Eine effektive IP-Adressplanung trägt dazu bei, künftige Netzwerkunterbrechungen für Ihre Arbeitslasten und Dienste zu minimieren, wenn sie skaliert werden.
Dieses Dokument richtet sich an Netzwerkadministratoren in der Gruppe der Plattformadministratoren, die für die Planung der IP-Adressbereiche für eine Organisation verantwortlich sind. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.
Vorteile einer sorgfältigen IP-Adressplanung
Eine sorgfältige Planung der IP-Adressen bietet folgende Vorteile:
- Isolation: Richtige Netzwerksegmentierung zwischen verschiedenen Organisationen sowie zwischen Verwaltungs- und Datenebenen.
- Skalierbarkeit: Ausreichend IP-Adressraum für aktuelle und zukünftige Arbeitslasten und Dienste, einschließlich administrativer Dienste, denen nach der Bereitstellung einer Organisation kein zusätzlicher IP-Adressraum zugewiesen werden kann.
- Konnektivität: Korrektes Routing und Erreichbarkeit für alle Komponenten innerhalb des GDC-Air-Gap-Universums und für externe Netzwerke nach Bedarf.
- Compliance: Einhaltung bestimmter Netzwerkadressierungsschemas oder Einschränkungen, die von Ihrer Umgebung vorgeschrieben werden.
Die GDC-Architektur verwendet VRF-Instanzen (Virtual Routing and Forwarding), um Netzwerkisolation und ‑segmentierung zu erreichen. Für eine erfolgreiche Planung ist es wichtig zu wissen, welche IP-Adressbereiche Sie verwalten und welche ausschließlich Ihrem IO gehören.
Planungsprozess
Bevor die IO Ihre Organisation bereitstellt, müssen Sie die IP-Adressarchitektur für Ihre Organisation festlegen. Die IO führt Sie durch diese Schritte.
So planen und stellen Sie die Netzwerk-IP-Adressen einer Organisation bereit:
CIDR-Bereiche definieren: Arbeiten Sie mit Ihrem Netzwerkteam zusammen, um geeignete, nicht überlappende CIDR-Blöcke für Ihre Standard-VPC, Infra-VPC, das Admin-Netzwerksegment und das Datennetzwerksegment zu ermitteln.
CIDR-Bereiche für die IO bereitstellen: Geben Sie diese CIDR-Blöcke im Rahmen des Fragebogens zur Aufnahme von Organisationen (Organization Intake Questionnaire, OIQ) an, wenn Sie eine neue Organisation anfordern. Der IO verwendet die CIDR-Blöcke, um die erforderlichen globalen Subnetze auf den entsprechenden API-Servern zu konfigurieren.
Nachdem IO Ihre Organisation bereitgestellt hat, sind Sie für die Verwaltung bestimmter IP-Adressbereiche innerhalb der Organisation verantwortlich, hauptsächlich für die Bereitstellung von Arbeitslasten und die Bereitstellung externer Dienste.
Weitere Informationen zur Planung der IP-Adressarchitektur finden Sie im Abschnitt Überlegungen zur IP-Adressarchitektur in diesem Dokument.
Weitere Informationen zu den einzelnen Netzwerken und zum Auswählen der CIDR-Bereiche für die einzelnen Netzwerke finden Sie im Abschnitt Überlegungen zu IP-Adressen für eine Organisation in diesem Dokument.
Hinweise zur IP-Adressarchitektur
Wenn Sie eine stabile IP-Adressarchitektur bereitstellen möchten, die sich an die sich ändernden Netzwerkanforderungen Ihrer Organisation anpassen kann, sollten Sie die folgenden IP-Adresseigenschaften in GDC berücksichtigen:
- Überlappende und nicht überlappende IP-Adressen:
- VPC-Netzwerke (Virtual Private Cloud) können sich zwischen verschiedenen Organisationen überschneiden, müssen aber innerhalb einer Organisation in allen Zonen eindeutig sein und sich von allen Netzwerken unterscheiden, mit denen sie ein Peering haben.
- Externe Netzwerksegmente können sich zwischen verschiedenen Organisationen überschneiden, wenn diese Organisationen separate Interconnects verwenden. Wenn sie eine Interconnect-Verbindung gemeinsam nutzen, müssen IP-Adressen innerhalb der derselben Organisation in allen ihren Zonen eindeutig sein und sich von allen Netzwerken unterscheiden, mit denen sie ein Peering durchführen.
- Mindest-CIDR-Blockgrößen: Halten Sie die für jedes Netzwerksegment angegebenen Mindest-CIDR-Präfixlängen ein, um ausreichend Adressraum für Systemkomponenten und zukünftiges Wachstum zuzuweisen.
- RFC 1918-Präferenz: Obwohl öffentliche IP-Adressen in den meisten verwalteten Netzwerken verwendet werden können, werden private RFC 1918-Adressen im Allgemeinen für interne GDC-Netzwerke ohne Internetverbindung empfohlen, wenn die Zone keine Verbindung zum Internet herstellt.
