Publikation von Christoph Puppe
Multi-Cloud: Cloud-Dienste effizient, sicher und zuverlässig vernetzen
Wer Multi-Cloud nutzt, kommt um die Vernetzung zwischen den Clouds nicht herum, und die Netzarchitektur entscheidet über Performance, Sicherheit und Kosten. Der OnRamp heißt bei jedem Anbieter anders: Azure ExpressRoute, AWS Direct Connect, GCP Cloud Interconnect; Carrier wie Equinix, MegaPort oder PacketFabric betreiben eigene Zugänge. Der entscheidende Unterschied liegt in der Abrechnung: SDCI- und NaaS-Anbieter berechnen Egress nach Bandbreite als monatliches Fixum, die Hyperscaler nach Volumen; bei GCP kostet ein Gigabyte zwischen Kontinenten bereits 0,08 US-Dollar. Die Alternative sind IPsec-Meshes mit virtuellen Routern in den VPCs, selbst gebaut oder kommerziell wie Aviatrix, das die Durchsatzgrenzen der CSP umgeht, dafür aber Service-Accounts mit teils weitreichenden Rechten braucht. Bei der Bandbreitenplanung stecken die Fallen im Detail: Azure ExpressRoute schafft bis zu 100 GBit/s, die größte VM aber nur 40 GBit/s; bei AWS liefert Direct Connect maximal 10 GBit/s, während die schnellste Instanz 100 GBit/s beherrscht; und die IPsec-Gateways der CSP sind auf 1,25 GBit/s limitiert. Öffentlich erreichbar sein dürfen nur die Dienste, die das unbedingt benötigen, alles andere gehört in VPCs und vNETs hinter Firewalls. Das Fazit mahnt zur Vorsicht bei der Physik: Die OnRamps sind wie früher MPLS erst einmal unverschlüsselt, weshalb über den physischen Verbindungen ein IPsec-Overlay liegen sollte.
heise online · iX 2/2022 · PDF · Permalink