כשמתכננים רשת היברידית ורב-ענן, יש גורמים שונים שמשפיעים על הבחירות הארכיטקטוניות. כשמנתחים את התכנון של רשת היברידית ורב-ענן, חשוב לחשוב על שיקולי התכנון הבאים. כדי לבנות ארכיטקטורה מגובשת, צריך להעריך את השיקולים האלה באופן כולל, ולא בנפרד.
קישוריות היברידית ומרובת עננים (multi-cloud)
קישוריות היברידית ומרובת עננים מתייחסת לחיבורי התקשורת שמקשרים בין סביבות מקומיות, Google Cloudובין סביבות ענן אחרות. בחירה בשיטת הקישוריות הנכונה חיונית להצלחה של ארכיטקטורות היברידיות ומרובות עננים, כי החיבורים האלה מעבירים את כל התנועה בין הסביבות. כל בעיה בביצועי הרשת, כמו רוחב פס, זמן אחזור, אובדן מנות או תנודות, יכולה להשפיע ישירות על הביצועים של אפליקציות ושירותים עסקיים.
לחיבור בין סביבה מקומית לבין Google Cloud או עננים אחרים, Google Cloud יש כמה אפשרויות חיבור לבחירה, כולל:
קישוריות מבוססת-אינטרנט באמצעות כתובות IP ציבוריות:
העברת נתונים בין Google Cloud לבין סביבה מקומית או סביבת ענן אחרת דרך האינטרנט. האפשרות הזו משתמשת בכתובות IP חיצוניות ציבוריות של מופע – מומלץ עם הצפנה במעבר בשכבת האפליקציה.
קישוריות מאובטחת באמצעות ממשקי API עם הצפנת Transport Layer Security (TLS) באינטרנט הציבורי. כדי להשתמש באפשרות הזו, צריך לוודא שאפשר להגיע לאפליקציה או לממשקי ה-API של היעד באופן ציבורי מהאינטרנט, ושהאפליקציה מבצעת הצפנה במעבר.
קישוריות פרטית ומאובטחת דרך האינטרנט הציבורי באמצעות Cloud VPN או שערי VPN בניהול הלקוח. האפשרות הזו כוללת שימוש במכשיר וירטואלי ברשת (NVA), כולל פתרונות של רשת WAN מוגדרת באמצעות תוכנה (SD-WAN) Google Cloud משותפים. הפתרונות האלה זמינים ב-Google Cloud Marketplace.
קישוריות פרטית דרך העברה פרטית באמצעות Cloud Interconnect (Dedicated Interconnect או Partner Interconnect), שמציעה ביצועים יותר דטרמיניסטיים וכוללת SLA. אם נדרשת הצפנה במעבר בשכבת קישוריות הרשת, אפשר להשתמש ב-HA VPN over Cloud Interconnect או ב-MACsec for Cloud Interconnect.
Cross-Cloud Interconnect מספק לארגונים שמשתמשים בסביבות מרובות עננים את היכולת להפעיל קישוריות פרטית ומאובטחת בין עננים (ביןGoogle Cloud לבין ספקי שירותי ענן נתמכים במיקומים מסוימים). האפשרות הזו מספקת ביצועים של קצב העברת נתונים עם אפשרויות זמינות גבוהה של 99.9% ו-99.99%, ובסופו של דבר עוזרת להפחית את העלות הכוללת של הבעלות (TCO) בלי המורכבות והעלות של ניהול התשתית. בנוסף, אם נדרשת הצפנה במעבר בשכבת הקישוריות לרשת לצורך אבטחה נוספת, Cross-Cloud Interconnect תומך ב-MACsec להצפנה של Cloud Interconnect.
מומלץ להשתמש ב-Network Connectivity Center אם הוא מתאים לתרחיש השימוש בארכיטקטורת פתרון הענן שלכם. NCC הוא מסגרת תזמור שמספקת קישוריות לרשת בין משאבי spoke, כמו רשתות של ענן וירטואלי פרטי (VPC), מכשירי נתב או חיבורים היברידיים שמחוברים למשאב ניהול מרכזי שנקרא hub. NCC hub תומך ב-VPC spokes או ב-hybrid spokes. למידע נוסף, אפשר לעיין במאמר בנושא החלפת מסלולים עם קישוריות VPC. בנוסף, כדי להקל על החלפת מסלולים עם מופע Cloud Router, NCC מאפשר שילוב של מכשירים וירטואליים של רשתות צד שלישי. השילוב הזה כולל נתבי SD-WAN של צד שלישי שנתמכים על ידי שותפי NCC. Google Cloud
יש מגוון אפשרויות לקישוריות היברידית ורב-עננית, ולכן כדי לבחור את האפשרות המתאימה ביותר צריך לבצע הערכה יסודית של הדרישות העסקיות והטכניות. הדרישות האלה כוללות את הגורמים הבאים:
- ביצועי הרשת
- אבטחה
- עלות
- אמינות והסכם רמת שירות (SLA)
- מדרגיות
מידע נוסף על בחירת אפשרות קישור ל- Google Cloudזמין במאמר בחירת מוצרים של Network Connectivity. כדי לקבל הנחיות לבחירת אפשרות קישור לרשת שתענה על הצרכים של ארכיטקטורת מרובת עננים, אפשר לעיין במאמר דפוסי קישור של ספקי שירותי ענן אחרים ל- Google Cloud.
