IBM SmartCloud Enterprise: Amplie as redes locais virtuais

Este artigo descreve como uma instância no IBM SmartCloud Enterprise pode ser fornecida para ampliar ou unir a rede local virtual voltada para a Internet e a rede local virtual privada no ambiente em nuvem. Ele examina um caso de uso típico que pode aproveitar esse novo recurso para fornecer isolamento adicional no nível de rede e segurança para implantações em um ambiente em nuvem público.

É importante entender que esse recurso do ambiente IBM Cloud tem implicações de segurança que precisam ser totalmente entendidas pelo usuário. A meta deste artigo é descrever os recursos abrangentes e seus potenciais. É sua responsabilidade entender completamente a arquitetura que está sendo implementada na nuvem e todos os requisitos de segurança dessa implementação. Não exponha os dados que precisam ser protegidos (como informações corporativas confidenciais, informações do cliente, números de cartão de crédito, endereços etc.).

Conceitos básicos

IBM SmartCloud Enterprise é uma oferta de Infrastructure as a Service (IaaS) que fornece um ambiente em nuvem de servidor virtual de classe empresarial. Por padrão, instâncias de máquina virtual são fornecidas com endereços de rede TCP/IP acessíveis via Internet.

Opcionalmente, as empresas podem se inscrever para uma rede virtual privada (VPN). A VPN opcional fornece um canal de comunicação ponto a ponto, com base em Internet Protocol Security (IPSec) entre a rede da empresa e um dos datacenter do IBM Cloud. A comunicação por rede pela VPN ainda passa pela Internet pública, mas é criptografada antes de deixar a rede empresarial ou a rede do IBM Cloud e descriptografada no recebimento das duas comunicações seguras de dados.

Quando a VPN é estabelecida no ambiente do IBM Cloud para a conta empresarial, uma rede local virtual VLAN privada também é fornecida para a conta. Essa VLAN fornece uma camada adicional de isolamento de rede para instâncias fornecidas nela. Os usuários da conta empresarial com a opção de VPN podem fornecer novas instâncias na VLAN pública, voltada para a Internet, ou na VLAN privada, voltada para a VPN.

Há algum tempo as instâncias no ambiente do IBM Cloud podem ser fornecidas com um endereço IP primário e até dois endereços IP secundários, no entanto, os endereços IP primários e secundários precisavam estar na mesma VLAN (todos na VLAN pública ou todos na VLAN privada). Com a Versão 1.4, não apenas o limite de dois endereços IP secundários foi removido, assim como a limitação da exigência de todos os endereços estarem na mesma VLAN

Agora, ao fornecer uma nova instância, os usuários podem selecionar um endereço IP primário da VLAN pública ou dos pools de endereço da VLAN privada, reservados e não reservados, e um ou mais endereços IP secundários reservados na VLAN pública ou na VLAN privada.

Endereços IP secundários

Todos os endereços IP secundários em uma instância recém-fornecida são desativados por padrão. Proprietários da instância precisam ativar todos os endereços IP secundários por meio das ferramentas de rede do sistema operacional da instância. Para obter mais informações sobre como ativar endereços IP secundários nas instâncias do Linux, consulte o tópico “Ativando os IPs secundários” da seção “Trabalhando com suas instâncias do Linux” do Guia do Usuário do IBM SmartCloud Enterprise. Para obter mais informações sobre como ativar um endereço IP secundário nas instâncias do Windows, consulte o tópico “Gerenciando as configurações do adaptador de rede” da seção “Trabalhando com suas instâncias do Windows” do Guia do Usuário do IBM SmartCloud Enterprise.

Ampliando as VLANs

Para criar uma instância que amplia ou une as VLANs públicas e privadas, primeiro decida se o endereço IP primário para a instância residirá na VLAN pública ou privada. Como mostra a figura abaixo, isso é realizado pela seleção da VLAN apropriada (como a VLAN pública) no menu suspenso da VLAN da Etapa 2 do processo de Adição da instância.

