Esimerkki arkkitehtuurit
Sivu 2/8 Sisällysluettelo 1. Johdanto... 3 1.1. Termejä... 3 2. Web hosting ilman kuormantasausta... 4 3. Web hosting kuormatasaus ja bastion... 5 3.1.... 5 3.2. Kuvaus... 5 4. Toimistosovellukset Nebula Pilvessä... 6 4.1. Kuvaus... 6 4.2.... 7 5. Liittyminen muihin palveluihin Nebulan konesaleissa... 8 5.1.... 8 5.2. Kuvaus... 8
Sivu 3/8 1. Johdanto Haluamme esitellä tässä dokumentissa eri tapoja miten asiakkaat voivat hyödyntää Nebula palvelua. Nebula Pilvi tarjoaa helpon tavan esimerkiksi seuraaviin tarpeisiin hajauttaa palvelut maantieteellisesti suojata verkko segmentoimalla automatisoida infrastruktuurin provisiointi nopea ympäristön skaalaaminen Nebula Pilvi arkkitehtuurin puolesta tarjoaa asiakkaalle käytännössä vapaat kädet muokata arkkitehtuuristaan haluamansa kaltainen ja tässä dokumentissa on esitelty tyypillisesti kysyttyihin tarpeisiin ratkaisuja esimerkinomaisesti. Usein asiakkaalla onkin tarve yhdistellä eri vaihtoehtoja. Juuri tähän Nebula Pilvi on parhaimmillaan sen suuren joustavuuden ansiosta. 1.1. Termejä Termi Kuvaus Käyttöliittymä / Englanti Bastion DMZ Kelluva IP LTK NAT SA Kovetettu palvelinrooli, jota saatetaan käyttää esimerkiksi hyppypalvelimena verkon reunalla. Puoliksi luotettu verkko, joka sijaitsee luotetun verkon ja Internetin välillä. Julkinen IP-osoite, joka palvelussa kytketään NAT teknologialla asiakkaan valitsemaan palvelimeen. Nebulan Levytilakapasiteetti palvelun lyhenne. Eri nopeuksiset LTK palvelut on eri päätteillä, esim. LTK-SSD. Network Address Translation. IP osoitteenmuunnos Saatavuusalue. Toimittajan konesali, josta tuotetaan Nebula palvelua. Palvelun hajauttaminen useampaan saatavuusalueeseen lisää sen vikasietoisuutta.(käyttöliittymässä Availability Zone) Floating IP Palvelin Virtuaalinen palvelin Instance SA1 Toimittajan Saatavuusalue 1. Helsinki, Lauttasaari AZ1 SA2 Toimittajan Saatavuusalue 2. Helsinki, Pitäjänmäki AZ2 Turvaryhmä Pilviyhteys Pilviverkko Palvelinryhmään kohdistuva palomuurisääntökanta, joka sallii tai estää liikenteen. Palvelu, joka yhdistää asiakkaan toimipisteen sisäverkon valokuidulla Nebula Pilveen. Palvelu, joka yhdistää asiakkaan Nebula Pilvi ympäristön muihin mahdollisiin Nebulan konesaleissa sijaitseviin palveluihin tai palvelimiin. Availability Zone AZ Security Group PM Nebulan Palomuuripalvelun lyhenne. Eri palomuuripalvelut PM3-6 erotettavissa tunnistenumerosta perässä.