- Genauigkeit von OIQ: Die Informationen, die Sie in Ihrem IO in der OIQ angeben, sind entscheidend. Falsche oder schlecht geplante IP-Adressbereiche können zu erheblichen Bereitstellungsproblemen führen.
- Mehrere Zonen: Die VPCs der Organisation und die externen Netzwerksegmente erstrecken sich über eine globale Organisation, erfordern aber eindeutige IP-Adressenzuweisungen für jede Zone, die sich innerhalb dieser globalen Organisation nicht überschneiden. Mit globalen Subnetzen können Sie eindeutige IP-Adressbereiche für jede Zone einer bestimmten Organisation zuweisen.
Ein Beispiel für eine IP-Adressarchitektur finden Sie im folgenden Diagramm:
In diesem Diagramm gibt es zwei verschiedene Interconnect-Verbindungen, die sich über mehrere Zonen erstrecken: Dedicated Interconnect und Shared Interconnect. In diesem Universum sind mehrere Organisationen definiert. Organisation 1 befindet sich in einer dedizierten Interconnect-Verbindung. Ihre externen Subnetze können sich daher mit anderen Organisationen überschneiden. Die Organisationen im gemeinsam genutzten Interconnect dürfen jedoch keine sich überschneidenden Subnetze mit externem Bereich haben, da sie sich alle im selben Interconnect befinden.
Jede Organisation definiert die VPC-Netzwerke und externen Netzwerksegmente. In diesem Beispiel werden Anycast-IP-Adressen verwendet, um Traffic zwischen den zonenbasierten externen Netzwerksegmenten zu routen. So kann der Netzwerkdienst in der nächstgelegenen oder leistungsstärksten Zone die Netzwerkanfrage bearbeiten. Weitere Informationen zu Anycast-IP-Adressen finden Sie unter IP-Adressen in GDC.
Hinweise zu IP-Adressen für eine Organisation
Sehen Sie sich jedes Netzwerk an und machen Sie sich mit seinem Zweck in Ihrer Organisation vertraut, bevor Sie den OIQ zum Definieren von CIDR-Bereichen ausfüllen:
- Standard-VPC: Hostet interne IP-Adressen für interne Arbeitslasten. Sie können diesem Netzwerk zusätzliche IP-Adressen zuweisen, nachdem Ihre Organisation bereitgestellt wurde.
- Infra-VPC: Hier werden interne IP-Adressen für die Air-Gap-Dienste von GDC gehostet. Sie können diesem Netzwerk nach der Bereitstellung Ihrer Organisation keine zusätzlichen IP-Adressen zuweisen.
- Admin Network Segment: Hosts externe IP-Adressen für administrative Dienste. Nachdem Ihre Organisation bereitgestellt wurde, können Sie diesem Netzwerk keine zusätzlichen IP-Adressen zuweisen.
- Datensegment: Hier werden externe IP-Adressen für externe Dienste gehostet. Sie können diesem Netzwerk zusätzliche IP-Adressen zuweisen, nachdem Ihre Organisation bereitgestellt wurde.
Weitere Informationen zu Netzwerkbeschreibungen und den verwendeten IP-Adressen finden Sie unter Netzwerke in GDC.
VPC-Netzwerke
Halten Sie die folgenden Informationen für jeden VPC-Netzwerktyp bereit, um sie Ihrem IO für die Bereitstellung Ihrer IP-Adressbereiche in den VPC-Netzwerken Ihrer Organisation zu übermitteln.
Standard-VPC
Sie stellen Ihre internen Arbeitslasten wie VMs und Container über die Standard-VPC bereit und verwalten sie.
IP-Adressen in der Standard-VPC müssen sich von anderen VPCs in allen Zonen Ihres Universums und von allen IP-Adressen von Peering-Netzwerken unterscheiden. IP-Adressen in dieser VPC können sich zwischen verschiedenen Organisationen überschneiden und RFC 1918-private IP-Adressen oder öffentliche IP-Adressen sein. Sie können zusätzliche Standard-VPC-Subnetze erstellen, nachdem die Organisation bereitgestellt wurde.
Beachten Sie die folgenden Informationen, wenn Sie mit Ihrem IO am Standard-VPC-Root-IP-Adressbereich zusammenarbeiten. Das entsprechende OIQ-Feld und der globale Name des Stamm-Subnetzes sind feste Werte und können nicht geändert werden.
- OIQ-Feld:
defaultVPCCIDR - Name des globalen Stamm-Subnetzes:
default-vpc-root-cidr - Globaler API-Server: Globale Organisation
- Mindestgröße des Subnetzes:
/16für jede Zone - Empfohlene Subnetzgröße:
/16für jede Zone
Infra-VPC
Sie stellen keine Arbeitslasten direkt in der Infra-VPC bereit, müssen aber den IP-Adressbereich für die Nutzung durch die vom System verwalteten GDC-Airgap-Dienste angeben.
