Einer unserer Kunden, der sensible Kundendaten verarbeitet, benötigte eine sichere Cloud-Infrastruktur für seine Webanwendungen und Datenbanken. Wir implementierten ein NAT-Gateway in einer VPC, um Instanzen in privaten Subnetzen den Zugang zum Internet für Updates und API-Aufrufe zu ermöglichen und gleichzeitig den eingehenden Datenverkehr zu blockieren. Diese Lösung bietet einen Internetzugang für private Instanzen, ohne sie direkt dem öffentlichen Internet auszusetzen, was die Sicherheit erhöht. So haben wir es gemacht:
Dieses Diagramm veranschaulicht eine typische VPC-Einrichtung, die in drei Hauptbereiche unterteilt ist: VPC, öffentliches Teilnetz und privates Teilnetz. Zunächst haben wir den äußeren grünen Kasten, den VPC, der die Ressourcen darin von anderen Netzwerken isoliert. Die Benutzer greifen über das öffentliche Internet mit einer statischen IP-Adresse, die über 1:1-NAT zugewiesen wird, auf den Webserver zu. Der Webserver verarbeitet die Anfragen und kommuniziert, falls erforderlich, mit dem Datenbankserver. Der Webserver kommuniziert mit dem Datenbankserver über den Routerserver. Der Router Server verwendet Custom NAT, um den Datenverkehr zwischen dem öffentlichen und dem privaten Teilnetz sicher zu leiten. Der Datenbankserver, der sich im privaten Subnetz befindet, erhält Anfragen vom Webserver über VLAN. Die Isolierung des privaten Subnetzes stellt sicher, dass der Datenbankserver nicht direkt dem Internet ausgesetzt ist, was die Sicherheit erhöht. In diesem Lernprogramm werden wir die Schritte zur Einrichtung dieser Architektur durchgehen, um eine sichere und effiziente Kommunikation zwischen dem privaten und dem öffentlichen Subnetz zu gewährleisten. Wir erstellen eine VPC mit einem öffentlichen und einem privaten Subnetz, konfigurieren das NAT-Gateway und richten die VLAN ein.
Tutorial
In diesem Tutorial werden wir ein NAT-Gateway in einer VPC erstellen, genau wie in dem Diagramm, das wir gerade durchgegangen sind. Wenn Sie bereits ein Linode-Konto haben, können Sie zu Schritt 1 übergehen. Wenn Sie noch keinen Linode-Account haben, verwenden Sie diesen Link, um sich anzumelden und 100 Dollar kostenloses Guthaben zu erhalten, mit dem Sie die folgenden Schritte durchführen können. Im Linode-Dashboard erstellen wir eine VPC mit zwei Subnetzen: ein öffentliches und ein privates Subnetz. Im privaten Subnetz fügen wir eine Datenbank hinzu, und im privaten Subnetz fügen wir 2 Instanzen hinzu: eine, die als Webserver fungiert, und eine, die als Routerserver fungiert (benutzerdefiniertes NAT).
Schritt 1: Erstellen einer VPC
Der erste Schritt zum Aufbau eines NAT-Gateways in einer VPC besteht darin, die VPC zu erstellen, um unsere Ressourcen logisch zu isolieren. Erinnern Sie sich, dass dies der grüne Kasten aus dem Diagramm ist, das wir durchgegangen sind. Die privaten und öffentlichen Subnetze werden sich innerhalb dieser VPC befinden.
Um dies zu tun, klicken Sie im Linode Cloud Manager auf VPC auf der linken Seite und dann auf VPC erstellen.
Schritt 2: Einrichten des öffentlichen Subnetzes
Als Nächstes müssen wir ein öffentliches Subnetz in der VPC hinzufügen, das den Router-Server (benutzerdefiniertes NAT) und den Webserver aufnehmen wird. Sie erinnern sich, dass dies das blaue Quadrat aus dem Diagramm ist, das wir durchgegangen sind.
Fügen Sie am unteren Rand des Bildschirms, wo Subnets steht, ein Label für das öffentliche Subnetz hinzu. Dieses Subnetz wird den Router-Server (Custom NAT) und den Web-Server beherbergen.
Klicken Sie dann auf VPC erstellen, um die VPC bereitzustellen.
