv6-habilitado LAN toma un /64 (elegido desde ese /56 o asignado automáticamente), y cada tarjeta de interfaz de red recibe un /80. Un centro de datos virtual puede tener hasta 256 redes IPv6-habilitadas, y la plataforma admite la operación de pila doble. Un límite importa en la etapa de topología: los servicios de red administrados (Aplicación Load Balancer, Red Load Balancer, Puerta de enlace NAT, Conmutación por error IP y Managed Kubernetes) son solo IPv4, por lo que un diseño con una arista que enfrenta IPv6 aún termina su arista administrada en IPv4.

DCD Implementación paso a paso

Construirá la topología de tres LAN de FinCorp: un LAN de borde público, un LAN de aplicación privada y un LAN de datos privado, con una NIC de servidor en cada nivel y un IPv4 público reservado listo para el borde. Esto realiza la decisión de segmentación de la Sección 1 antes de que cualquier computadora, seguridad o equilibrio de carga se construya sobre ella.

Objetivo de construcción: Construir la topología de tres LAN con NICs y un IP público reservado.

Pasos (en el Data Center Designer):

  1. Abra el VDC de FinCorp creado en la Unidad 2.1 (reutilícelo; no cree una nueva región). La región ya está fija y las reservas de IP estarán vinculadas a ella.
  2. Vaya a Menú > Servicios de red > Administración de IP y seleccione Reservar bloques de IP. Reserve un bloque de IPv4 público en la misma región que el VDC. No puede elegir una dirección específica; recibe una (o más) del grupo. Esta es la dirección de borde futura, reservada primero.
  3. En el espacio de trabajo, coloque el servidor de aplicación y el servidor de datos. Cada servidor obtiene una NIC que asignará a un LAN en los siguientes pasos.
  4. Cree el LAN de aplicación privada: arrastre un LAN al espacio de trabajo (o conecte la NIC del servidor de aplicación a un nuevo LAN) y déjelo desconectado de Internet para que permanezca privado. Mantenga el valor predeterminado /24.
  5. Cree el LAN de datos privado de la misma manera, como un segundo LAN privado, y conecte la NIC del servidor de datos a él. No lo conecte a Internet.
  6. Cree el LAN de borde público conectando el elemento de acceso a Internet a un nuevo LAN. Este es el único LAN que enfrenta Internet; réservalo para el equilibrio de carga de borde y la NIC de conmutación por error de IP construida en unidades posteriores.
  7. En cada NIC, configure la dirección por nivel: una dirección estática desde el rango .10-.255 para la NIC de datos (para que el punto de conexión de la base de datos sea estable), DHCP aceptable para la NIC de aplicación intercambiable. Mantenga .2-.9 libres para servicios administrados.
  8. Proporcione los cambios. La forma de tres LAN ahora existe con el IP público reservado y los niveles segmentados.

Errores comunes:

  • Reservar el IP público después de construir el consumidor. Resérvelo primero; el equilibrio de carga, la puerta de enlace o el grupo de conmutación por error espera que exista.
  • Asignar un VM al rango de servicios administrados .2-.9 o al espacio de puerta de enlace .1/.2, que colisiona con la dirección de la plataforma.
  • Conectar el LAN de datos a Internet "solo para probar", lo que derrota toda la argumentación de segmentación en la que se basa la historia de cumplimiento.
  • Colocar un IP-conmutación por error de borde o un Load Balancer en el mismo LAN público y esperar que un NSG lo proteja; los equilibrios de carga administrados no pueden estar envueltos en un grupo de seguridad, por lo que la seguridad del nivel de datos debe provenir de estar en un LAN privado.
  • Reservar el IP en la región incorrecta; una IPv4 reservada está vinculada a la región y no se puede utilizar en otro lugar.

