Huawei Cloud VPC, subnets, NAT en security groups op STACKIT

De NAT-gateway en het EIP, beoordeeld

Links de invoer, voor deze pagina geschreven. Rechts een fragment van assessment.json voor de NAT-gateway, met de waarden precies zoals de run ze schreef. De NAT-gateway is de enige eenheid in de omgeving die de run niet koppelt.

resource "huaweicloud_nat_gateway" "egress" {
  name        = "billing-egress"
  spec        = "2"
  vpc_id      = huaweicloud_vpc.main.id
  subnet_id   = huaweicloud_vpc_subnet.data.id
  description = "Outbound internet for the data tier"
}

resource "huaweicloud_vpc_eip" "gateway" {
  publicip {
    type = "5_bgp"
  }
  bandwidth {
    share_type  = "PER"
    name        = "billing-egress"
    size        = 20
    charge_mode = "traffic"
  }
}

{
  "id": "huaweicloud_nat_gateway.egress",
  "result": {
    "class": "MANUAL_REVIEW",
    "confidence": "LOW",
    "reason": "NAT gateway rules do not carry over one to one. Whether the egress and any published port need a STACKIT network with a public address, or a NAT appliance on a server, is an architect's decision."
  }
}

• MANUAL_REVIEW, zekerheidsniveau LOW

  De run geeft aan dat regels van de NAT-gateway niet één-op-één worden overgenomen en noemt de twee kandidaatontwerpen: een STACKIT-netwerk met een publiek adres of een NAT-appliance op een server.

• De EIP wordt gekoppeld

  De EIP-eenheid is geclassificeerd als RECONFIGURE met STACKIT public IP als doel. De run geeft aan dat het adres zelf verandert, dus DNS-records en allowlists waarin het staat, moeten mee veranderen. De bandbreedte-instellingen (size 20, traffic charge mode) staan op de lijst voor uw team en worden niet overgenomen.

• Vijf instellingen op de lijst

  description, name, spec, subnet_id en vpc_id van de NAT-gateway staan als instellingen die aan u zijn overgelaten, zodat er niets stilzwijgend wegvalt.

Zo wordt de netwerkomgeving gekoppeld

De 11 resources van de demo werden 8 eenheden: de drie regels van security groups zitten in hun twee eenheden voor security groups. De run vond geen eenheid met zekerheidsniveau HIGH, omdat de provider niet met een lockbestand was vastgezet.

Waar Huawei Cloud en STACKIT zich verschillend gedragen

Huawei-kolom uit de hulppagina van Huawei Cloud over security groups en, voor de NAT-gateway, de pagina van Huawei NAT Gateway over SNAT-regels; de VPC-CIDR en de EIP-bandbreedte komen uit de demo-invoer. STACKIT-kolom uit de conceptenpagina's van STACKIT die onder de bronnen staan.

Regels van security groups: wat de run zegt en wat de run overlaat

De groep voor de datalaag heeft twee regels: PostgreSQL vanaf de webgroep en SSH vanaf een kantoorbereik. De run houdt beide binnen de groepseenheid, beoordeelt de groep met zekerheidsniveau LOW en waarschuwt apart dat de regelresources zelf zijn gecatalogiseerd maar niet gekoppeld. Rechts staan klasse, doel en reden van de eenheid uit assessment.json.

resource "huaweicloud_networking_secgroup" "data" {
  name        = "billing-data"
  description = "Data tier"
}

resource "huaweicloud_networking_secgroup_rule" "data_from_web" {
  security_group_id = huaweicloud_networking_secgroup.data.id
  direction         = "ingress"
  ethertype         = "IPv4"
  protocol          = "tcp"
  ports             = "5432"
  remote_group_id   = huaweicloud_networking_secgroup.web.id
}

resource "huaweicloud_networking_secgroup_rule" "data_ssh_office" {
  security_group_id = huaweicloud_networking_secgroup.data.id
  direction         = "ingress"
  ethertype         = "IPv4"
  protocol          = "tcp"
  ports             = "22"
  remote_ip_prefix  = "198.51.100.0/24"
}

{
  "id": "huaweicloud_networking_secgroup.data",
  "result": {
    "class": "RECONFIGURE",
    "confidence": "LOW",
    "target": {
      "service": "STACKIT security groups"
    },
    "reason": "A security group becomes a STACKIT security group. STACKIT rules only allow traffic, so a deny rule or a priority order of the source needs a decision."
  }
}

• Zekerheidsniveau LOW is de eerlijke waarde

  De groep is gekoppeld, de regels zijn gecatalogiseerd maar niet gekoppeld. Poorten, protocol, richting, remote_group_id en remote_ip_prefix staan als instellingen die aan u zijn overgelaten.

