Van vSwitches en VLAN's naar STACKIT-netwerksegmenten

Vier manieren om de segmentatie over te brengen

Opties kunt u combineren, bijvoorbeeld een firewall-appliance voor de DMZ met optie A erachter. Uitspraken over netwerken, routering, security groups en de network area volgen de STACKIT Core Networking-documentatie onder de bronnen.

Wat de engine uitwerkt: een netwerk per port group

Een export van tien machines, voor deze pagina geschreven en op 4 november 2026 door StackToIT beoordeeld. Links: de prefixvariabele die het concept voor het DMZ-netwerk declareert. Rechts: de beslissing die voor die port group in assessment.json is vastgelegd.

variable "network_PG_DMZ_ipv4_prefix" {
  type        = string
  description = "IPv4 prefix (CIDR) for the network replacing port group PG-DMZ. Addresses seen on it: 198.51.100.10, 198.51.100.11."
}

{
  "id": "network.PG-DMZ",
  "result": {
    "class": "RECONFIGURE",
    "confidence": "MEDIUM",
    "target": {
      "service": "STACKIT network"
    },
    "reason": "A port group becomes a STACKIT network. VLAN IDs and virtual switches have no meaning on STACKIT; the IP prefix has to be set explicitly (RVTools does not export subnet masks) and kept if the VMs keep their addresses."
  }
}

• Optie A is het standaardconcept

  Alle 8 port groups van de omgeving krijgen de klasse RECONFIGURE en worden 8 netwerken in golf 1. De 10 machines volgen in golf 2.

• Het prefix is aan u

  RVTools exporteert geen subnetmasker. De variabele noemt alleen de adressen die op de port group zijn gezien, hier de twee DMZ-adressen van lb01 en fw-dmz01.

• VLAN-ID's en switches eindigen hier

  De toelichting van de run zegt het ronduit: VLAN-ID's en virtuele switches hebben op STACKIT geen betekenis. De bedoeling van de segmentatie moet van u komen.

Dezelfde naam op twee switches

Uit dezelfde run. Links: de vNetwork-rijen van de port group PG-Mgmt, die op vSwitch0 en op vSwitch2 bestaat. Rechts: de twee netwerken die het concept daarvoor schreef.

VM,NIC label,Adapter,Network,Switch,Connected,IPv4 Address,VM UUID
fw-dmz01,Network adapter 3,Vmxnet3,PG-Mgmt,vSwitch0,True,10.60.99.5,6002-cccc-0001
bkp01,Network adapter 2,Vmxnet3,PG-Mgmt,vSwitch0,True,10.60.99.10,6002-cccc-0008
jump01,Network adapter 1,Vmxnet3,PG-Mgmt,vSwitch0,True,10.60.99.20,6002-cccc-0009
jump02,Network adapter 1,Vmxnet3,PG-Mgmt,vSwitch2,True,10.61.99.20,6002-cccc-0010

resource "stackit_network" "network_PG_Mgmt_45abe3c6" {
  project_id       = var.project_id
  name             = "pg-mgmt-45abe3c6"
  ipv4_prefix      = var.network_PG_Mgmt_45abe3c6_ipv4_prefix
  ipv4_nameservers = var.network_PG_Mgmt_45abe3c6_ipv4_nameservers
}

resource "stackit_network" "network_PG_Mgmt_8e1ad156" {
  project_id       = var.project_id
  name             = "pg-mgmt-8e1ad156"
  ipv4_prefix      = var.network_PG_Mgmt_8e1ad156_ipv4_prefix
  ipv4_nameservers = var.network_PG_Mgmt_8e1ad156_ipv4_nameservers
}

• Twee netwerken, niet één

  De engine behandelt de twee PG-Mgmt-port groups als afzonderlijke eenheden. De netwerknamen worden uniek gemaakt met een achtervoegsel dat is afgeleid van het adres van elke port group in de bron, zoals het commentaar boven elk blok vermeldt.

• De koppeling laat het concept aan u over

  In deze run leest elke interface op die naam, voor fw-dmz01, bkp01, jump01 en jump02, zijn netwerk-ID uit een variabele in plaats van naar een van beide netwerken te verwijzen. U geeft aan bij welk van de twee netwerken de interface hoort.