Estudio de caso empresarial (FinCorp)

El servicio de FinCorp orientado al cliente y regulado es el Workload que ancla este módulo. Su requisito es claro: los clientes llegan a un punto de conexión público HTTPS, pero los datos de la cuenta nunca deben ser accesibles desde internet. La decisión de diseño es expresar eso como topología, no como un conjunto de reglas. El borde público LAN llevará más adelante el equilibrio de carga de capa 7 en el IPv4 reservado; la capa de aplicación ejecuta la lógica de negocio en un LAN privado con NICs intercambiables asignados por DHCP; y la base de datos relacional Cluster se encuentra en un LAN de datos privado con una dirección estática, frente solo al equilibrio de carga de capa 4 interno construido en la Unidad 3.4. Debido a que el LAN de datos nunca se conecta a internet, FinCorp puede argumentar a sus auditores que la base de datos no puede aceptar una conexión externa por construcción, independientemente de que cualquier regla Firewall sea correcta en un día determinado. Cada construcción posterior en este módulo se adjunta a esta forma exacta.

Resumen

El nivel de red en el que se encuentra un recurso es el control principal sobre su exposición en IONOS, porque un LAN es privado hasta que se conecta explícitamente a Internet y porque los equilibradores de carga gestionados y el Kubernetes Cluster no pueden estar dentro de un Firewall o grupo de seguridad. Eso hace que la segmentación, expresada como la topología de tres niveles (borde público, aplicación privada, datos privados), sea la decisión de aislamiento que soporta la carga. La dirección IP se planifica alrededor del rango /24 predeterminado, con el rango de servicios gestionados .2-.9 reservado y las direcciones estáticas fijadas para cualquier Node dirigido por IP. Una dirección IPv4 pública reservada está vinculada a la región, cuesta 5,00 EUR cada 30 días, requiere el privilegio de Reservar bloques IP y debe reservarse antes de la construcción del borde que la consume; IPv6 se asigna de forma jerárquica como /56 por VDC, /64 por LAN, /80 por NIC.

Puntos clave:

  • Un LAN es privado hasta que se adjunta un elemento de acceso a Internet, por lo que el valor predeterminado es privado y la exposición se agrega deliberadamente.
  • Los firewalls de NIC y los NSG se vinculan solo a las NIC de los servidores, nunca al equilibrador de carga ALB/NLB gestionado ni a la abstracción Kubernetes Cluster, por lo que la topología es el control de aislamiento real.
  • El rango LAN /24 reserva .2-.9 para servicios gestionados y asigna direcciones VM IP desde .10-.255; la dirección estática pertenece a cualquier Node dirigido por IP, DHCP en capas intercambiables.
  • Una dirección IPv4 reservada está vinculada a la región, se factura a 5,00 EUR cada 30 días, necesita el privilegio de Reservar bloques IP y debe reservarse antes de la construcción del borde que la consume.
  • IPv6 es jerárquico (/56 por VDC, /64 por LAN, /80 por NIC, hasta 256 redes LAN habilitadas para IPv6), pero los servicios de red gestionados son solo IPv4.

Terminología importante:

  • Bloque IPv4 reservado: una dirección pública estática (o bloque) vinculada a la región, reservada en la administración de IP, que solo se puede devolver como un bloque completo y solo cuando no se utiliza.
  • Rango de servicios gestionados (.2-.9): las direcciones /24 por LAN reservadas para servicios gestionados por la plataforma, que nunca se asignan a máquinas virtuales de los clientes.
  • Pila doble: operación simultánea de IPv4 y IPv6 en un LAN; tenga en cuenta que los servicios de red gestionados siguen siendo solo IPv4.

Lectura adicional

  • Unidad 3.2: Seguridad de red: Firewall y grupos de seguridad (la capa de reglas dentro de esta topología).
  • Unidad 3.4: Equilibrio de carga - Capa 4 (el equilibrador interno frente al centro de datos LAN).
  • Unidad 3.6: Conectividad híbrida (las puertas de enlace que se conectan a los caminos de entrada y salida).