• Een groepsverwijzing blijft een groepsverwijzing

  De PostgreSQL-regel noemt de webgroep als bron. Op STACKIT kan een security group rule verwijzen naar een remote security group in plaats van naar een IP-bereik (remote_security_group_id in de STACKIT-Terraform-provider), dus de webgroep moet eerst bestaan. De run ordent het zo: de datagroep hangt af van de webgroep.

• Beoordeel elke bron-CIDR

  De SSH-regel staat een kantoorbereik toe. Beslis op STACKIT of dat pad blijft bestaan of dat het beheer achter een bastion of de Network Area gaat.

De volgorde die de run voorstelt

De drie golven worden berekend uit afhankelijkheden. Eenheden in één golf kunnen parallel overgaan; het plan is een uitgangspunt voor uw golfplanning, geen schema.

1. 01

   Golf 1: VPC, webbeveiligingsgroep, EIP

   De drie eenheden zonder afhankelijkheid. De run groepeert het handmatige werk van de omgeving in vier pakketten: fundament (VPC, beide subnets, NAT-gateway), beveiliging (beide groepen) en de EIP gaan naar de Network Architect, het serverpakket naar de Platform Architect.

2. 02

   Golf 2: beide subnets en de data-beveiligingsgroep

   De subnets wachten op de VPC, de datagroep wacht op de webgroep waarnaar die verwijst.

3. 03

   Golf 3: de server en de NAT-gateway

   De ECS-instance wacht op zijn subnet en groep. De NAT-gateway wacht op de VPC en het datasubnet en draagt de open beslissing.

4. 04

   Cutover

   De run meldt dat in deze omgeving geen DNS-recordset of adreskoppeling is gevonden. Dat betekent niet dat er niets hoeft over te schakelen: namen en adressen buiten de gescande Terraform worden niet gezien.

De volgorde zoals de run die schreef

De golven van deze omgeving, letterlijk uit het migratieplan van de run.

## Wave 1 — 3 unit(s)

| Unit | Class | Target |
|---|---|---|
| `huaweicloud_networking_secgroup.web` | RECONFIGURE / LOW | STACKIT security groups |
| `huaweicloud_vpc.main` | RECONFIGURE / MEDIUM | STACKIT network |
| `huaweicloud_vpc_eip.gateway` | RECONFIGURE / MEDIUM | STACKIT public IP |

## Wave 2 — 3 unit(s)

| Unit | Class | Target |
|---|---|---|
| `huaweicloud_networking_secgroup.data` | RECONFIGURE / LOW | STACKIT security groups |
| `huaweicloud_vpc_subnet.data` | RECONFIGURE / MEDIUM | STACKIT network |
| `huaweicloud_vpc_subnet.web` | RECONFIGURE / MEDIUM | STACKIT network |

## Wave 3 — 2 unit(s)

| Unit | Class | Target |
|---|---|---|
| `huaweicloud_compute_instance.web` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |
| `huaweicloud_nat_gateway.egress` | MANUAL_REVIEW / LOW | — |

## Cutover (decision support — performed by the customer)

No cutover facts: the scan and the draft established no DNS record set whose value the draft re-binds to a generated address, no public address re-binding, no DNS record unit, no certificate unit and no open cutover decision. That is not a statement that nothing has to be cut over: a name, an address or a certificate outside the scanned source is not seen, and a unit that exists only if OpenTofu decides so at plan time is not read here. StackToIT performs no cutover and gives no time estimate.

Vragen van netwerkteams

Bronnen

• STACKIT-documentatie: security groups, concepten
• STACKIT-documentatie: virtuele netwerken, concepten
• STACKIT-documentatie: Network Area, concepten
• STACKIT-documentatie: publieke IP-adressen, concepten
• Huawei Cloud Help Center: security groups
• STACKIT Terraform-provider 0.121.0: security group rule
• Huawei Cloud NAT Gateway: SNAT rule to share an EIP