É importante escolher em qual VLAN o endereço IP primário reside, pois essa será a única interface de rede disponível para a instância quando ela for inicialmente fornecida. Após a escolha da VLAN, o menu suspenso do endereço IP primário será preenchido a partir do pool correto de endereços IP gerados pelo sistema ou reservados para a VLAN selecionada.

Após a seleção do endereço IP primário, selecione o link Add IP no campo de entrada Virtual IP. Como mostra a figura a seguir, ao atribuir os endereços IP virtuais (ou secundários), selecione primeiro a VLAN (como Private VLAN Ehningen), além da selecionada na etapa anterior, e selecione o endereço IP reservado apropriado.

Observação, somente endereços IP reservados podem ser atribuídos como endereços IP secundários.

Após a conclusão do processo de fornecimento para essa instância, ela pode ser acessada somente por meio do endereço IP primário.

Usando o método de acesso apropriado para a instância (como ssh para Linux® ou RDP para Microsoft® Windows®), a próxima etapa é ativar as interfaces IP secundárias. O processo para isso depende do sistema operacional da instância (se é Linux ou Painel de Controle do Microsoft Windows).

Agora que as duas interfaces de rede estão ativadas, a instância pode comunicar (enviar e receber) na VLAN privada e na VLAN pública.

Conectividade com as instâncias

A capacidade de ter uma instância com endereços IP nas VLANs públicas e privadas pode liberar os recursos de computação em nuvem. Na figura abaixo, quatro instâncias foram configuradas em uma conta com a VPN opcional no IBM SmartCloud Enterprise. 

A instância nomeada PrivateOnly é configurada com apenas um endereço IP primário atribuído à VLAN privada associada à opção de VPN. Essa instância pode ser acessada somente por outras instâncias na VLAN privada ou a partir da rede corporativa por meio da VPN estabelecida. Todo tráfego de rede dessa instância, se não for localmente roteável na VLAN privada, é enviado pela VPN para o gateway de VPN no lado da empresa para roteamento adicional.

A instância nomeada PrivateSpanToPublic é configurada com um endereço IP primário na VLAN privada e um endereço IP secundário na VLAN pública. Após a ativação do endereço IP secundário, a instância é capaz de se comunicar na VLAN privada e na VLAN pública, voltada para a Internet. Todo tráfego de rede dessa instância, se não for localmente roteável na VLAN privada ou pública, é enviado pela VPN para o gateway de VPN no lado da empresa para roteamento adicional.

A instância nomeada PublicOnly é configurada com apenas um endereço IP primário atribuído à VLAN pública, voltada para a Internet. Essa instância pode ser acessada pela Internet e por todas as instâncias na VLAN pública.

A instância nomeada PublicSpanToPrivate é configurada com um endereço IP primário na VLAN pública, voltada para a Internet, e um endereço IP secundário na VLAN privada Após a ativação do endereço IP secundário, a instância é capaz de se comunicar na VLAN pública, voltada para a Internet, e na VLAN privada. Todo tráfego de rede dessa instância, se não for localmente roteável na VLAN privada ou pública, é enviado pela VPN para o gateway de VPN no lado da empresa para roteamento adicional.

Na tabela abaixo, a conectividade de rede dessas instâncias é descrita com mais detalhes. 

Se uma instância da primeira coluna tiver uma interface de rede capaz de aplicar o ping em um endereço de rede específico de outra instância da primeira linha, esse caminho será marcado como Acessível. Se o endereço não for roteável, o caminho será marcado como Não acessível.

Caso de uso real

Com esse novo recurso de criação de instâncias com vários inícios que envolvem as VLANs públicas e privadas, agora é possível criar implementações com n camadas. Vamos ver uma implementação básica de 3 camadas de um servidor HTTP, um servidor de aplicativos e um servidor de banco de dados.

Em uma implementação tradicional, cada um desses servidores pode ser logicamente isolado dos outros por roteadores e firewalls que limitam a conectividade de rede e o acesso aos servidores. Ao isolar o acesso a esses servidores, é possível impor um nível mais alto de segurança na infraestrutura a fim de impedir a intrusão com base na rede e ataques de negação de serviço.