Google Cloud פרויקטים ורשתות VPC
אפשר להשתמש בדפוסי הארכיטקטורה של הרשת שמוסברים במדריך הזה בפרויקט יחיד או בכמה פרויקטים, אם יש תמיכה בכך. פרויקט ב- Google Cloud כולל שירותים ועומסי עבודה קשורים שיש להם דומיין ניהולי יחיד. פרויקטים הם הבסיס לתהליכים הבאים:
- יצירה והפעלה של שירותים ושימוש בהם Google Cloud
- ניהול ממשקי API של שירותים
- הפעלת חיוב
- הוספה והסרה של שותפי עריכה
- ניהול הרשאות
פרויקט יכול להכיל רשת VPC אחת או יותר. הארגון שלכם או המבנה של האפליקציות שבהן אתם משתמשים בפרויקט צריכים לקבוע אם להשתמש בפרויקט יחיד או בכמה פרויקטים. הארגון שלכם או המבנה של האפליקציות צריכים גם לקבוע איך להשתמש ב-VPC. מידע נוסף זמין במאמר בחירה של היררכיית משאבים לאזור הנחיתה ב- Google Cloud .
הגורמים הבאים יכולים להשפיע על ההחלטה אם להשתמש ב-VPC יחיד, בכמה רשתות VPC או ב-VPC משותף עם פרויקט אחד או כמה פרויקטים:
- היררכיות של משאבים ארגוניים.
- דרישות לגבי תנועה ברשת, תקשורת ודומיין אדמיניסטרטיבי בין עומסי עבודה.
- דרישות אבטחה.
- דרישות האבטחה עשויות לחייב בדיקה של חומת אש בשכבה 7 על ידי מכשירי NVA של צד שלישי שנמצאים בנתיב בין רשתות או אפליקציות מסוימות.
- ניהול משאבים.
- ארגונים שמשתמשים במודל ניהול שבו צוות תפעול הרשת מנהל את משאבי הרשת, יכולים לדרוש הפרדה של עומסי העבודה ברמת הצוות.
החלטות לגבי שימוש ב-VPC.
- שימוש ברשתות VPC משותפות בכמה פרויקטים של Google Cloud מאפשר להימנע מהצורך לתחזק רשתות VPC נפרדות רבות לכל עומס עבודה או לכל צוות.
- שימוש ברשתות VPC משותפות מאפשר ניהול מרכזי של רשתות VPC מארחות, כולל הגורמים הטכניים הבאים:
- הגדרות הקישור בין רשתות שכנות (peering)
- הגדרת רשת משנה
- הגדרת Cloud Firewall
- הגדרת הרשאות
לפעמים צריך להשתמש ביותר מרשת VPC אחת (או VPC משותפת) כדי לעמוד בדרישות של קנה מידה בלי לחרוג מהמגבלות של משאבים עבור VPC יחיד.
מידע נוסף זמין במאמר האם כדאי ליצור כמה רשתות VPC.
פענוח DNS
בארכיטקטורה היברידית ורב-עננית, חשוב להרחיב את מערכת שמות הדומיין (DNS) ולשלב אותה בין סביבות שבהן מותרת תקשורת. הפעולה הזו עוזרת לספק תקשורת חלקה בין שירותים ואפליקציות שונים. היא גם שומרת על פתרון DNS פרטי בין הסביבות האלה.
באדריכלות היברידית ורב-עננית עם Google Cloud, אפשר להשתמש ביכולות של DNS peering ושל DNS forwarding כדי להפעיל את שילוב ה-DNS בין סביבות שונות. בעזרת היכולות האלה של DNS, אפשר לכסות את תרחישי השימוש השונים שיכולים להתאים למודלים שונים של תקשורת ברשת. מבחינה טכנית, אפשר להשתמש באזורי העברת DNS כדי לשלוח שאילתות לשרתי DNS מקומיים, ובמדיניות שרתי DNS נכנסת כדי לאפשר שאילתות מסביבות מקומיות. אפשר גם להשתמש בשיוך DNS כדי להעביר בקשות DNS בסביבות Google Cloud .