Sie sehen das öffentliche Teilnetz, das mit der entsprechenden Teilnetz-ID und dem IP-Bereich erstellt wurde.
Schritt 3: Bereitstellen des Router-Servers und des Webservers
Als nächstes müssen wir 2 Linode-Instanzen im öffentlichen Subnetz einrichten. Eine Linode-Instanz wird als unser Router-Server (benutzerdefiniertes NAT) fungieren, der NAT-Vorgänge zur Verwaltung des Datenverkehrs zwischen dem öffentlichen und dem privaten Subnetz durchführt. Der andere Server wird als Webserver fungieren, um eingehenden Verkehr aus dem Internet zu verarbeiten und notwendige Anfragen an das private Subnetz weiterzuleiten. Zuerst erstellen wir den Router-Server. Klicken Sie im Cloud Manager auf der linken Seite auf Linodes und dann auf Create Linode. Wählen Sie dieselbe Region, die Sie bei der Erstellung des VPCs gewählt haben, und wählen Sie dann die Option Dedicated 8 GB CPU.
Scrollen Sie dann nach unten, weisen Sie die in Schritt 1 erstellte VPC zu und wählen Sie das öffentliche Subnetz aus dem Dropdown-Menü.
Klicken Sie auf Linode erstellen, um die Einrichtung dieser Instanz abzuschließen.
Lassen Sie uns nun den Webserver mit demselben Verfahren wie oben erstellen. Klicken Sie auf Create Linode, wählen Sie die Region aus, die Sie für Ihre VPC gewählt haben, und weisen Sie die VPC dieser Instanz zu. Sie sehen nun sowohl den Webserver als auch den Routerserver in der VPC unter dem öffentlichen Subnetz aufgeführt.
Schritt 4: Erstellen eines privaten Subnetzes
Als Nächstes müssen wir das private Subnetz innerhalb der VPC erstellen, um den Datenbankserver zu hosten, der keinen direkten Zugang zum öffentlichen Internet haben wird. Wir bauen nun die lila Box.
Klicken Sie in Ihrer VPC auf Subnetz erstellen, geben Sie ein Label ein und weisen Sie den privaten IP-Bereich zu. In diesem Subnetz ist Ihre Datenbank sicher vor externen Bedrohungen versteckt.
Schritt 5: Einsetzen des Datenbankservers
Lassen Sie uns nun eine Linode-Instanz im privaten Subnetz einrichten, die als unser Datenbankserver dient. Diese Instanz wird nur vom öffentlichen Subnetz über die sichere VLAN zugänglich sein. Klicken Sie auf der linken Seite des Linode Cloud Managers auf Datenbanken und dann auf Datenbank-Cluster erstellen. Geben Sie eine Bezeichnung ein und wählen Sie dann Ihre bevorzugte Datenbank-Engine.
Denken Sie daran, dass diese Datenbank nicht direkt für das öffentliche Internet zugänglich sein kann, wie die anderen Server. Unten auf dem Bildschirm, wo Zugriffskontrollen hinzufügen steht, fügen wir den erlaubten UP-Adressbereich für das private Subnetz hinzu, das wir oben erstellt haben.
Klicken Sie dann auf Datenbank-Cluster erstellen. Beachten Sie, dass die Bereitstellung dieser Datenbank bis zu 30 Minuten dauern kann.
Schritt 6: Konfigurieren VLAN
Als nächstes müssen wir eine VLAN einrichten, um eine sichere Kommunikation zwischen dem öffentlichen und dem privaten Teilnetz zu ermöglichen.
Dadurch wird sichergestellt, dass der Datenverkehr zwischen dem Webserver und dem Datenbankserver privat und sicher bleibt. Klicken Sie auf dem Router-Server auf die Registerkarte "Konfigurationen" und dann auf "Bearbeiten".
Blättern Sie nach unten zum Abschnitt "Netzwerke". Klicken Sie auf das Dropdown-Menü unter der gewünschten Netzwerkschnittstelle und wählen Sie VLAN. Normalerweise wird eth1 oder eth2 verwendet, wenn die erste bzw. zweite VLAN zu einer Compute-Instanz hinzugefügt wird, da die eth0-Netzwerkschnittstelle der Instanz normalerweise für den Zugriff auf das öffentliche Internet konfiguriert ist.
