Beispielarchitektur – Colocation-Management¶

Diese Konfiguration stellen wir Shared-Colocation-Kunden standardmäßig zur Verfügung, damit sie über eine sichere VPN-Verbindung auf ihre IPMI- und Host-Verwaltung zugreifen können.

Verwendete Funktionen¶

• SDN-Netzwerke
• Internetzugang
• VPN-Zugriff
• Anbindungen an physische Ports

Architektur¶

Da noch kein SDN-Netzwerk und kein VLAN vorhanden ist, beginnen wir mit einer neuen Konfiguration.

Unser Segment enthält ein einzelnes Subnetz mit den CIDRs 10.100.10.0/24 und fc00:100:10::/64. Dieses wird für die Verwaltung der Colocation-Server verwendet.
Für die VPN-Clients verwenden wir die Subnetze 10.200.0.0/24 und fc00:200::/64.

Das IPMI erhält die IP-Adresse 10.100.10.11, der Proxmox-Host die IP-Adresse 10.100.10.10.

Auf dem Colocation-Server soll dieses neue Management-Segment wie folgt angebunden werden:

• ungetaggt am IPMI-Port für den IPMI-Zugriff und
  
• als getaggtes VLAN 10 auf den 2x100G-Daten-Uplinks für den Proxmox-Zugriff. Die Daten-Uplinks werden per LACP gebündelt und über zwei separate Switches per EVPN-MH angebunden.
  

flowchart LR
    vpnClient[Remote VPN Client<br/>10.200.0.2<br/>fc00:200::2]
    internet@{ shape: cloud, label: "Internet" }
    internet2@{ shape: cloud, label: "Internet" }

    subgraph rltx["realtoxmedia SDN"]
        wg[WireGuard Router]
        nat[NAT Router]
        l3vpn[L3VPN Gateway<br/>Subnet: 10.100.10.0/24<br/>Subnet: fc00:100:10::/64]

        mgmtSwitch["MGMT Switch"]

        subgraph dataStack["Data Switch-Stack"]
            sw1[Switch 1]
            sw2[Switch 2]
        end
    end

    subgraph server["Colocation Server"]
        ipmi[RJ45 IPMI Port<br/><br/>Untagged: MGMT<br/><br/>IPMI: 10.100.10.11]
        bond[LACP Uplink<br/><br/>Untagged: Public IPs<br/>Vlan10: MGMT<br/><br/>Proxmox: 10.100.10.10]
    end

    vpnClient <--> internet <--> wg
    internet2 <--> nat
    nat <--> l3vpn
    wg <--> l3vpn
    l3vpn <--> mgmtSwitch
    mgmtSwitch <--> ipmi
    l3vpn <--> dataStack
    sw1 <--> bond
    sw2 <--> bond

Umsetzung¶

1) SDN-Netzwerk erstellen¶

Zunächst erstellen wir unter SDN > Networks über die Schaltfläche „Create Network“ ein neues SDN-Netzwerk.

Die Erstellung dauert in der Regel etwa 10 bis 20 Sekunden.

2) Internetzugang aktivieren¶

Falls die entsprechende Berechtigung noch nicht freigeschaltet wurde, müssen Sie unter Settings > Limits die Berechtigung L3VPN Internet Access allowed beantragen.

Nachdem die Berechtigung erteilt wurde, können Sie den Internetzugang auf der Detailseite des Netzwerks unter „Internet Access“ über die Schaltfläche „Enable NAT“ aktivieren.

3) VPN-Zugriff konfigurieren und aktivieren¶

Falls die entsprechende Berechtigung noch nicht freigeschaltet wurde, müssen Sie unter Settings > Limits die Berechtigung L3VPN VPN WireGuard allowed beantragen.

Optional: Subnetze für VPN-Clients festlegen¶

Da wir eigene Subnetze für die VPN-Clients verwenden möchten, öffnen wir auf der Detailseite des Netzwerks den Bereich „Settings“, tragen dort die gewünschten Subnetze ein und speichern die Änderungen.

WireGuard-VPN-Zugriff aktivieren¶

Anschließend öffnen wir auf der Detailseite des Netzwerks den Tab „WireGuard“ und aktivieren den VPN-Zugriff über die Schaltfläche „Enable WireGuard“.

WireGuard-Clientprofil erstellen¶

Nun steht ein einsatzbereiter WireGuard-Server zur Verfügung. Für die Verbindung eines Clients mit dem IPMI benötigen wir noch eine WireGuard-Clientkonfiguration.

Diese können Sie ebenfalls im Tab „WireGuard“ erstellen. Geben Sie eine Beschreibung ein und klicken Sie anschließend auf „Create profile“.

Das erstellte Profil können Sie als Text oder als QR-Code anzeigen, indem Sie in der darunterliegenden Liste auf den Namen des Profils klicken.

4) Switch-Ports konfigurieren¶

Öffnen Sie nun die Detailseite des Colocation-Geräts unter Colocation > Devices > Device und wechseln Sie zum Bereich der Netzwerk-Ports.

IPMI-Port¶

Der IPMI-Port wird als Interface Group #1 angezeigt und verwendet derzeit die ungetaggte VNI Public L2.

Ersetzen Sie diese durch das neue Management-Segment und speichern Sie die Änderung.

Uplink-Bond¶

Am Uplink-Bond soll das Management-Segment als getaggtes VLAN 10 hinzugefügt werden.

Wählen Sie daher dieselbe VNI, Management Network, aus, setzen Sie Tagged VLAN auf 10 und fügen Sie die Zuordnung hinzu.

Optional: Dokumentation hinzufügen¶

Wir empfehlen, verwendete IP-Adressen grundsätzlich zu dokumentieren, beispielsweise im Tab „IPs“ auf der Detailseite des L3VPN.

So können Sie jederzeit nachvollziehen, welche IP-Adressen für welchen Zweck und von welchem Gerät verwendet werden.
Werden die IP-Adressen im CCP dokumentiert, stellen wir automatisch einen DHCP-Server für die angegebene MAC/IP bereit.

Bei physischen Ports erfolgt diese Dokumentation nicht automatisch.¹