מידע נוסף זמין במאמרים שיטות מומלצות לשימוש ב-Cloud DNS ודוגמאות לארכיטקטורות ל-DNS היברידי עם Google Cloud.
כדי לקרוא על מנגנוני יתירות לשמירה על זמינות Cloud DNS בהגדרה היברידית, אפשר לעיין במאמר It's not DNS: Ensuring high availability in a hybrid cloud environment. מומלץ גם לצפות בהדגמה הזו של תכנון והגדרה של שרת DNS פרטי מרובה עננים בין AWS לבין Google Cloud.
אבטחת רשת בענן
אבטחת רשת בענן היא שכבת בסיס של אבטחת ענן. כדי לעזור בניהול הסיכונים של היקף הרשת המצטמצם, היא מאפשרת לארגונים להטמיע ניטור אבטחה, מניעת איומים ואמצעי בקרה לאבטחת רשת.
גישה רגילה לאבטחת רשתות במקום היא בעיקר על בסיס היקף מובחן בין קצה האינטרנט לבין הרשת הפנימית של הארגון. היא משתמשת במערכות מניעה שונות של אבטחה רב-שכבתית בנתיב הרשת, כמו חומות אש פיזיות, נתבים, מערכות לזיהוי פריצות ועוד.
הגישה הזו עדיין רלוונטית לתרחישי שימוש מסוימים בחישוב מבוסס-ענן. אבל היא לא מספיקה כדי להתמודד עם ההיקף ועם האופי המבוזר והדינמי של עומסי עבודה בענן – כמו התאמה אוטומטית לעומס (autoscaling) ועומסי עבודה מבוססי-קונטיינרים. הגישה לאבטחת רשת בענן עוזרת למזער את הסיכון, לעמוד בדרישות התאימות ולהבטיח פעולות בטוחות ויעילות באמצעות כמה יכולות שמתאימות לענן. מידע נוסף זמין במאמר בנושא היתרונות של אבטחת רשת בענן. כדי לאבטח את הרשת, כדאי לעיין גם במאמר בנושא אתגרים באבטחת רשת בענן ובמאמר בנושא שיטות מומלצות לאבטחת רשת בענן.
כדי לאמץ ארכיטקטורת ענן היברידית, צריך אסטרטגיית אבטחה שחורגת משכפול הגישה המקומית. שימוש חוזר בגישה הזו עלול להגביל את הגמישות של העיצוב. היא גם עלולה לחשוף את סביבת הענן לאיומי אבטחה. במקום זאת, כדאי קודם לזהות את יכולות אבטחת הרשת הזמינות בעדיפות לענן שעונות על דרישות האבטחה של החברה. יכול להיות שתצטרכו לשלב את היכולות האלה עם פתרונות אבטחה של צד שלישי משותפי טכנולוגיה של Google Cloud, כמו מכשירים וירטואליים לרשת.
כדי לתכנן ארכיטקטורה עקבית בסביבות שונות בארכיטקטורת מרובה עננים (multi-cloud), חשוב לזהות את השירותים והיכולות השונים שכל ספק שירותי ענן מציע. בכל מקרה, מומלץ להשתמש במצב אבטחה מאוחד שמאפשר לראות את כל הסביבות.
כדי להגן על סביבות הארכיטקטורה של ענן היברידי, כדאי גם להשתמש בעקרונות של הגנה לעומק.
לבסוף, חשוב לתכנן את פתרון הענן תוך התחשבות באבטחת הרשת כבר מההתחלה. לשלב את כל היכולות הנדרשות כחלק מהעיצוב הראשוני. העבודה הראשונית הזו תעזור לכם להימנע מהצורך לבצע שינויים משמעותיים בעיצוב כדי לשלב יכולות אבטחה בשלב מאוחר יותר בתהליך העיצוב.
עם זאת, אבטחת הענן לא מוגבלת לאבטחת רשת. צריך להחיל אותה בכל מחזור החיים של פיתוח האפליקציה, בכל מחסנית האפליקציה, מהפיתוח ועד לייצור ולהפעלה. מומלץ להשתמש בכמה שכבות של הגנה (גישת ההגנה לעומק) ובכלים לשיפור הנראות של האבטחה. למידע נוסף על תכנון והפעלה של שירותים מאובטחים ב- Google Cloud, אפשר לעיין בעקרון האבטחה, הפרטיות והתאימות של Google Cloud Well-Architected Framework.
כדי להגן על הנתונים והתשתית החשובים שלכם מפני מגוון רחב של איומים, מומלץ לאמץ גישה מקיפה לאבטחת ענן. כדי להקדים איומים קיימים, חשוב להעריך ולשפר באופן רציף את אסטרטגיית האבטחה שלכם.