• Waarom dit voor het ontwerp telt

  Dubbele namen wijzen vaak op twee locaties of twee clusters. Dat is een kans om te beslissen of het één netwerk, twee netwerken of twee projecten worden.

Een multi-homed firewall-VM

Uit dezelfde run. Links: de drie adapters van fw-dmz01. Rechts: de drie netwerkinterfaces die daarvoor zijn uitgewerkt.

VM,NIC label,Adapter,Network,Switch,Connected,IPv4 Address,VM UUID
fw-dmz01,Network adapter 1,Vmxnet3,PG-DMZ,dvs-dmz,True,198.51.100.10,6002-cccc-0001
fw-dmz01,Network adapter 2,Vmxnet3,PG-Web,dvs-prod,True,10.60.10.1,6002-cccc-0001
fw-dmz01,Network adapter 3,Vmxnet3,PG-Mgmt,vSwitch0,True,10.60.99.5,6002-cccc-0001

resource "stackit_network_interface" "vm_fw_dmz01_nic1" {
  project_id = var.project_id
  network_id = stackit_network.network_PG_DMZ.network_id
  ipv4       = "198.51.100.10"
}

resource "stackit_network_interface" "vm_fw_dmz01_nic2" {
  project_id = var.project_id
  network_id = stackit_network.network_PG_Web.network_id
  ipv4       = "10.60.10.1"
}

resource "stackit_network_interface" "vm_fw_dmz01_nic3" {
  project_id = var.project_id
  network_id = var.vm_fw_dmz01_nic3_network_id
  ipv4       = "10.60.99.5"
}

• Eén interface per adapter

  Drie adapters geven drie interfaces, elk met het adres uit de export. Drie valt binnen de limiet van vijf interfaces per server die de STACKIT-documentatie noemt.

• Openbaar ogende adressen vergen een beslissing

  Op STACKIT wordt een floating IP via NAT gekoppeld aan het privéadres en is die niet zichtbaar binnen het besturingssysteem. Een gastsysteem dat een publiek adres op zijn eigen adapter draagt, kan dat niet zomaar behouden.

• Geen security groups in het concept

  De vier Terraform-bestanden van de run bevatten geen security group. Welke stromen de firewallaansluiting toestond, is ontwerpwerk voor u.

Waar het VMware-beeld en het STACKIT-beeld verschillen

De demo gebruikt de documentatie-adresbereiken 198.51.100.0/24 en 192.0.2.0/24 in plaats van openbare adressen. De Network Area-FAQ van STACKIT noemt beide bij de bereiken die niet kunnen worden gebruikt, dus toets uw eigen bereiken aan die lijst.

Hoe u beslist

1. 01

   Tel vertrouwenszones, geen port groups

   Maak een lijst van de zones met verschillende regels, bijvoorbeeld internetgericht, applicatie, data, back-up en beheer. Port groups die één zone bedienen, komen in aanmerking om samen te voegen.

2. 02

   Beslis waar het filteren plaatsvindt

   Security groups op de interface, een appliance, of beide. De STACKIT-richtlijn voor netwerken adviseert least privilege en het verwijderen van de standaard allow-items.

3. 03

   Leg de adressering vast

   Behoud de bereiken als machines hun adressen houden, anders geeft u de machines nieuwe adressen en plant u de DNS-wijzigingen. Leg dit vast voordat u een network area kiest, want de bereiken daarvan kunnen later niet worden gewijzigd.

4. 04

   Kies één project of meerdere

   Als vuistregel begint u met één project per omgeving. Ga pas naar meerdere projecten als administratieve scheiding de extra regels ertussen rechtvaardigt.

5. 05

   Schrijf de allowlist vanuit de stromen

   Haal de stromen op bij de applicatie-eigenaren en uit een afhankelijkheidsreview. RVTools laat zien waar machines staan, niet wie met wie communiceert.

6. 06

   Bewijs het met de eerste golf

   Netwerken komen eerst in het plan. Pas ze toe in een testproject, koppel één machine per laag en test de regels voordat u de rest verplaatst.

Vragen over netwerksegmentatie

Bronnen

• STACKIT-documentatie: concepten van Core Networking
• STACKIT-documentatie: architectuur van Core Networking
• STACKIT-documentatie: beveiliging in netwerken
• STACKIT-documentatie: FAQ over Network Area
• STACKIT-documentatie: inleiding tot Server (security groups)