Neben der ausgewählten Schnittstelle wird ein zweites Menü angezeigt, in das Sie die Bezeichnung VLANund die zu verwendende IP-Adresse eingeben können.
Klicken Sie auf den Platzhaltertext für "Create or select a VLAN" und geben Sie einen Namen für die VLAN ein. Klicken Sie dann auf Save Changes. Unter der Registerkarte "Konfigurationen" werden nun alle Netzwerkschnittstellen aufgelistet.
Schritt 8: Testen der Konnektivität
Testen wir nun die Konnektivität, um zu überprüfen, ob der Router-Server NAT-Vorgänge korrekt handhabt. Wir müssen auch sicherstellen, dass der Webserver mit dem Datenbankserver über VLAN kommunizieren kann und dass der Datenbankserver nicht direkt mit dem Internet verbunden ist.
Navigieren Sie zu dem ersten Router-Server, den wir erstellt haben, und starten Sie die LISH-Konsole. Dann pingen Sie das private Netzwerk der Datenbank mit der IP-Adresse an.
Die Ausgabe sollte die erfolgreich gesendeten und empfangenen ICMP-Pakete von dieser Instanz an die Datenbank im privaten Netz anzeigen.
Vorteile dieser Architektur
Die Verwendung dieser Architektur bietet einige entscheidende Vorteile. Erstens erhalten Sie verbesserte Sicherheit. Eine VPC ermöglicht die Isolierung von Ressourcen innerhalb verschiedener Subnetze (öffentlich und privat). Ein NAT-Gateway stellt sicher, dass Instanzen in privaten Subnetzen auf das Internet zugreifen können, ohne sie direkt den Bedrohungen des öffentlichen Internets auszusetzen. Durch den Einsatz eines NAT-Gateways in einer VPC wird nur ausgehender Datenverkehr von privaten Instanzen ins Internet zugelassen, wodurch unerwünschte eingehende Verbindungen, die Sicherheitsrisiken darstellen könnten, verhindert werden. Die Datenbank befindet sich innerhalb des privaten Subnetzes, und die sensiblen Daten sind vor dem direkten Zugriff aus dem Internet geschützt, was das Risiko von Datenschutzverletzungen verringert.
Diese Architektur verbessert auch die Skalierbarkeit erheblich. NAT-Gateways sind für die Bewältigung großer Datenmengen ausgelegt und können sich automatisch an steigende Anforderungen anpassen, so dass ein manuelles Eingreifen nicht erforderlich ist. Mit zunehmender Verkehrslast skaliert das NAT-Gateway seine Ressourcen, um eine optimale Leistung und kontinuierliche Verfügbarkeit zu gewährleisten. Diese automatische Skalierbarkeit ist besonders für E-Commerce-Plattformen von Vorteil, die aufgrund von saisonalen Verkäufen, Werbeaktionen und wechselndem Kundenverhalten häufig schwankende Verkehrsmuster aufweisen. Durch den Einsatz von NAT-Gateways können Entwickler sicherstellen, dass ihre Anwendungen auch bei hoher Nachfrage reaktionsschnell und zuverlässig bleiben, was letztlich zu einem besseren Benutzererlebnis führt und das Geschäftswachstum unterstützt.
Der Aufbau eines NAT-Gateways in einer VPC mit Linode bietet eine sichere und effiziente Möglichkeit, den Netzwerkverkehr zwischen öffentlichen und privaten Ressourcen zu verwalten. Es stellt sicher, dass Ihre privaten Instanzen auf die notwendigen externen Ressourcen zugreifen können, während sie vor direkter Internet-Exposition geschützt sind, was letztendlich die Sicherheit, Skalierbarkeit und Effizienz Ihrer Cloud-Infrastruktur verbessert.
Wenn Sie die oben beschriebenen Schritte befolgen und das bereitgestellte Diagramm als Referenz verwenden, können Sie nicht nur die sensiblen Daten Ihrer Kunden schützen, sondern auch Ihre Netzwerkleistung optimieren. Wenn Sie ein Entwickler sind, der seine Cloud-Sicherheit optimieren und mehr Ressourcen in der Cloud aufbauen möchte, verwenden Sie diesen Link, um bis zu 5.000 $ Linode-Guthaben zu beantragen.
Kommentare