IP-Überschneidungen in Multi-Cloud-Umgebungen lösen

F5

Die private IP-Adressierung ist eine der nützlichsten Funktionen des Protokolls. Dieser Adressraum ist für die uneingeschränkte Nutzung in einem lokalen Bereich vorgesehen – innerhalb einer Organisation und ohne Verbindung über das Internet – und ermöglicht den freien Aufbau großer interner Netzwerke.

Diese Flexibilität hat jedoch ihren Preis: Beim Versuch, zwei zuvor getrennte private IP-Netzwerke miteinander zu verbinden, kann es vorkommen, dass in beiden Netzwerken dieselben IP-Adressen verwendet wurden. Da IP-Adressen innerhalb jedes Netzwerks bzw. jeder Routing-Domäne eindeutig sein müssen, führen diese Überschneidungen zu einem instabilen Netzwerkzugriff auf die betroffenen Bereiche und aus ihnen heraus. Zwar gibt es herkömmliche Behelfslösungen, um die Auswirkungen zu verringern, doch F5 Volterra bietet eine Möglichkeit, das Problem vollständig zu vermeiden.

Warum Überschneidungen problematisch sind

Wenn sich zwei verschiedene Bereiche eines Netzwerks überschneiden und denselben IP-Subnetz-Adressbereich verwenden, treten zwei wesentliche Probleme auf. Erstens können diese beiden Subnetze überhaupt nicht miteinander kommunizieren, da keines der Geräte erkennt, dass die Adresse nicht für einen lokalen Endpunkt bestimmt ist. Wenn beide Subnetze ausschließlich Clients mit zahlreichen Benutzern enthalten, lässt sich dieses Problem möglicherweise leicht beheben. Enthält jedoch eines der Subnetze Netzwerkdienste, sind diese für das andere vollständig unerreichbar. Darüber hinaus wirkt sich eine Überschneidung von IP-Adressbereichen auf den gesamten Datenverkehr aus, der von anderen Stellen im Netzwerk an diese Subnetze gesendet wird. Da die Router im Netzwerk Informationen austauschen, werden beide Subnetze angekündigt, jedoch von zwei verschiedenen Standorten aus. Verbindungen können jederzeit an den falschen Standort geleitet werden, selbst wenn sie zuvor erfolgreich hergestellt wurden.

Die moderne Zunahme von IP-Adressüberschneidungen

Die häufigste Ursache für IP-Adressüberschneidungen in gut verwalteten Netzwerken ist die Verbindung oder Zusammenführung zweier zuvor getrennter Netzwerke. Dieses Szenario lässt sich leicht nachvollziehen, wenn zwei Organisationen fusionieren – insbesondere dann, wenn die IT-Abteilungen beider Organisationen ähnliche Konventionen für die Adresszuweisung verwendet haben, etwa 10/8 für Endgeräte und 172.16/12 für die Infrastruktur. Überschneidungen treten jedoch zunehmend auch bei der Anbindung an eine oder mehrere Clouds auf. Die größten einzelnen Netzwerke werden von Hyperscalern wie Public-Cloud-Anbietern betrieben, die zwangsläufig private IP-Adressen verwenden. Wenn auf jedem Server eine große Anzahl von VMs oder eine noch größere Anzahl von Containern ausgeführt wird, kann bereits eine einzige Serverreihe ein vollständiges /16-Netzwerk beanspruchen. Mit der steigenden Nachfrage nach Cloud-Diensten wuchs auch der Bedarf an Zugriffsmöglichkeiten – von Client-to-Site-VPNs über Site-to-Site-VPNs und Multi-Cloud-Netzwerkprodukte bis hin zu direkten WAN-Verbindungen zu Cloud-Rechenzentren. Site-to-Site-VPNs und WAN-Verbindungen binden Teile des Cloud-Netzwerks faktisch an das Netzwerk des Kunden an. Da auch die meisten Kundennetzwerke auf privaten IP-Adressen basieren, kommt es dadurch immer häufiger zu IP-Adressüberschneidungen.

