Internetzugang: SNAT und Floating-IPs
Die drei Wege, auf denen eine Instanz das Internet erreicht – SNAT-Adresse eines Routers, Floating-IP oder externes Netzwerk – und was jeder Weg erfordert.
Eine Instanz in einem privaten Subnetz kann das Internet nicht von sich aus erreichen. Sie braucht einen Weg zu einem externen Netzwerk, und davon gibt es drei: die SNAT-Adresse eines Routers für ausgehenden Datenverkehr, eine Floating-IP, über die die Instanz auch aus dem Internet erreichbar ist, und eine Schnittstelle direkt in einem externen Netzwerk. Sicherheitsgruppen entscheiden, welcher Datenverkehr den Weg nutzen darf.
Externe Netzwerke
Ein externes Netzwerk verbindet die Cloud mit dem Internet. Der Betreiber der Region erstellt die externen Netzwerke und legt fest, welche Projekte jedes davon nutzen können und wie:
- Für Floating-IPs und Router-Gateways. Ihr Projekt kann Floating-IPs aus dem Netzwerk zuweisen und das Netzwerk als externes Gateway eines Routers verwenden.
- Für die direkte Anbindung. Ihr Projekt kann Instanzen direkt an das Netzwerk anhängen.
Ein externes Netzwerk kann eine der beiden Nutzungen oder beide erlauben. Externe Netzwerke können Sie nicht selbst erstellen.
Ausgehender Zugriff über SNAT
Wenn ein Router ein externes Gateway hat, aktiviert die Cloud SNAT für ihn. Instanzen in den Subnetzen des Routers, die keine Floating-IP haben, erreichen das Internet mit der externen Adresse des Routers, die auf der Seite des Routers unter Externe IP angezeigt wird. Verbindungen aus dem Internet können diese Instanzen nicht erreichen.
Der Weg setzt alle diese Bedingungen voraus:
- Das Subnetz der Instanz hat ein Gateway.
- Das Subnetz ist an einen Router angehängt.
- Der Router ist aktiv und hat ein externes Gateway.
- Eine Sicherheitsgruppe der Instanz erlaubt den ausgehenden Datenverkehr.
Ein Datenbankserver unter 10.0.3.31 ohne Floating-IP kann beispielsweise Updates herunterladen. Im Internet erscheinen die Verbindungen mit der externen Adresse des Routers als Absender, und niemand im Internet kann eine Verbindung zum Server aufbauen.
Wie Sie das einrichten, erfahren Sie unter Schnellstart: Netzwerk mit Subnetz und Router erstellen.
Eingehender Zugriff mit einer Floating-IP
Eine Floating-IP ist eine öffentliche IPv4-Adresse, die Sie Ihrem Projekt zuweisen und einer Instanz zuordnen. Verbindungen aus dem Internet zur Floating-IP erreichen die feste IP-Adresse der Instanz. Eine Floating-IP wird jeweils nur einer Netzwerkschnittstelle zugeordnet, und eine Schnittstelle hat höchstens eine Floating-IP.
Die Zuordnung setzt denselben Router-Weg wie SNAT voraus: Das Subnetz der Instanz muss an einen Router angehängt sein, dessen externes Gateway im Pool der Floating-IP liegt, also in dem externen Netzwerk, aus dem die Adresse stammt. Andernfalls schlägt die Zuordnung mit einer Meldung fehl, dass das Subnetz der Instanz nicht mit dem externen Netzwerk verbunden ist. Die Plattform erstellt oder ändert keine Router für Sie.
Eingehender Datenverkehr benötigt außerdem eine Ingress-Regel. Ein Webserver braucht beispielsweise eine Sicherheitsgruppenregel, die TCP-Port 443 von 0.0.0.0/0 erlaubt. Siehe Sicherheitsgruppenregeln.
Die Vorgehensweisen finden Sie unter Floating-IPs zuweisen, zuordnen und freigeben.
Direkte Anbindung an ein externes Netzwerk
Wo der Betreiber der Region es erlaubt, können Sie eine Schnittstelle einer Instanz direkt an ein externes Netzwerk anhängen. Die Schnittstelle erhält dann ihre Adresse aus dem externen Netzwerk, und die Instanz benötigt für den Internetzugang keinen Router. Der Erstellungsassistent und die Registerkarte Netzwerk der Instanz kennzeichnen solche Netzwerke als öffentlich.
Eine Schnittstelle in einem externen Netzwerk kann keine Floating-IP erhalten, weil ihre feste IP bereits öffentlich ist.
Optionen vergleichen
| SNAT über einen Router | Floating-IP | Externes Netzwerk | |
|---|---|---|---|
| Ausgehend ins Internet | Ja | Ja | Ja |
| Aus dem Internet erreichbar | Nein | Ja, unter der Floating-IP | Ja, unter der Adresse der Schnittstelle |
| Erfordert einen Router mit externem Gateway | Ja | Ja | Nein |
| Abgerechnete Ressource | Der Router | Der Router und die Floating-IP pro Stunde, solange sie zugewiesen ist | — |
Datenverkehr, der die Cloud über das externe Gateway eines Routers verlässt, wird als Internet-Egress abgerechnet, sofern Egress in Ihrer Region einen Preis hat. Alle Abrechnungsdimensionen finden Sie unter Abrechnung.
Weg prüfen
Die Prüfung des Internetzugangs auf der Registerkarte Netzwerk einer Instanz folgt demselben Weg und zeigt den ersten Schritt an, der fehlschlägt. Siehe Internetzugang einer virtuellen Maschine prüfen.