Ao combinar os recursos que envolvem a VLAN do IBM SmartCloud Enterprise e pelo uso de um firewall (aqueles fornecidos pelo sistema operacional da instância virtual ou por uma solução de terceiro), uma implementação parecida pode ser criada na nuvem.

Uma opção para criar essa implementação de 3 camadas no ambiente do IBM Cloud está ilustrada na figura a seguir.

Nessa implementação, o servidor HTTP é implementado em uma instância que tem apenas um endereço IP primário de VLAN pública. O firewall da instância do servidor HTTP deve ser configurado para aceitar tráfego HTTP (como na porta 80). Solicitações de URLs que mapeiam para um caminho que precisa ser atendido pelo servidor de aplicativos são encaminhadas ao endereço IP secundário do servidor de aplicativos na VLAN pública. O firewall do servidor de aplicativos precisa ser configurado para aceitar apenas o tráfego de rede na VLAN pública do endereço IP específico do servidor HTTP. Todo tráfego de rede no endereço IP secundário deve ser bloqueado (como na porta 22 para acesso ssh).

Há várias alternativas para esse tipo de implementação na nuvem. Por exemplo, o servidor HTTP pode ser a instância envolvente entre as VLANs públicas e privadas. A desvantagem dessa implementação é que o endereço IP anunciado do HTTP estaria em uma instância que envolve diretamente as VLANs públicas e privadas. Se isso for comprometido, nenhuma barreira adicional existiria entre essa instância e outras instâncias na VLAN privada.

Se houver outra implementação, o servidor de banco de dados poderá residir na rede corporativa. Nesse caso, o gateway e/ou firewalls da VPN corporativa precisariam ser configurados a fim de permitir o fluxo de tráfego da rede de banco de dados pelo túnel VPN de e para o servidor de aplicativos na nuvem (por exemplo, o tráfego JDBC na porta 50000).

Regras do firewall

É fundamental que os firewalls sejam usados em uma implementação na qual as instâncias são usadas para envolver as VLANs públicas e privadas. A configuração apropriada dos firewalls é essencial para proteger uma implementação de n camadas na nuvem. Para saber mais sobre como configurar firewalls no ambiente do IBM SmartCloud Enterprise, consulte o Guia do Usuário e a documentação do firewall para os sistemas operacionais que você estiver usando. 

Recursos

Aprender

Para saber mais sobre como realizar tarefas na nuvem IBM, visite estes recursos:

• Faça upload e download de arquivos a partir de uma instância do Windows.
• Instalar o servidor da Web IIS no Windows 2008 R2.
• Crie uma instância da nuvem IBM com a linha de comando do Linux.
• Crie uma instância da nuvem IBM com a linha de comando do Windows.
• Estenda a sua rede corporativa com a nuvem IBM.
• Aplicativos de alta disponibilidade na nuvem IBM.
• Parametrize imagens de nuvem para instâncias customizadas dinamicamente.
• Abordagens focadas no Windows para fornecimento na nuvem IBM.
• Implemente produtos usando o serviço de implementação rápida.
• Integre a política de autenticação usando um proxy.
• Configure o Linux Logical Volume Manager.
• Implementar uma topologia complexa usando uma ferramenta de utilitário de implementação.

Nos recursos para desenvolvedores de nuvem do developerWorks, descubra e compartilhe o conhecimento e a experiência dos desenvolvedores de aplicativos e serviços que estão desenvolvendo os seus projetos de implementação de nuvem.

As próximas etapas: Descubra como acessar o IBM SmartCloud Enterprise.

Obter produtos e tecnologias

• Consulte as imagens do produto disponíveis para IBM SmartCloud Enterprise.

Discutir

• Participe de um grupo sobre computação em nuvem no developerWorks.
• Leia todos os ótimos blogs sobre nuvem no developerWorks.
• Participe da comunidade do developerWorks, uma rede profissional e conjunto de ferramentas comunitárias para conectar, compartilhar e colaborar.