Netzwerk-API-Konzepte

Ein virtuelles Netzwerk erreicht einen Server als VLAN auf einem seiner Segmente. IP-Blöcke liegen in einem Netzwerk und enthalten die Servern zugewiesenen Adressen mit Reverse DNS. Netzwerke liegen unter /v1/networking/virtual-networks, Blöcke unter /v1/networking/ip-blocks.

Eine Konsolenanleitung zum Teilen eines Blocks zwischen Servern bietet Öffentliche IP-Blöcke.

Virtuelle Netzwerke

Der type eines Netzwerks ist PUBLIC oder PRIVATE:

• Ein öffentliches Netzwerk enthält IP-Blöcke, deren Adressen über das gateway des jeweiligen Blocks ins Internet gelangen.
• Ein privates Netzwerk überträgt Daten nur zwischen Ihren eigenen Servern, ohne Subnetz oder Gateway von uns.

managedBy nennt den Ersteller: CUSTOMER für selbst erstellte Netzwerke, SYSTEM für von der Plattform eingerichtete Internetzugangsnetze. Virtuelle Netzwerke auflisten lässt Systemnetzwerke ohne includeManaged=true weg; type beschränkt auf eine Art. Virtuelles Netzwerk abrufen liefert ein Netzwerk mit seinen ipBlocks. Virtuelles Netzwerk aktualisieren ändert nur name und lehnt Systemnetzwerke mit 422 NETWORK_RENAME_BLOCKED ab.

Ein neuer Server erhält ein eigenes, von anderen Servern isoliertes Internetzugangsnetz namens "Internet Access". Es ist das native Netzwerk seines ersten Segments und enthält seinen IPv4-Block von /30 oder größer und sein IPv6-/120. Ein mit ipv4PrefixLength und ipv6PrefixLength jeweils null bestellter Server (Abrechnung) erhält gar kein Netzwerk; Sie verbinden ihn mit eigenen Netzwerken. Die Plattform löscht ein Internetzugangsnetz, sobald es keinen IP-Block und keinen verbundenen Server mehr enthält.

Ein privates Netzwerk verbindet Server in einem Rechenzentrum; das Netzwerk selbst nennt kein Rechenzentrum. Die Erweiterung zwischen unseren Rechenzentren, sodass Server verschiedener Metropolregionen im selben Layer-2-Netzwerk liegen, ist demnächst verfügbar. Private Netzwerke übertragen Jumbo-Frames; die private Hostschnittstelle wird auf MTU 9000 gesetzt. Auch Frames mit eigenen 802.1Q-VLAN-Tags durchqueren das Netzwerk, sodass Sie es in selbst definierte VLANs unterteilen können.

In einem privaten Netzwerk ist nichts verschlüsselt. Erforderliche Verschlüsselung stellen Sie selbst mit TLS, WireGuard oder IPsec bereit.

VLAN-IDs

Jedes selbst erstellte Netzwerk hat eine organisationsweit eindeutige localVlanId zwischen 11 und 4094: den VLAN-Tag auf den Serverports. Tags 2 bis 10 sind für die Plattform reserviert. Ein Internetzugangsnetz hat keine VLAN-ID (localVlanId ist null) und belegt daher keine Ihrer IDs. VLAN-Verfügbarkeit abrufen liefert belegte Tags als usedVlanIds und den nächsten freien als nextFreeVlanId, der bei vollständiger Belegung null ist. Es wird nichts reserviert; bei der Erstellung kann der Tag inzwischen belegt sein.

Ein mit einem Server verbundenes Netzwerk zeigt auch eine provisioningVlanId: den Tag, mit dem es während Netzwerkstart oder Vorgang ankommt, wenn die Serverports in unserem Bereitstellungsnetz liegen. Dies ist die eigene localVlanId oder bei Netzwerken ohne solche ID die 10. Eigene iPXE-Skripte beschreibt die Portänderungen in diesem Modus.

Server verbinden

Ein Server verbindet sich über ein Segment mit einem Netzwerk: einen Port oder zwei gebündelte Ports, die der Host als eine Schnittstelle sieht. Die Segment-ID heißt überall segmentId: in Netzwerkfähigkeiten abrufen, in den interfaces des Dienstes, der Antwort von Segment erstellen, den Netzwerklisten und jedem Verbindungs- und Adressaufruf.

Dienst verbinden akzeptiert serviceId, segmentId und isNative:

Ein Segment führt ein natives und mehrere getaggte Netzwerke; ein Server kann daher gleichzeitig sein Internetzugangsnetz und zwei private Netzwerke nutzen. Ein zweites natives Netzwerk auf einem Segment wird mit 409 NATIVE_NETWORK_ALREADY_EXISTS abgelehnt. Ein Netzwerk ohne VLAN-ID kann nur nativ verbunden werden.