IP-Adressen in der Infra-VPC müssen sich von anderen VPCs in allen Zonen Ihres Universums und von IP-Adressen in Peering-Netzwerken unterscheiden. IP-Adressen in dieser VPC können sich zwischen verschiedenen Organisationen überschneiden und private IP-Adressen nach RFC 1918 oder öffentliche IP-Adressen sein. Nachdem die Organisation bereitgestellt wurde, können Sie keine zusätzlichen Infra-VPC-Subnetze mehr erstellen.
Beachten Sie die folgenden Informationen, wenn Sie mit Ihrem IO am Infra-VPC-Root-IP-Adressbereich zusammenarbeiten. Das entsprechende OIQ-Feld und der Name des globalen Stamm-Subnetzes sind feste Werte und können nicht geändert werden.
- OIQ-Feld:
infraVPCCIDR - Name des globalen Stamm-Subnetzes:
infra-vpc-root-cidr - Globaler API-Server: Globaler Stamm
- Mindestgröße des Subnetzes:
/16für jede Zone - Empfohlene Subnetzgröße:
/16für jede Zone
Externe Netzwerksegmente
Bereiten Sie die folgenden Informationen für jeden externen Netzwerksegmenttyp vor, um sie an Ihren IO zu übermitteln, damit die IP-Adressbereiche in den externen Netzwerken Ihrer Organisation bereitgestellt werden können.
Administratornetzwerksegment
Sie stellen externe Dienste nicht direkt im Admin-Netzwerksegment bereit, müssen aber den IP-Adressbereich für die Nutzung durch die administrativen Dienste angeben, die in Ihrer Organisation ausgeführt werden, z. B. die GDC-Konsole und Verwaltungs-APIs. Sie können diesem Netzwerk nach der Bereitstellung Ihrer Organisation keine zusätzlichen IP-Adressen zuweisen.
IP-Adressen im Admin-Netzwerksegment können sich zwischen verschiedenen Organisationen überschneiden, wenn diese Organisationen separate Gruppen von Interconnect-Anhängen verwenden. Wenn sie eine Anlagegruppe gemeinsam nutzen, müssen die IP-Adressen innerhalb derselben Organisation in allen ihren Zonen eindeutig sein und sich von allen Netzwerken unterscheiden, mit denen sie ein Peering durchführen. Nachdem die Organisation bereitgestellt wurde, können Sie keine zusätzlichen Subnetze für das Admin Network Segment erstellen.
Beachten Sie die folgenden Informationen, wenn Sie mit Ihrem IO am IP-Adressbereich des Admin Network Segment-Stammverzeichnisses zusammenarbeiten. Das entsprechende OIQ-Feld und der globale Name des Stamm-Subnetzes sind feste Werte und können nicht geändert werden.
- OIQ-Feld:
orgAdminExternalCIDR - Name des globalen Stamm-Subnetzes:
admin-external-root-cidr - Globaler API-Server: Globaler Stamm
- Mindestgröße des Subnetzes:
/26für jede Zone - Empfohlene Subnetzgröße:
/26für jede Zone
Datensegment für das Netzwerk
Sie stellen Ihre externen Dienste, die außerhalb Ihrer Organisation ausgeführt werden, z. B. Egress-NAT (Network Address Translation) und externe Load-Balancer, im Datensegment bereit und verwalten sie dort. Sie können diesem Netzwerk zusätzliche IP-Adressen zuweisen, nachdem Ihre Organisation bereitgestellt wurde.
IP-Adressen im Datensegment können sich zwischen verschiedenen Organisationen überschneiden, wenn diese Organisationen separate Interconnect-Anhangsgruppen verwenden. Wenn sie eine Anlagegruppe gemeinsam nutzen, müssen die IP-Adressen innerhalb derselben Organisation in allen ihren Zonen eindeutig sein und sich von allen Netzwerken unterscheiden, mit denen sie ein Peering durchführen. Sie können zusätzliche Subnetze für Datensegmentnetzwerke erstellen, nachdem die Organisation bereitgestellt wurde.
Beachten Sie die folgenden Informationen, wenn Sie mit Ihrem IO am IP-Adressbereich des Stammsegments des Datennetzwerks zusammenarbeiten. Das entsprechende OIQ-Feld und der globale Name des Stamm-Subnetzes sind feste Werte und können nicht geändert werden.
- OIQ-Feld:
orgDataExternalCIDR - Name des globalen Stamm-Subnetzes:
data-external-root-cidr - Globaler API-Server: Globaler Stamm
- Mindestgröße des Subnetzes:
/26für jede Zone - Empfohlene Subnetzgröße:
/23für jede Zone
Nächste Schritte
- Interconnect – Übersicht
- Anhangsgruppe erstellen
- IP-Adressen für Arbeitslasten bereitstellen
- Eigene externe IP-Adressen verwenden