Huawei Cloud VPC, Subnetze, NAT und Security Groups auf STACKIT

Das NAT Gateway und seine EIP, bewertet

Links die Eingabe, für diese Seite geschrieben. Rechts ein Auszug aus assessment.json für das NAT Gateway, die Werte im Wortlaut. Das NAT Gateway ist die einzige Einheit der Umgebung, die der Lauf nicht abbildet.

resource "huaweicloud_nat_gateway" "egress" {
  name        = "billing-egress"
  spec        = "2"
  vpc_id      = huaweicloud_vpc.main.id
  subnet_id   = huaweicloud_vpc_subnet.data.id
  description = "Outbound internet for the data tier"
}

resource "huaweicloud_vpc_eip" "gateway" {
  publicip {
    type = "5_bgp"
  }
  bandwidth {
    share_type  = "PER"
    name        = "billing-egress"
    size        = 20
    charge_mode = "traffic"
  }
}

{
  "id": "huaweicloud_nat_gateway.egress",
  "result": {
    "class": "MANUAL_REVIEW",
    "confidence": "LOW",
    "reason": "NAT gateway rules do not carry over one to one. Whether the egress and any published port need a STACKIT network with a public address, or a NAT appliance on a server, is an architect's decision."
  }
}

• MANUAL_REVIEW, Konfidenz LOW

  Der Lauf hält fest, dass sich NAT-Gateway-Regeln nicht eins zu eins übertragen lassen, und nennt zwei Kandidaten: ein STACKIT-Netzwerk mit öffentlicher Adresse oder eine NAT-Appliance auf einem Server.

• Die EIP wird abgebildet

  Die EIP-Einheit ist als RECONFIGURE mit dem Ziel STACKIT Public IP eingestuft. Der Lauf hält fest, dass sich die Adresse selbst ändert, sodass sich DNS-Einträge und Freigabelisten, die sie nennen, ebenfalls ändern müssen. Die Bandbreiten-Einstellungen (Größe 20, Abrechnung nach Traffic) werden für Ihr Team aufgelistet, nicht übertragen.

• Fünf Einstellungen sind aufgelistet

  description, name, spec, subnet_id und vpc_id des NAT Gateways werden als offene Einstellungen aufgelistet; so fällt nichts stillschweigend weg.

So wird die Netzwerkumgebung zugeordnet

Aus den 11 Ressourcen der Demo wurden 8 Einheiten: Die drei Security-Group-Regeln liegen in ihren zwei Gruppen-Einheiten. Der Lauf fand keine Einheit mit Konfidenz HIGH, weil der Provider nicht durch eine Lock-Datei festgelegt war.

Wo sich Huawei Cloud und STACKIT unterscheiden

Die Huawei-Spalte stammt aus der Huawei-Hilfeseite zu Security Groups und, für das NAT Gateway, aus der Huawei-Seite zu SNAT-Regeln; VPC-CIDR und EIP-Bandbreite stammen aus der Demo-Eingabe. Die STACKIT-Spalte stammt aus den Konzeptseiten unter den Quellen.

Security-Group-Regeln: was der Lauf sagt und was er offenlässt

Die Gruppe der Datenschicht hat zwei Regeln: PostgreSQL von der Web-Gruppe und SSH aus dem Adressbereich eines Büros. Der Lauf führt beide in der Gruppen-Einheit, stuft sie mit LOW ein und warnt gesondert, dass die Regel-Ressourcen selbst katalogisiert, aber nicht zugeordnet sind. Rechts Klasse, Ziel und Begründung der Einheit aus assessment.json.

resource "huaweicloud_networking_secgroup" "data" {
  name        = "billing-data"
  description = "Data tier"
}

resource "huaweicloud_networking_secgroup_rule" "data_from_web" {
  security_group_id = huaweicloud_networking_secgroup.data.id
  direction         = "ingress"
  ethertype         = "IPv4"
  protocol          = "tcp"
  ports             = "5432"
  remote_group_id   = huaweicloud_networking_secgroup.web.id
}

resource "huaweicloud_networking_secgroup_rule" "data_ssh_office" {
  security_group_id = huaweicloud_networking_secgroup.data.id
  direction         = "ingress"
  ethertype         = "IPv4"
  protocol          = "tcp"
  ports             = "22"
  remote_ip_prefix  = "198.51.100.0/24"
}

{
  "id": "huaweicloud_networking_secgroup.data",
  "result": {
    "class": "RECONFIGURE",
    "confidence": "LOW",
    "target": {
      "service": "STACKIT security groups"
    },
    "reason": "A security group becomes a STACKIT security group. STACKIT rules only allow traffic, so a deny rule or a priority order of the source needs a decision."
  }
}

• LOW ist hier der ehrliche Wert

  Die Gruppe ist zugeordnet; die Regeln sind katalogisiert, aber nicht zugeordnet. Ports, Protokoll, Richtung, remote_group_id und remote_ip_prefix werden als offene Einstellungen aufgelistet.

