Réseaux privés

Les réseaux privés permettent à vos serveurs de communiquer entre eux via du trafic interne, sans passer par l'internet public. Cet article s'adresse à toute personne qui configure ou gère des serveurs devant communiquer en privé.

#Vue d'ensemble

• Permet aux serveurs d'un même réseau de se joindre sans passer par l'internet public.
• Utile par exemple pour qu'un serveur d'application communique avec une base de données, sans exposer ce trafic publiquement.
• Géré depuis la section Networks, aux côtés du reste de votre infrastructure.

#Gérer les réseaux

1. Allez dans Networks.
2. Créez un réseau privé et attachez-lui des serveurs.

TipVous pouvez aussi attacher un serveur à un réseau privé depuis l'onglet Networking du serveur.

#Ce qu'affiche la page d'un réseau

1. Ouvrez un réseau depuis la liste.
2. Consultez l'en-tête — il indique le statut du réseau, sa plage d'adresses, le fournisseur et l'emplacement où il se trouve, ainsi que son coût mensuel lorsqu'il est connu. L'action principale se trouve à côté ; tout le reste se trouve sous Actions.
3. Consultez Overview — elle commence par tout ce qui nécessite votre attention, puis Used by (les serveurs qui y sont rattachés), et une carte Details présentant ses informations, chacune accompagnée de l'interrupteur permettant de la modifier.
4. Consultez Members — c'est le plan d'adressage : chaque sous-réseau avec les serveurs qu'il contient et leurs adresses privées, l'espace libre restant, et ses routes.
5. Consultez Activity — elle liste ce qui a été fait sur le réseau, par qui et quand.

Un réseau sans sous-réseau l'indique dans sa colonne Needs attention — rien ne peut le rejoindre tant qu'il n'en a pas un. Pour afficher uniquement ces réseaux, choisissez No subnet dans le filtre de statut au-dessus de la liste. Un réseau sans serveur est présenté comme une suggestion plutôt que comme un problème.

#Ce que signifie réellement attacher un serveur

C'est le point qui surprend le plus, donc lisez-le avant d'attacher quoi que ce soit.

1. Comprenez que tout serveur d'un réseau privé peut atteindre tous les ports exposés par tous les autres serveurs du réseau, via leur adresse privée. Il n'y a aucune étape d'« autorisation » intermédiaire — si un serveur exécute une base de données sur le réseau privé, tous les autres serveurs de ce réseau peuvent lui parler.
2. Sachez que chez certains fournisseurs — Hetzner parmi eux — le pare-feu ne peut pas du tout filtrer ce trafic. Ses règles s'appliquent uniquement à l'interface publique, si bien qu'une règle de pare-feu ne peut pas bloquer une connexion entre deux serveurs d'un même réseau privé, et cette connexion n'apparaîtra pas dans les règles du pare-feu. Chez ces fournisseurs, le fait d'être attaché ou non est le seul contrôle disponible.
3. Lorsque vous attachez un serveur, lisez le résumé qu'InfraNest vous présente — quels serveurs deviennent accessibles et si le pare-feu s'applique — avant de confirmer.

#Chez certains fournisseurs, le réseau est choisi à la création du serveur

1. Sachez que la plupart des fournisseurs vous permettent d'attacher ou de détacher un serveur à tout moment.
2. Chez DigitalOcean, sachez que c'est différent : le réseau privé d'un serveur est défini à sa création et ne peut plus être modifié ensuite. Le changer implique de créer un nouveau serveur dans l'autre réseau et d'y déplacer votre travail.
3. Lorsque vous créez un serveur chez un fournisseur fonctionnant ainsi, utilisez l'option Join a private network du formulaire de création avec attention — InfraNest affiche les réseaux disponibles dans l'emplacement choisi et prévient que ce choix est définitif.
4. Si vous ignorez cette option, sachez que le serveur rejoint le réseau par défaut de votre fournisseur pour cet emplacement — un réseau réel, simplement pas celui que vous auriez choisi.

WarningSi vous n'êtes pas encore sûr, choisissez le réseau que vous pensez vouloir. Rejoindre le bon réseau maintenant ne coûte rien ; changer plus tard implique de reconstruire le serveur.

#Attribuer une adresse privée fixe à un serveur

1. Lorsque vous attachez un serveur, laissez le fournisseur choisir son IP privée dans la plupart des cas — c'est le bon choix lorsque rien n'a besoin de connaître l'adresse à l'avance.
2. Si quelque chose nécessite une adresse fixe — une base de données que d'autres machines sont configurées pour joindre, ou un hôte inscrit dans un fichier de configuration — renseignez Private IP address lorsque vous attachez le serveur, plutôt que de laisser le champ vide.
3. Si le réseau comporte plusieurs sous-réseaux, choisissez également dans lequel atterrir. S'il n'y en a qu'un seul, il n'y a rien à choisir et InfraNest ne vous le demandera pas.
4. Choisissez l'adresse au moment où vous attachez le serveur. Chez Hetzner, il n'existe aucun moyen de modifier l'adresse privée d'un serveur par la suite — la seule façon d'en obtenir une différente est de le détacher puis de le rattacher, ce qui coupe la connexion réseau du serveur pendant l'opération.

Certaines adresses ne sont jamais disponibles, et InfraNest vous le signalera avant de tenter de les utiliser :

• la première adresse du réseau — c'est la passerelle, donc elle est prise même si elle paraît libre ;
• la première et la dernière adresse d'un sous-réseau, réservées par le fonctionnement des réseaux ;
• toute adresse déjà détenue par un autre serveur de ce réseau.

Si vous laissez le champ vide, rien ne change par rapport à avant : le fournisseur attribue une adresse libre.

#Agrandir un réseau qui manque de place

1. Ouvrez la page du réseau.
2. Utilisez l'option permettant d'agrandir sa plage. Choisissez l'une des plages proposées — InfraNest ne propose que des plages que votre fournisseur acceptera.

NoteUne plage ne peut que s'agrandir — il n'existe aucun moyen de la réduire par la suite. La première adresse reste toujours la même ; seule la taille change. Certains réseaux ne peuvent pas s'agrandir du tout en raison de leur point de départ — le cas échéant, l'option est grisée et l'indique.

3. Après avoir agrandi la plage, redémarrez les serveurs déjà présents sur le réseau, ou mettez à jour leurs routes manuellement — l'agrandissement de la plage n'affecte pas les machines déjà attachées.

Agrandir la plage libère de la place pour davantage de sous-réseaux. Cela n'agrandit pas un sous-réseau existant — si un sous-réseau est plein, ajoutez plutôt un nouveau sous-réseau.

#Un serveur doit-il être sur un réseau privé ?

Attachez un serveur lorsqu'il doit communiquer avec d'autres — un serveur d'application qui lit une base de données, par exemple.

Ne pas mettre un serveur sur un réseau privé est un choix normal, et souvent le bon. Un exécuteur CI, un site web public qui ne partage rien avec le reste de votre parc, ou tout ce que vous préférez tenir à l'écart de votre base de données n'a aucune raison de rejoindre un réseau. InfraNest liste les serveurs qui pourraient rejoindre un réseau, mais ne considère pas le fait de rester à l'écart comme un problème à résoudre.