Yksityisverkot

Yksityisverkko (VPC) yhdistää palvelimesi omalla IP-alueellasi, erillään internetistä. Palvelimet voivat olla yksityisverkossa ilman julkista IP-osoitetta; NAT-yhdyskäytävä antaa niille lähtevän internetyhteyden, ja Elastic IP ohjaa julkisen osoitteen yhdelle niistä, kun sen täytyy olla tavoitettavissa.

Milloin sitä kannattaa käyttää

• Tietokannat, välimuistit ja jonot, joita ei pidä koskaan avata julkisesti.
• Sovelluspalvelimet kuormantasaajan takana; kuormantasaaja tavoittaa verkon kautta myös pelkästään yksityiset palvelimet.
• Vähemmän maksullisia IPv4-osoitteita: vain sisääntulopisteet tarvitsevat sellaisen.
• Palvelinten välinen sisäinen liikenne pysyy poissa julkisesta liitännästä.

Verkon luonti

1. Avaa konsolissa Networks ja valitse Create network.
2. Anna nimi, esimerkiksi prod.
3. Valitse IP-alue, esimerkiksi 10.0.0.0/16.
4. Luo verkko.

Alla olevat esimerkit käyttävät tämän alueen sisältä osoitteita 10.0.1.0/24.

Valitse alue, joka ei mene päällekkäin toimistoverkkosi tai yhdistettäväksi suunnittelemasi VPN:n kanssa, koska päällekkäisiä alueita ei voi reitittää siististi.

Palvelinten liittäminen

• Uudet palvelimet: valitse verkko palvelimen luonnin verkkovaiheessa. Jos haluat palvelimesta pelkästään yksityisen, poista julkisen IPv4:n ja IPv6:n valinta.
• Olemassa olevat palvelimet: avaa palvelin, siirry kohtaan Networking ja liitä se verkkoon.

Palvelimella yksityinen osoite näkyy omassa liitännässään:

ip -brief address

Testaa yhteys palvelimelta toiselle:

ping -c 3 10.0.1.5      # esimerkki yksityisestä osoitteesta

Palvelut kuuntelemaan yksityistä osoitetta

Laita sisäiset palvelut kuuntelemaan vain yksityistä liitäntää. Esimerkkejä:

# PostgreSQL: /etc/postgresql/16/main/postgresql.conf
listen_addresses = '10.0.1.5'

# Redis: /etc/redis/redis.conf
bind 10.0.1.6

Salli lisäksi vain verkon alue tiedostossa pg_hba.conf, UFW:ssä tai palomuurissa:

sudo ufw allow from 10.0.0.0/16 to any port 5432 proto tcp

NAT-yhdyskäytävä: internet yksityisille palvelimille

Pelkästään yksityinen palvelin ei pysty itse lataamaan päivityksiä tai kutsumaan ulkoisia rajapintoja. NAT-yhdyskäytävä korjaa tämän:

1. Luo konsolissa verkolle NAT-yhdyskäytävä.
2. Vahvista. Verkon palvelinten lähtevä liikenne kulkee nyt yhdyskäytävän julkisen osoitteen kautta.

Tarkista yksityiseltä palvelimelta:

curl -4 https://ifconfig.me
sudo apt update

NAT-yhdyskäytävä käsittelee vain sisältä päin avattuja yhteyksiä. Internetistä ei voi avata sen kautta yhteyttä yksityisiin palvelimiisi.

Elastic IP: yksi yksityinen palvelin tavoitettavaksi ulkoa

Elastic IP on julkinen IP-osoite, joka NAT-ohjataan yksityisverkossa olevalle palvelimelle. Käytä sitä, kun yhden yksityisen palvelimen täytyy ottaa vastaan yhteyksiä internetistä, esimerkiksi sähköpostin välityspalvelimena tai VPN-päätepisteenä, ilman että sille annetaan julkista liitäntää.

1. Luo Elastic IP konsolissa.
2. Määritä se verkon yksityiselle palvelimelle.
3. Salli tarvittavat portit palvelimen palomuurissa.

Jos saman osoitteen takana on useita palvelimia, kuormantasaaja on yleensä parempi valinta.

Yhteys yksityisiin palvelimiin

Käytä hyppypalvelinta, jolla on julkinen osoite:

ssh -J [email protected] [email protected]     # esimerkkiosoitteet

Tai aja VPN:ää yhdellä palvelimella ja reititä verkon alue sen kautta; katso WireGuard-opas. Selainkonsoli toimii myös jokaisella palvelimella, julkisella tai yksityisellä.

Rakenteen suunnittelu

Tyypillinen pieni tuotantoympäristö:

Voit piirtää juuri tämän Composerissa, nähdä kuukausihinnan ja ottaa kokonaisuuden käyttöön oikeassa järjestyksessä.

API

Verkot ovat käytettävissä API:ssa osoitteessa https://api.wolkra.com/v1/networks. Katso API-tunnisteet.

Lisää tuotesivuilla: yksityisverkot, NAT-yhdyskäytävät ja IP-osoitteet.