Mal schnell in die Cloud - Trivadis
Mal schnell in die Cloud - Trivadis
Mal schnell in die Cloud - Trivadis
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
Amazon Virutal Private <strong>Cloud</strong> Enterprise-Architektur<br />
Abb. 3: Firefox-Plug-<strong>in</strong> Elastic Fox [1]<br />
schlüsselte Verb<strong>in</strong>dung. Somit s<strong>in</strong>d <strong>die</strong> Instanzen <strong>in</strong> der<br />
<strong>Cloud</strong> von außen nicht erreichbar. Am eigenen Gateway<br />
können <strong>in</strong>dividuelle Sicherheitsregeln und E<strong>in</strong>stellungen<br />
vorgenommen werden. Grundsätzlich handelt es sich<br />
zwar um e<strong>in</strong>e bereits bekannte Technologie, jedoch mit<br />
e<strong>in</strong>er entscheidenden Neuerung: Es besteht <strong>die</strong> Möglichkeit,<br />
<strong>in</strong> e<strong>in</strong>em isolierten Raum selbständig eigene Netzwerksegmente<br />
zu erzeugen und zu verwalten.<br />
In der Virtual Privat <strong>Cloud</strong> (VPC) können alle privaten<br />
IP-Netzwerkadressen verwendet werden. Da aber<br />
mittels dem Rout<strong>in</strong>g-Protokoll BGP (Border Gateway<br />
Protocol) e<strong>in</strong> dynamisches Rout<strong>in</strong>g etabliert wird, sollte<br />
man genau analysieren, wie <strong>die</strong> eigene Netzwerk<strong>in</strong>frastruktur<br />
aussieht, um möglichen Problemen aus dem<br />
Weg zu gehen. Verwendet man e<strong>in</strong> Netzwerksegment,<br />
das <strong>in</strong> dem eigenen Netz schon vorhanden ist, kommt es<br />
zu e<strong>in</strong>em Rout<strong>in</strong>g-Konflikt. Bei statischen Routen kann<br />
man <strong>in</strong> der Regel <strong>schnell</strong> anhand der Konfiguration erkennen,<br />
ob Netzwerkadressen bereits verwendet werden.<br />
Bei e<strong>in</strong>em dynamischen Rout<strong>in</strong>g-Protokoll ist das<br />
nicht auf den ersten Blick ersichtlich. Hier gilt es daher,<br />
besonders sorgfältig zu arbeiten.<br />
Die Virtual Private <strong>Cloud</strong> kann transparent an <strong>die</strong><br />
eigene Infrastruktur angebunden werden, ohne dass<br />
<strong>die</strong>se für den Anwender im Unternehmen ersichtlich ist.<br />
Hat man <strong>die</strong>se fertig e<strong>in</strong>gerichtet und alle notwendigen<br />
Netzwerksegmente konfiguriert, kann damit begonnen<br />
werden, <strong>die</strong> benötigten Amazon-Ressourcen zuzuordnen.<br />
Virtuelle Instanzen und virtuelle Disks stehen <strong>in</strong> der<br />
VPC genauso zu Verfügung, wie <strong>in</strong> dem Public <strong>Cloud</strong><br />
Angebot (z. B. EC2 und S3) von Amazon. Damit hat<br />
man nahezu unbegrenzte Infrastrukturressourcen zur<br />
Verfügung (Abb. 1).<br />
Limitierung<br />
Natürlich gibt es <strong>in</strong> e<strong>in</strong>em Gebilde wie der Amazon<br />
Virtual Private <strong>Cloud</strong> auch technologiebed<strong>in</strong>gte E<strong>in</strong>schränkungen,<br />
<strong>die</strong> jedoch auch auf den derzeitigen<br />
Entwicklungsstand zurückzuführen s<strong>in</strong>d. Im Folgenden<br />
werden <strong>die</strong> wichtigsten E<strong>in</strong>schränkungen vorgestellt.<br />
Grundsätzliche Limitierungen:<br />
• Es kann nur e<strong>in</strong> e<strong>in</strong>ziger IP-Bereich für <strong>die</strong> VPC vergeben<br />
werden. Die VPC wird als Conta<strong>in</strong>er mittels<br />
e<strong>in</strong>er IP Range def<strong>in</strong>iert. Das kann maximal e<strong>in</strong>e private<br />
/16-Netzwerkadresse se<strong>in</strong>. Innerhalb <strong>die</strong>ser Range<br />
können dann 1 bis 20 Segmente gebildet werden.<br />
Wird <strong>die</strong> VPC z. B. mit der Range 172.16.0.0/16 angelegt,<br />
können <strong>die</strong> Segmente u. a. 172.16.1.0/24 und<br />
172.16.2.0/24 se<strong>in</strong>. Segmente außerhalb der def<strong>in</strong>ierten<br />
Range s<strong>in</strong>d nicht möglich.<br />
• Ist e<strong>in</strong>mal e<strong>in</strong>e VPC oder e<strong>in</strong> Subnetz angelegt, kann<br />
man den IP Range nicht mehr ändern.<br />
• Amazon betreibt weltweit Rechenzentren <strong>in</strong> unterschiedlichen<br />
Regionen. E<strong>in</strong>e VPC kann nur <strong>in</strong>nerhalb<br />
e<strong>in</strong>er e<strong>in</strong>zigen Region betrieben werden.<br />
• Es ist nicht möglich, direkt aus der VPC auf das Internet<br />
zuzugreifen. E<strong>in</strong> Zugriff ist nur über den Umweg<br />
über das eigene Default Gateway möglich. Es gibt jedoch<br />
bereits <strong>die</strong> Anforderung, das zu ändern. Seitens<br />
Amazon wurde hierzu bereits <strong>die</strong> Bereitschaft dazu<br />
signalisiert.<br />
• Es gibt ke<strong>in</strong>e direkte Verb<strong>in</strong>dung aus der VPC zu AWS-<br />
Ressourcen <strong>in</strong> der Public <strong>Cloud</strong>. Der e<strong>in</strong>zig mögliche<br />
Weg führt auch hier über das Default Gateway.<br />
• Broadcast und Multicast zwischen den Netzwerken<br />
können nicht verwendet werden.<br />
• NAT für Instanzen <strong>in</strong>nerhalb der VPC wird nicht unterstützt.<br />
Es ist jedoch anzunehmen, dass <strong>die</strong>se Funktionalität<br />
nachgereicht wird, sobald es auch möglich ist,<br />
aus der VPC e<strong>in</strong>e direkte Verb<strong>in</strong>dung <strong>in</strong> das öffentliche<br />
Netz herzustellen.<br />
Limitierungen <strong>in</strong> der Betaphase: Wie bereits erwähnt,<br />
limitiert Amazon <strong>in</strong>nerhalb der Betaphase <strong>die</strong> Virtual<br />
Private <strong>Cloud</strong> <strong>in</strong> folgenden Punkten:<br />
www.entwickler-magaz<strong>in</strong>.de Entwickler Magaz<strong>in</strong> 2.2011<br />
105