VPN-Verbindungen

Lobster Cloud unterstützt ausschließlich Site-to-Site-VPN-Verbindungen für die sichere Kommunikation zwischen Ihrem On-Premises-Netzwerk und Ihrer Lobster Cloud-Umgebung. Diese Seite behandelt die verfügbaren VPN-Optionen, Anwendungsfälle, technische Voraussetzungen und wichtige Einschränkungen.

Was enthalten ist

Unterstützte Verbindungstypen

Lobster bietet ausschließlich die folgenden AWS-Verbindungsdienste für das Cloud-Hosting an:

Wichtig

Alle weiteren AWS-Netzwerkverbindungsdienste, die oben nicht aufgeführt sind, sind nicht Bestandteil des Lobster Cloud-Angebots und werden nicht unterstützt.

Wann Sie ein VPN benötigen

Eine VPN-Verbindung ist erforderlich, wenn Ihr Lobster-Cloud-System mit Ressourcen innerhalb Ihres privaten On-Premise-Netzwerks kommunizieren muss. Typische Anwendungsfälle sind:

Wann Sie kein VPN benötigen

Eine VPN-Verbindung ist für folgende Szenarien nicht erforderlich:

Technische Voraussetzungen

Um eine Site-to-Site-VPN-Verbindung herzustellen, muss Ihr On-Premise-Netzwerk die folgenden Voraussetzungen erfüllen:

Netzwerkbereichsplanung

Die VPN-Verbindung leitet den Datenverkehr zwischen Ihrem On-Premise-Netzwerk und Ihrer Lobster Cloud VPC. Die Netzwerkbereiche auf beiden Seiten dürfen sich nicht überschneiden. Während des Onboardings wählen Sie einen von drei privaten Netzwerkbereichen für Ihre Lobster Cloud-Umgebung:

Der Netzwerkbereich kann nach der Bereitstellung nicht mehr geändert werden. Wenn Sie einen dieser Bereiche bereits in Ihrem On-Premise-Netzwerk verwenden, wählen Sie eine der anderen Optionen, um Konflikte zu vermeiden. Lobster bespricht die optimale Wahl mit Ihnen während des Onboardings, um die Notwendigkeit von NAT-Routing zu vermeiden.

NAT-Routing

Wichtig

NAT-Routing ist auf der Lobster Cloud Seite nicht verfügbar. Wenn NAT-Routing für Ihr Setup erforderlich ist, muss dies auf Ihrer On-Premise-Firewall implementiert werden. Lobster arbeitet mit Ihnen während des Onboardings zusammen, um einen geeigneten Netzwerkbereich zu finden, der die Notwendigkeit von NAT-Routing nach Möglichkeit vermeidet.

Latenz

Latenz ist ein wichtiger Faktor bei der Entscheidung zwischen Cloud-Hosting mit VPN und einem On-Premise-Deployment. Die folgenden Werte bieten Orientierung für typische Szenarien:

VPN-Einrichtungsprozess

Hinweis

Das VPN kann separat nach der Installation Ihres Systems eingerichtet werden. Es muss nicht gleichzeitig mit der initialen Bereitstellung konfiguriert werden.

Verantwortlichkeiten

Wichtig

Sie haben eine Mitwirkungspflicht bei der VPN-Einrichtung. Zeitnahe Kommunikation und eine korrekte Konfiguration auf Ihrer Seite tragen dazu bei, den Einrichtungsprozess effizient und im angemessenen Kostenrahmen zu halten.

VPN-Konfigurationsdetails

Während der VPN-Einrichtung werden die folgenden Informationen zwischen Lobster und dem Kunden ausgetauscht.

Wichtige Hinweise

• AWS VPN ist auf ein einzelnes Security Association (SA)-Paar pro Tunnel beschränkt (jeweils eine eingehende und eine ausgehende) in Phase 2.

• NAT-Routing ist auf der AWS-Seite nicht möglich.

• Bei mehreren Subnetzen muss NAT-Routing auf Kundenseite eingerichtet, CIDR-Blöcke zusammengefasst oder separate VPNs erstellt werden.

• Der Pre-Shared Key muss separat ausgetauscht werden (z. B. über ein Teams-Meeting).

• AWS-Referenz: https://docs.aws.amazon.com/vpn/latest/s2svpn/CGRequirements.html

Kontakt- und Geräteinformationen

Routing-Option

AWS-VPN-Tunnelparameter

VPN-Verfügbarkeit

Jede AWS Site-to-Site-VPN-Verbindung umfasst zwei Tunnel, die jeweils in einer separaten AWS Availability-Zone terminieren. Fällt ein Tunnel oder eine Availability-Zone aus, wird der Datenverkehr automatisch über den zweiten Tunnel geleitet. Auf Ihrer Seite sind in diesem Szenario keine Änderungen erforderlich.