IP-Adressüberschneidungen notdürftig beheben oder nachhaltig lösen

Mit der zunehmenden Verbreitung moderner verteilter Anwendungen werden auch Verbindungen zwischen Anwendungen häufiger, etwa zwischen Hybrid-Cloud-Umgebungen, verschiedenen Clouds sowie Edge- und Cloud-Systemen. Skalierbare Architekturen benötigen eine Methode zum Umgang mit IP-Adressüberschneidungen, die sich zuverlässig automatisieren lässt. Viele Netzwerkadministratoren greifen zunächst auf NAT zurück – schließlich ermöglicht NAT privaten IP-Adressen die Verbindung mit dem öffentlichen Internet. NAT verlagert das Problem jedoch lediglich, anstatt es zu lösen: Die Abstraktion erstreckt sich nicht auf das Innere des Subnetzes, sodass Anwendungen und Dienste mit Sonderfällen umgehen müssen, beispielsweise mit entfernten Netzwerken, die denselben Subnetzbereich verwenden. Darüber hinaus beeinträchtigt NAT die Transparenz, da es zu Abweichungen zwischen den innerhalb und außerhalb des Subnetzes erfassten Ereignissen führt. Die durch NAT verursachten laufenden Betriebskosten sind nur dann gerechtfertigt, wenn andere Optionen – etwa eine Neunummerierung – ungünstiger sind.

F5 Volterra VoltMesh bietet eine saubere Lösung für IP-Adressüberschneidungen. Überschneidungen sind nur dann problematisch, wenn Verbindungen auf L3 basieren. Daher trennt VoltMesh die L3-Adressen von den Transaktionen auf L4 oder L7 und nutzt dabei dieselben Methoden zur Anwendungsbereitstellung, auf die sich F5-Kunden seit 25 Jahren verlassen. VoltMesh bietet jedoch eine einzigartige zusätzliche Funktion: Da seine Funktionen verteilt sind, kann die IT-Abteilung eine beliebige IP-Adresse an jedem Ort im Mesh auswählen, um die Anwendung bereitzustellen. Und da die Funktionen integriert sind, bleibt die vollständige End-to-End-Transparenz für Netzwerk, Sicherheit und sogar die Anwendung erhalten. Mit VoltMesh ist es sogar möglich, einen Remote-Dienst – unabhängig von seiner tatsächlichen IP-Adresse – mit einer lokalen IP-Adresse in einem lokalen Subnetz bereitzustellen. Dadurch sind keinerlei Netzwerkänderungen erforderlich: kein NAT, keine Öffnungen in der Firewall und keine Routing-Änderungen. VoltMesh bietet vollständige Kontrolle und Transparenz ohne Beeinträchtigung des Netzwerks und damit eine besonders saubere Lösung für IP-Adressüberschneidungen.

Netzwerke werden im Multi-Cloud-Zeitalter durch die Nutzung privater IP-Adressierung immer weiter ausgebaut und miteinander verbunden. Das bedeutet, dass sich überschneidende IP-Adressbereiche weiterhin ein Problem darstellen werden, solange der Schwerpunkt auf herkömmlicher Konnektivität liegt. Ob On-Premises oder zwischen Clouds: F5 Volterra VoltMesh kann Services sicher bereitstellen, indem es Anwendungen von der Netzwerkschicht entkoppelt, Erreichbarkeit ohne direkte Konnektivität ermöglicht und durch eine klare Trennung dafür sorgt, dass private Netzwerke privat bleiben.

Weitere Informationen finden Sie unter „Der Weg zu den Herausforderungen der Multi-Cloud“ auf F5 DevCentral sowie unter „Umfassendes Multi-Cloud-Management“ mit F5.

Über den Autor

F5

Weitere Blogbeiträge von F5