News
ZurückRouter mit Internet-Gateway für private Netze
Private Netze ermöglichen die Kommunikation, wenn nicht alle beteiligten Systeme aus dem Internet erreichbar sein sollen – z.B. zwischen einem Web- und einem DB-Server. Ganz ohne Internet-Zugriff geht es aber meistens nicht, etwa wenn du auf dem abgeschotteten Server Software und Patches installieren willst. Mit dem neu eingeführten Router steht dir jetzt "out of the box" für ausgehende Verbindungen ein Internet-Gateway mit SNAT für IPv4 zur Verfügung.
Abschottung in privaten Netzen
Standardmässig erhält bei cloudscale jeder Server eine öffentliche IP-Adresse und ist damit aus dem Internet erreichbar. Schon beim Erstellen eines Servers (und via API auch zu einem späteren Zeitpunkt) kannst du jedoch festlegen, dass ein Server zusätzlich oder ausschliesslich mit einem privaten Netz verbunden sein soll.
Ein Datenbank-Server könnte zum Beispiel nur ein privates Netzwerk-Interface haben – über dieses private Netz kann ein Webserver auf die Datenbank zugreifen, während direkte Zugriffe (oder Angriffe) aus dem Internet von vornherein nicht möglich sind. Der Webserver seinerseits ist in beiden Netzen: "public" erreichbar für deine User, und im privaten Netz für die Verbindung zur Datenbank.
Internet-Gateway als neue Verbindungsoption
Um nun – z.B. für Wartungsarbeiten – von aussen auf den DB-Server zuzugreifen, hast du verschiedene Möglichkeiten. So kannst du dich mittels SSH-Kette oder -Tunnel zuerst von aussen mit dem Webserver (oder einem separaten Jumphost), und von dort aus mit dem DB-Server verbinden. Du kannst auch einen dedizierten Firewall-Server (z.B. mit OPNsense oder pfSense) einrichten und dort ein Routing, Port-Forwarding oder ein VPN nutzen. Schliesslich könntest du einen Load-Balancer nutzen und dort Pools mit je einem einzelnen Pool-Member anlegen, um etwa SSH-Verbindungen an bestimmte Server durchzureichen.
Eine separate Frage ist hingegen, wie dein DB-Server ohne "public" Interface auf das Internet zugreifen kann, etwa um ein Software-Update herunterzuladen. In Frage käme insbesondere ein Proxy oder NAT-Gateway, den du auf dem Web- bzw. Firewall-Server einrichtest. Mit unserem neuen "Router"-Feature kannst du dir diese Arbeit jetzt sparen: Im Handumdrehen hast du damit einen NAT-Gateway für Server in deinem privaten Netz, ohne dich um Konfigurationsdetails oder die laufende Wartung kümmern zu müssen.
Router mit Internet-Gateway einrichten
Den Router legst du mit einem simplen API-Call an, mit einem zweiten API-Call verbindest du ihn dann noch mit dem gewünschten privaten Netz. Nebst einem "Display Name", um den Router später eindeutig identifizieren zu können, legst du fest, welche IP-Adresse er im privaten Netz haben soll. Diese Adresse kannst du dann via DHCP als "Default Gateway" an deine Server zuweisen lassen – und schon funktionieren ausgehende Verbindungen, während deine Server im Übrigen weiterhin von aussen "unsichtbar" sind.
Die nötigen API-Calls findest du wie gewohnt in unserer API-Dokumentation, inklusive Beispiel-Requests und -Responses. Auch unseren Terraform-Provider, die Ansible Collection und das Go SDK haben wir bereits aktualisiert, so dass du den Router zusammen mit deinen weiteren Cloud-Ressourcen "as Code" verwalten kannst. Unser neuer Router mit Internet-Gateway spart dir aber nicht nur Aufwand, er ist auch preiswert: pro Tag und Router verrechnen wir nur CHF 1.00 – unabhängig davon, wie viele Server im privaten Netz den Router nutzen.
Übrigens: Du kannst auch zwei oder mehr private Netze mit einem einzigen Router verbinden. Sei dir in diesem Fall aber bewusst, dass der Router nicht nur für all diese Netze als Gateway zum Internet agiert, sondern auch die Kommunikation zwischen den angeschlossenen privaten Netzen erlaubt – was du natürlich auch ohne Internet-Gateway als Feature nutzen kannst.
Um dich "von aussen" auf deine abgeschotteten Server zu verbinden, gibt es ganz unterschiedliche Ansätze, die du je nach Tooling, Vorlieben und Sicherheitsüberlegungen implementieren kannst. Verbindungen "von innen nach aussen" sollen hingegen vor allem einfach und zuverlässig sein – und genau das bietet dir unser neuer Router mit Internet-Gateway jetzt "out of the box".
Auf der richtigen Route,
Dein cloudscale-Team