Ports, feste IPs und Port-Sicherheit
Ports erstellen, bearbeiten und löschen, feste IP-Adressen reservieren, Port-Sicherheit und zulässige Adresspaare festlegen und Ports an Instanzen anhängen.
Ein Port verbindet ein Gerät, z. B. eine Instanz, mit einem Subnetz. Er enthält die feste IP-Adresse des Geräts, eine MAC-Adresse, die Sicherheitsgruppen, die seinen Datenverkehr filtern, und seine Einstellung für die Port-Sicherheit. Erstellen Sie einen Port, wenn Sie eine feste Adresse benötigen, bevor die Instanz existiert, oder einen Port mit eigener Filterung, und hängen Sie ihn später an eine Instanz an.
Voraussetzungen
- Zum Erstellen, Ändern oder Löschen von Ports benötigen Sie auf Abonnement- oder Projektebene die Rolle Besitzer oder Mitwirkender oder eine benutzerdefinierte Rolle mit der Zugriffsebene Verwalten für Networking. Um einen Port an eine Instanz anzuhängen, benötigt eine benutzerdefinierte Rolle außerdem die Zugriffsebene Verwalten für Compute / Instances. Zum Anzeigen von Ports genügt eine beliebige Rolle mit der Zugriffsebene Lesen für Networking.
- Das Netzwerk darf nicht den Status Wird erstellt haben und muss ein Subnetz haben.
- Das Kontingent des Abonnements und die Zuteilung des Projekts müssen Platz für einen weiteren Port bieten. Siehe Kontingente.
Ports eines Netzwerks anzeigen
Wechseln Sie in der Konsole zu NetzwerkNetzwerke, öffnen Sie das Netzwerk, und wählen Sie die Registerkarte Ports / Geräte aus. Die Tabelle listet die Ports der Instanzen im Netzwerk und die Ports auf, die Sie erstellt haben:
- Private IP listet jede feste IP-Adresse des Ports auf.
- Besitzer und Gerät zeigen, woran der Port angehängt ist, mit einem Link zur Instanz, falls vorhanden.
- Sicherheitsgruppen verlinkt auf die Sicherheitsgruppen des Ports.
- Ein administrativ deaktivierter Port zeigt neben seinem Status Administrativ aus an. Wenn ein Port nicht erstellt werden konnte, erscheint der Grund unter seinem Namen.
Port erstellen
Wählen Sie auf der Seite des Netzwerks die Registerkarte Ports / Geräte und dann Port erstellen aus.
Wählen Sie unter Subnetz das Subnetz aus, und geben Sie im Feld Name einen Namen ein.
Optional: Geben Sie unter Feste IP-Adresse eine Adresse im Subnetz ein. Lassen Sie das Feld leer, damit das Subnetz eine Adresse zuweist.
Optional: Geben Sie im Feld Beschreibung eine Beschreibung ein.
Lassen Sie Port-Sicherheit aktiviert, oder deaktivieren Sie die Option. Siehe Port-Sicherheit.
Lassen Sie unter Sicherheitsgruppen die Auswahl leer, damit der Port die Standard-Sicherheitsgruppe des Projekts erhält, oder wählen Sie die gewünschten Gruppen aus.
Optional: Geben Sie unter Zulässige Adresspaare eine Adresse oder einen Block und optional eine MAC-Adresse ein, und wählen Sie Hinzufügen aus. Siehe Zulässige Adresspaare.
Wählen Sie Port erstellen aus. Sobald der Port existiert, zeigt die Konsole Port erstellt an. Wenn die Cloud den Port ablehnt, bleibt der Dialog geöffnet und zeigt den Grund an – am betroffenen Feld, sofern es eines gibt.
| Feld | Regel |
|---|---|
| Subnetz | Ein Subnetz des Netzwerks. Der Port erhält daraus eine feste IP-Adresse. |
| Name | 1–60 Kleinbuchstaben, Ziffern und Bindestriche. |
| Feste IP-Adresse | Eine IPv4-Adresse innerhalb des Blocks des Subnetzes. Sie darf weder die Netzwerkadresse noch die Broadcast-Adresse des Blocks sein. Lassen Sie das Feld leer, um eine automatische Adresse zu erhalten. |
| Port-Sicherheit | Standardmäßig aktiviert. |
| Sicherheitsgruppen | Ohne Auswahl erhält der Port die Standard-Sicherheitsgruppe des Projekts. Wenn Sie Gruppen auswählen und die Auswahl dann vollständig aufheben, wird der Port ohne Sicherheitsgruppe erstellt. Gruppen erfordern Port-Sicherheit. |
| Zulässige Adresspaare | Eine IPv4-Adresse oder ein Block, jeweils nur einmal. Die MAC-Adresse ist optional; ohne sie gilt die eigene MAC-Adresse des Ports. Paare erfordern Port-Sicherheit. |
In einem externen Netzwerk weist der Dialog darauf hin, dass die feste IP des Ports bereits öffentlich ist und ihm keine Floating-IP zugeordnet werden kann.
Port bearbeiten
Zeigen Sie auf der Registerkarte Ports / Geräte des Netzwerks auf die Zeile des Ports, und wählen Sie das Stiftsymbol aus.
Ändern Sie den Namen, die Beschreibung, Admin-Status, Port-Sicherheit, die Sicherheitsgruppen oder die zulässigen Adresspaare. Die festen IP-Adressen können nicht geändert werden.
Wählen Sie Speichern aus. Die Konsole zeigt Port aktualisiert an.