Sivu 4/8 2. Web hosting ilman kuormantasausta Oheisessa esimerkissä meillä on yksinkertainen web hosting sovellus, joka on kuitenkin haluttu hajauttaa kahdelle eri saatavuusalueelle (SA1, SA2). Yksinkertaisimmillaan sama web palvelu voitaisiin rakentaa vain yhdelle saatavuusalueelle, tällöin kuvassa näkyisi vain toinen SA. Kuvassa ylimpänä on kelluva IP eli julkiset IP osoitteet, jotka ovat uniikit kummallekkin saatavuusalueelle. Nämä kelluvat IP:t nattaavat asiakkaan web palvelimen osoitteen julkiseksi IP osoitteeksi. Palvelin itse näkee siis sisäverkon osoitteen, johon kelluva IP on sidottu. Palvelimen edustalla on turvaryhmä säännöstö joka sallii tyypillisesti vain porttiin 80 ja 443 tulevan liikenteen. Molempiin konesaleihin on provisioitu vastaavat web palvelimet, jotka voivat normaali tilanteessa tuottaa esimerkiksi eri sovelluksia. Seuraavana kerroksena on tietokantapalvelin, joka esimerkissä on klusterissa kahden saatavuusalueen välillä ja saatavuusalueiden välissä on tietokantapalvelimia varten sisäverkko, jonka kautta palvelimet replikoivat tietokannan. Tietokantapalvelimiin kohdistuu oma Turvaryhmä säännöstö, joka sallii vain web-palvelimelta tulevat kyselyt. Palvelimeen on liitetty LTK levypinta, joka mahdollistaa joustavan levytilan kasvattamisen sekä vaihtoehtoja suorituskyky tarpeen mukaan.
Sivu 5/8 3. Web hosting kuormatasaus ja bastion 3.1. 3.2. Kuvaus Oheisessa esimerkissä meillä on web hosting sovellus, joka on haluttu hajauttaa kahdelle eri saatavuusalueelle (SA1, SA2) ja sen lisäksi halutaan arkkitehtuuri joka mahdollistaa joustavasti arkkitehtuurin skaalauksen, esimerkiksi lisäämällä palvelimia kuormantasaukseen.. Yksinkertaisimmillaan sama web palvelu voitaisiin rakentaa vain yhdelle saatavuusalueelle, tällöin kuvassa näkyisi vain toinen SA, mutta edelleen voitaisiin hyödyntää kuormantasausta yhden saatavuusalueen sisällä. Hajauttamalla palvelu useammalle saatavuusalueelle voidaan tarjota parempi saatavuus sovellukselle. Kuvassa ylimpänä on kelluva IP eli julkiset IP osoitteet, jotka ovat uniikit kummallekkin saatavuusalueelle. Nämä kelluvat IP:t osoitettu on NAT:attu asiakkaan kuormantasaajien julkiseksi IP osoitteeksi. Kuormantasaaja on virtuaalipalvelin, jolle on asennettu kuormantasaaja rooli (Esim. HAProxy, Snapt). Kuormantasaaja itse näkee siis sisäverkon osoitteen, johon kelluva IP on sidottu. Palvelimen edustalla on turvaryhmä säännöstö joka sallii tyypillisesti vain porttiin 80 ja 443 tulevan liikenteen. Molempiin konesaleihin on provisioitu vastaavat kuormantasaajat palvelimet, jotka seuraavat toistensa tilaa saatavuusalueiden väliin liitetyllä verkolla.