• Gruppenverweis bleibt Gruppenverweis

  Die PostgreSQL-Regel nennt die Web-Gruppe als Quelle. Auch bei STACKIT kann eine Security-Group-Regel statt eines IP-Bereichs eine entfernte Security Group als Gegenstelle nennen (remote_security_group_id im STACKIT-Terraform-Provider); die Web-Gruppe muss also zuerst existieren. Der Lauf ordnet es so: Die Daten-Gruppe hängt von der Web-Gruppe ab.

• Jede Quell-CIDR prüfen

  Die SSH-Regel lässt den Adressbereich eines Büros zu. Entscheiden Sie auf STACKIT, ob dieser Weg bleibt oder die Administration hinter einen Bastion Host oder in die Network Area verlagert wird.

Die vom Lauf vorgeschlagene Reihenfolge

Die drei Wellen ergeben sich aus den Abhängigkeiten. Einheiten einer Welle können parallel umziehen; der Plan ist ein Ausgangspunkt für Ihre Wellenplanung, kein Terminplan.

1. 01

   Welle 1: VPC, Web-Security-Group, EIP

   Die drei Einheiten ohne Abhängigkeit. Die manuelle Arbeit der Umgebung bündelt der Lauf in vier Pakete: Fundament (VPC, beide Subnetze, NAT Gateway), Sicherheit (beide Gruppen) und die EIP liegen beim Network Architect, das Server-Paket beim Platform Architect.

2. 02

   Welle 2: beide Subnetze und die Daten-Security-Group

   Die Subnetze warten auf die VPC; die Daten-Gruppe wartet auf die Web-Gruppe, auf die sie verweist.

3. 03

   Welle 3: Server und NAT Gateway

   Die ECS-Instanz wartet auf Subnetz und Gruppe. Das NAT Gateway wartet auf VPC und Daten-Subnetz und trägt die offene Entscheidung.

4. 04

   Cutover

   Der Lauf hält fest, dass er in dieser Umgebung kein DNS-Record-Set und keine Adress-Neubindung gefunden hat. Das heißt nicht, dass nichts umzustellen ist: Namen und Adressen außerhalb des gelesenen Terraform sieht er nicht.

Die Reihenfolge, wie der Lauf sie schreibt

Die Wellen dieser Umgebung, wörtlich aus dem Migrationsplan des Laufs.

## Wave 1 — 3 unit(s)

| Unit | Class | Target |
|---|---|---|
| `huaweicloud_networking_secgroup.web` | RECONFIGURE / LOW | STACKIT security groups |
| `huaweicloud_vpc.main` | RECONFIGURE / MEDIUM | STACKIT network |
| `huaweicloud_vpc_eip.gateway` | RECONFIGURE / MEDIUM | STACKIT public IP |

## Wave 2 — 3 unit(s)

| Unit | Class | Target |
|---|---|---|
| `huaweicloud_networking_secgroup.data` | RECONFIGURE / LOW | STACKIT security groups |
| `huaweicloud_vpc_subnet.data` | RECONFIGURE / MEDIUM | STACKIT network |
| `huaweicloud_vpc_subnet.web` | RECONFIGURE / MEDIUM | STACKIT network |

## Wave 3 — 2 unit(s)

| Unit | Class | Target |
|---|---|---|
| `huaweicloud_compute_instance.web` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |
| `huaweicloud_nat_gateway.egress` | MANUAL_REVIEW / LOW | — |

## Cutover (decision support — performed by the customer)

No cutover facts: the scan and the draft established no DNS record set whose value the draft re-binds to a generated address, no public address re-binding, no DNS record unit, no certificate unit and no open cutover decision. That is not a statement that nothing has to be cut over: a name, an address or a certificate outside the scanned source is not seen, and a unit that exists only if OpenTofu decides so at plan time is not read here. StackToIT performs no cutover and gives no time estimate.

Fragen von Netzwerkteams

Quellen

• STACKIT-Dokumentation: Security Groups, Konzepte
• STACKIT-Dokumentation: Virtual Networks, Konzepte
• STACKIT-Dokumentation: Network Area, Konzepte
• STACKIT-Dokumentation: Public-IP-Adressen, Konzepte
• Huawei Cloud Help Center: Security Groups
• STACKIT-Terraform-Provider 0.121.0: Security-Group-Regel
• Huawei Cloud NAT Gateway: SNAT-Regel zum Teilen einer EIP