Die Sicherheitsgruppen und zulässigen Adresspaare, die Sie speichern, ersetzen die gesamten Listen des Ports. Zu Admin-Status sagt der Dialog: Ein administrativ deaktivierter Port bleibt bereitgestellt, leitet aber keinen Verkehr weiter.
Port-Sicherheit
Bei aktivierter Port-Sicherheit lässt der Anti-Spoofing-Filter des Ports nur die eigenen Adressen des Ports und seine zulässigen Adresspaare durch, und die Sicherheitsgruppen des Ports filtern seinen Datenverkehr.
Bei deaktivierter Port-Sicherheit hat ein Port keine Sicherheitsgruppen und keine zulässigen Adresspaare. Die Konsole leert beide Listen, wenn Sie die Port-Sicherheit deaktivieren, und die Plattform lehnt Gruppen oder Paare auf einem solchen Port ab.
Wichtig
Bei deaktivierter Port-Sicherheit filtert keine Sicherheitsgruppe den Datenverkehr des Ports. Die Prüfung des Internetzugangs berücksichtigt die Port-Sicherheit nicht.
Wenn Sie die Port-Sicherheit im Bearbeitungsdialog wieder aktivieren, wählen Sie die Sicherheitsgruppen erneut aus. Andernfalls bleibt der Port ohne Sicherheitsgruppe.
Zulässige Adresspaare
Ein zulässiges Adresspaar lässt eine zusätzliche Adresse durch den Anti-Spoofing-Filter des Ports. Verwenden Sie Paare, wenn eine Instanz für andere Adressen als ihre feste IP antwortet, zum Beispiel:
- eine virtuelle IP, die sich zwei Instanzen teilen und zwischen sich verschieben;
- den Pod-Adressblock eines Kubernetes-Knotens, z. B.
10.244.0.0/16; - die Netzwerke hinter einer Instanz, die Datenverkehr weiterleitet, z. B. einer VPN- oder NAT-Instanz.
Die Adresse muss nicht im Subnetz des Ports liegen. Paare funktionieren nur, solange die Port-Sicherheit aktiviert ist.
Port an eine Instanz anhängen
Wechseln Sie in der Konsole zu ComputeInstanzen, öffnen Sie die Instanz, und wählen Sie die Registerkarte Netzwerk aus.
Wählen Sie in der Liste Netzwerk oder Port auswählen… den Port unter Vorhandene Ports (nicht verbunden) aus. Um der Instanz stattdessen einen neuen Port in einem Netzwerk zu geben, wählen Sie das Netzwerk unter Neuer Port in einem Netzwerk aus.
Wählen Sie NIC anhängen aus.
Die Liste bietet Ports an, die nirgends angehängt sind und erfolgreich erstellt wurden. Die Plattform lehnt einen Port ab, der bereits an anderer Stelle angehängt ist.
Um eine Schnittstelle zu trennen, wählen Sie auf derselben Registerkarte in ihrer Zeile Trennen aus, und bestätigen Sie. Die Bestätigung lautet: Der Server verliert diese Netzwerkschnittstelle und die zugehörige Adresse. Verbindungen darüber brechen sofort ab.
Einem Port eine Floating-IP zuweisen
Sie können einem Port in seiner Zeile auf der Registerkarte Ports / Geräte eine neue Floating-IP zuweisen. Siehe Floating-IP für einen Port zuweisen.
Port löschen
Sie können einen Port löschen, der an kein Gerät angehängt ist. Ein Port, der an eine Instanz angehängt ist, hat keine Löschaktion: Trennen Sie ihn zuerst.
Zeigen Sie auf der Registerkarte Ports / Geräte des Netzwerks auf die Zeile des Ports, und wählen Sie das Papierkorbsymbol aus.
Wählen Sie Port löschen aus. Die feste IP-Adresse des Ports wird wieder frei.
Problembehandlung
| Meldung | Ursache | Lösung |
|---|---|---|
| Port ist an ein Gerät angeschlossen — trennen Sie es zuerst, dann löschen. | Der Port ist an ein Gerät angehängt. | Trennen Sie ihn zuerst von der Instanz. |
| 10.0.5.20 liegt außerhalb des Subnetz-CIDR 10.0.4.0/24. | Die Adresse liegt nicht im ausgewählten Subnetz. | Geben Sie eine Adresse im Block des Subnetzes ein, oder lassen Sie das Feld leer. |
| 10.0.4.255 ist die Broadcast-Adresse des Subnetzes (10.0.4.0/24) und kann keinem Port zugewiesen werden. | Die Adresse ist die Broadcast-Adresse des Blocks. Eine ähnliche Meldung nennt die Netzwerkadresse des Blocks. | Geben Sie eine andere Adresse ein. |
| Geben Sie eine gültige IPv4-Adresse oder einen Adressblock ein, z. B. 10.0.1.100 oder 10.0.1.0/28. | Das Paar ist weder eine IPv4-Adresse noch ein IPv4-Block. | Geben Sie eine Adresse wie 10.0.1.100 oder einen Block wie 10.0.1.0/28 ein. |
| Nicht verfügbar, solange die Port-Sicherheit aus ist — der Netzwerkdienst lehnt Sicherheitsgruppen und Adresspaare auf einem ungefilterten Port ab. | Die Port-Sicherheit ist deaktiviert. | Aktivieren Sie die Port-Sicherheit, um Sicherheitsgruppen oder zulässige Adresspaare festzulegen. |