Sivu 6/8 Myös web-palvelimen edustalla on turvaryhmä säännöstö joka sallii tyypillisesti vain porttiin 80 ja 443 tulevan liikenteen. Molempiin konesaleihin on provisioitu vastaavat web palvelimet. Tässä esimerkissä toisessa konesalissa on useampi web-palvelin kun toisessa. Mahdollisessa vika-tilanteessa voitaisiin toiselle saatavuusalueelle provisioida lisää web-palvelimia toiselle saatavuusalueelle. Samalla verkkotasolla web-palvelimen kanssa on myös mahdolliset bastion palvelimet, joita voidaan hyödyntää esimerkiksi valvonta datan keräämiseen ympäristöstä sekä hyppypalvelimena esimerkiksi SSH/RDP etäyhteyksissä tai tiedostoten siirrossa. Näihin palvelimiin tyypillisesti tehdään oma säännöstö joka sallii vain hyväksytyistä osoitteista tulevan liikenteen. Viimeisenä kerroksena on tietokantapalvelin, joka esimerkissä on klusterissa kahden saatavuusalueen välillä ja saatavuusalueiden välissä on tietokantapalvelimia varten sisäverkko, jonka kautta palvelimet replikoivat tietokannan. Tietokantapalvelimiin kohdistuu oma Turvaryhmä säännöstö, joka sallii vain web-palvelimelta tulevat kyselyt. Palvelimeen on liitetty LTK levypinta, joka mahdollistaa joustavan levytilan kasvattamisen sekä vaihtoehtoja suorituskyky tarpeen mukaan. 4. Toimistosovellukset Nebula Pilvessä Yritysten toimistoverkon sovellukset kuten tiedostopalvelut, tietokannat tai intra on käytössä yleensä ainoastaan sisäverkon kautta. 4.1. Kuvaus Nebula Pilviyhteys mahdollistaa Nebulan Pilven käyttämisen, kuin se olisi omassa konesalissa. Yritysten toimistoverkon sovellukset kuten tiedostopalvelut, tietokannat tai intra on käytössä yleensä ainoastaan sisäverkon kautta. Nebula Pilven saa yhdistettyä asiakkaan toimistoverkkoon Nebula Pilviyhteys palvelulla. Pilviyhteys on symmetrinen valokuituyhteys asiakkaan toimipisteen ja Nebula Pilven välillä. Kuvatussa ratkaisussa asiakkaan Pilveen kuljetetaan erillisenä verkkona asiakkaan sisäverkko. Tämä mahdollistaa että liikenne asiakkaan toimipisteen sekä Nebula Pilven välillä kuljetaan turvallisesti IP-VPN tunnelissa. Asiakkaan palvelimet voidaan laittaa joko sisäverkon palvelimiksi, jolloin näihin saadaan yhteystoimistolta ilman esimeriksi erillistä palomuuria välissä ja toimistoverkon palveluita voidaan käyttää, kuin ne olisivat toimistolla. Vaihtoehtoisesti ne voidaan sijoittaa DMZ verkkoon tuottamaan palveluita Internettiin. Palvelut voidaan tarpeen mukaan hajauttaa kahdelle saatavuusalueelle. Esimerkiksi aktiivihakemistopalvelin, joka yleensä on kahdennettu, voidaan ilman ylimääräisiä kustannuksia hajauttaa maantieteellisesti. Tarpeen mukaan asiakkaan kaikki Internet liikenne voidaan ohjata kiertämään myös asiakkaan toimiston kautta, jolloin voidaan hyödyntää mahdollisia olemassa olevia Internet solmupisteitä.
Sivu 7/8 4.2.
Sivu 8/8 5. Liittyminen muihin palveluihin Nebulan konesaleissa Tämä skenaario liittyy tilanteisiin, jolloin asiakkaalla on tarve kytkeä Nebula Pilvi toimimaan yhdessä muiden Nebulan konesalissa olevien palveluiden kanssa. 5.1. 5.2. Kuvaus Tässä mallissa asiakkaan käyttöön otetaan Pilviverkko palvelu. Pilviverkko palvelu yhdistää esimerkiksi asiakkaan fyysiset palvelimet Nebula palveluun. Pilviverkko palvelu mahdollistaa suoran yhteyden Nebula Pilven ja asiakkaan palvelun välillä ilman että liikenne kiertää Internetin kautta. Usein Nebula Pilviverkon yhteydessä otetaan käyttöön myös PM4 tai PM5 palomuuri palvelu, joka tarjoaa helpon ja turvallisen Internet yhteyden asiakkaan perinteisille ympäristöille. Mikäli PM4 tai PM5 palvelu on käytössä yleensä ei ole tarvetta käyttää Nebula Pilven omaa Internet yhteyttä Nebula Pilvessä oleville palvelimille. On selkeämpää että kaikki ulospäin menevä liikenne menee saman Internet pisteen kautta.