Die Änderung erreicht die Switches nach der API-Antwort; deshalb liefert eine Verbindung 202 Accepted oder 204, wenn dieses Netzwerk auf diesem Segment bereits verbunden ist. Während der Umsetzung zeigt Dienststatus abrufen networkChange.status APPLYING. Die Verbindung selbst durchläuft in Virtuelle Dienstnetzwerke auflisten und Verbundene Dienste auflisten des Netzwerks ATTACHING zu ATTACHED oder ATTACH_FAILED. Dienst trennen folgt demselben Muster mit DETACHING und DETACH_FAILED. Virtuelle Netzwerke einrichten führt durch die Aufrufe.

Ein Server kann auch ganz ohne öffentliches Netzwerk laufen und ausschließlich privat erreichbar sein. So kann er nicht neu installiert werden: Eine Bereitstellung benötigt eine primäre IPv4-Adresse auf einem nativen Netzwerk und wird sonst mit 422 PRIMARY_IPV4_REQUIRED abgelehnt. Ein NAT-Gateway gibt es ebenfalls nicht. Öffentliches Netzwerk eines Servers entfernen behandelt beides.

Adressen

Adressen liegen in IP-Blöcken. Ein Block ist ein Bereich in einem Netzwerk und Rechenzentrum, IPv4 oder IPv6 (ipVersion V4 oder V6). Er gibt den Bereich als cidr sowie gateway, subnetMask und prefixLength an. IP-Blöcke auflisten liefert alle Blöcke Ihrer Netzwerke mit der Anzahl belegter und freier Adressen. IP-Block abrufen ergänzt die Adressen selbst mit einem von vier Zuständen: FREE, RESERVED, GATEWAY oder ASSIGNED. Das Gateway ist die erste nutzbare Adresse des Blocks und wird nie vergeben.

Eine Adresse verlässt den freien Pool auf zwei Arten. Reservieren hält sie zurück, ohne sie an einen Server zu binden. Zuweisen bindet sie an einen mit dem Blocknetz verbundenen Server auf dessen Verbindungssegment. Eine reservierte Adresse muss vor der Zuweisung freigegeben werden. Beide Familien verwenden dieselben Aufrufe mit Block-ID und Adresse im Pfad; sie stehen unter IP-Adressen verwalten.

Reverse DNS wird nur für IPv4 gesetzt und zuvor vorwärts geprüft: Der gesetzte Name muss bereits über einen A-Eintrag auf die betreffende Adresse auflösen. Ein Name ohne diesen Eintrag wird mit 422 RDNS_A_RECORD_NOT_FOUND, ein anderswohin zeigender mit 422 RDNS_A_RECORD_MISMATCH abgelehnt.

IP-Blöcke

Ein IP-Block erweitert den Adressraum eines öffentlichen Netzwerks. IP-Block-Tarife auflisten enthält einen Tarif pro Größe mit Preis für jeden Abrechnungszyklus und Bestand je Rechenzentrum; übergeben Sie datacenter für einen Standort. Zwei Aufrufe fügen einen Block hinzu:

• Bei Laufzeiten ist er ein IP_BLOCK-Posten von Bestellung erstellen, der nach Bezahlung der Bestellrechnung zum Netzwerk hinzugefügt wird (Abrechnung).
• Bei stündlicher Abrechnung fügt IP-Block erstellen ihn innerhalb der Anfrage hinzu und antwortet mit 201 und dem Block. Dafür muss die stündliche Abrechnung der Organisation aktiviert sein.

Beide akzeptieren die Tarif-ID als plan, datacenter als Code wie ams1 oder ID und die networkId des Zielnetzwerks.

IP-Block löschen kündigt das Abonnement eines eigenständig bestellten Blocks und gibt ihn sofort frei, sofern keine Adresse einem Server zugewiesen ist. Mit einem Server gelieferte Blöcke werden über dessen Abonnement abgerechnet: Ihr Löschen wird mit 422 BUNDLED_ITEM_CANCELLATION_BLOCKED abgelehnt; sie werden nach dem Löschen des Servers freigegeben.

Sicherheitsscans

Unser eigener Scanner läuft produktiv gegen die Adressen in AS55285, einschließlich Ihrer; die API meldet seine Befunde. Sicherheitsübersicht abrufen liefert den Scanner-status (lastScan, nextScan, isScanRunning) und eine summary der Befunde nach Schweregrad; data bleibt bis zum Abschluss des ersten Scans null. Sicherheitsbefunde auflisten listet Befunde mit Filtern für severity, plugin, ip und serviceId; Scanziele auflisten liefert die Anzahlen je Adresse. Ziel erneut scannen scannt eine im Pfad genannte Adresse erneut und antwortet mit deren neuer Zusammenfassung. Sicherheitsscan abrufen liefert einen Bericht pro dem Server zugewiesener Adresse mit offenen Ports und Befunden.

Sicherheitsscans beschreibt Konsolenablauf, Befundinterpretation und erneute Scans.