Standard-Tunnel-Konfiguration

Standardmäßig konfiguriert Lobster einen Tunnel pro VPN-Verbindung. Dies deckt den Großteil der Anwendungsfälle ab und hält den Konfigurationsaufwand auf Ihrer Firewall überschaubar. Sofern Ihre Firewall den Betrieb beider Tunnel unterstützt und Sie die zweite Tunnel-Verbindung für zusätzliche Ausfallsicherheit aktivieren möchten, sprechen Sie dies bitte direkt bei der VPN-Einrichtung mit dem Lobster-Team an.

Wichtig

Wenn beide Tunnel auf Ihrer On-Premise-Firewall konfiguriert werden, müssen beide aktiv sein. Eine VPN-Verbindung mit nur einem konfigurierten Tunnel bietet keine Tunnel-Redundanz.

Routing und Failover-Verhalten

Das Failover-Verhalten zwischen den Tunneln hängt vom konfigurierten Routing-Typ Ihrer VPN-Verbindung ab.

Bei dynamischem Routing (BGP) erfolgt das Failover vollständig automatisch. BGP tauscht kontinuierlich Routing-Informationen zwischen Ihrer Firewall und dem AWS-seitigen Gateway aus. Wird ein Tunnel nicht mehr erreichbar, erkennt BGP dies automatisch und leitet den Datenverkehr ohne manuellen Eingriff über den verbleibenden Tunnel um.

Bei statischem Routing leitet die AWS-Seite den Datenverkehr automatisch auf den verfügbaren Tunnel um. Ihre On-Premise-Firewall muss jedoch so konfiguriert sein, dass sie beide Tunnel aktiv überwacht und im Fehlerfall auf den verfügbaren Tunnel wechselt. Die genaue Konfiguration ist abhängig von Ihrer Firewall und dem jeweiligen Hersteller. Wir empfehlen, diese Anforderung mit Ihrem Firewall-Hersteller oder -Administrator zu klären.

Inkludierte VPN-Verbindungen

Ihre Lobster-Cloud-Umgebung umfasst zwei VPN-Verbindungen, die unabhängig voneinander zur Verfügung stehen. Im Standardsetup wird jede Verbindung für ein separates Netzwerksegment oder einen separaten Standort genutzt. Wenn Sie Connection-Redundanz benötigen, also zwei separate VPN-Verbindungen, die jeweils auf einer dedizierten On-Premise-Firewall terminieren, werden beide inkludierten Verbindungen für diesen Zweck verwendet. Dies erfordert zwei separate On-Premise-Firewall-Geräte, jeweils mit einer statischen Public-IP-Adresse.

Regionaler Geltungsbereich

Die VPN-Verbindung ist an die AWS-Region gebunden, in der Ihre Lobster Cloud-Umgebung betrieben wird. Die Redundanz gilt innerhalb dieser Region über mehrere Availability Zones hinweg. Im Falle eines vollständigen regionalen AWS-Ausfalls ist das Virtual Private Gateway an diese Region gebunden und folgt einem Workload in eine andere Region nicht automatisch. Die Wiederherstellung in einem solchen Szenario erfordert einen koordinierten Prozess einschließlich einer VPN-Neukonfiguration.

Für den normalen Betrieb und Ausfälle auf Availability-Zone-Ebene bleibt Ihre VPN-Verbindung automatisch aufrechterhalten.

Routing-Limits

Sowohl statisches als auch dynamisches Routing (BGP) unterliegt bei Verwendung eines Virtual Private Gateway einem Limit von maximal 100 Routen pro VPN-Verbindung. Bei statischem Routing können nicht mehr als 100 statische Routen konfiguriert werden. Bei BGP wird die BGP-Session zurückgesetzt, wenn mehr als 100 Routen von Ihrem Customer-Gateway-Device advertised werden. Wenn Ihr On-Premise-Netzwerk eine große Anzahl an Subnetzen umfasst, empfehlen wir, diese mittels Route-Summarization zusammenzufassen, um innerhalb dieses Limits zu bleiben.

Verantwortlichkeiten

Wichtig

Ihre Mitwirkung bei der VPN-Einrichtung ist zwingend erforderlich. Zeitnahe Rückmeldungen sowie eine korrekte Konfiguration auf Ihrer Seite sind notwendig, um einen reibungslosen Einrichtungsprozess und einen kontrollierten Ressourceneinsatz sicherzustellen.