Privénetwerken

Privénetwerken laten je servers onderling communiceren via intern verkeer, zonder over het openbare internet te gaan. Dit artikel is voor iedereen die servers opzet of beheert die privé met elkaar moeten kunnen communiceren.

#Overzicht

• Laat servers in hetzelfde netwerk elkaar bereiken zonder het openbare internet te gebruiken.
• Handig voor bijvoorbeeld een appserver die met een database communiceert, zonder dat verkeer openbaar bloot te stellen.
• Wordt beheerd vanuit de sectie Netwerken, samen met je overige infrastructuur.

#Netwerken beheren

1. Ga naar Netwerken.
2. Maak een privénetwerk aan en koppel er servers aan.

TipJe kunt een server ook aan een privénetwerk koppelen via het tabblad Networking van de server.

#Wat de pagina van een netwerk laat zien

1. Open een netwerk vanuit de lijst.
2. Bekijk de header — deze toont de status van het netwerk, het adresbereik, bij welke provider en locatie het zich bevindt, en wat het per maand kost indien bekend. De belangrijkste actie staat ernaast; al het overige vind je onder Acties.
3. Bekijk Overview — dit begint met zaken die je aandacht vereisen, gevolgd door Used by (de servers die er gebruik van maken) en een kaart Details met de kenmerken, elk met de schakelaar om het aan te passen.
4. Bekijk Members — dit is het adresplan: elk subnet met de servers erin en hun privéadressen, de resterende vrije ruimte en de bijbehorende routes.
5. Bekijk Activity — dit toont wat er aan het netwerk is gedaan, door wie en wanneer.

Een netwerk zonder subnet toont dit in de kolom Needs attention — er kan niets aan deelnemen totdat er een subnet is. Om alleen die netwerken te zien, kies No subnet in het statusfilter boven de lijst. Een netwerk zonder servers wordt getoond als suggestie en niet als probleem.

#Wat het koppelen van een server werkelijk betekent

Dit is het onderdeel dat mensen vaak verrast, dus lees dit voordat je iets koppelt.

1. Besef dat elke server in een privénetwerk elke poort kan bereiken die elke andere server in dat netwerk openstelt, via zijn privéadres. Er is geen tussenliggende “toestaan”-stap — als één server een database draait op het privénetwerk, kan elke andere server in dat netwerk ermee communiceren.
2. Weet dat bij sommige providers — waaronder Hetzner — de firewall dit verkeer helemaal niet kan filteren. De regels gelden alleen voor de openbare interface, dus een firewallregel kan geen verbinding tussen twee servers in hetzelfde privénetwerk blokkeren, en de verbinding verschijnt niet in de regels van de firewall. Bij die providers is wie er gekoppeld is de enige vorm van controle.
3. Wanneer je een server koppelt, lees dan de samenvatting die InfraNest je toont van welke servers bereikbaar worden en of de firewall van toepassing is, voordat je bevestigt.

#Bij sommige providers wordt het netwerk gekozen bij het aanmaken van de server

1. Weet dat de meeste providers je toestaan een server op elk gewenst moment te koppelen of te ontkoppelen.
2. Bij DigitalOcean werkt dit anders: het privénetwerk van een server wordt bepaald bij het aanmaken en kan daarna niet meer worden gewijzigd. Om het te wijzigen moet je een nieuwe server bouwen in het andere netwerk en je werk daarheen verplaatsen.
3. Gebruik bij het aanmaken van een server bij een provider die zo werkt de optie Join a private network op het aanmaakformulier met zorg — InfraNest toont de beschikbare netwerken in de gekozen locatie en waarschuwt dat de keuze definitief is.
4. Als je deze optie overslaat, weet dan dat de server in het standaardnetwerk van je provider voor die locatie terechtkomt — een echt netwerk, alleen niet een dat je zelf hebt gekozen.

WarningWeet je het nog niet zeker, kies dan het netwerk waarvan je denkt dat je het wilt. Nu bij het juiste netwerk aansluiten kost niets; later verplaatsen betekent de server opnieuw opbouwen.

#Een server een vast privéadres geven

1. Wanneer je een server koppelt, laat je de provider in de meeste gevallen het privé-IP-adres kiezen — dit is de juiste keuze wanneer niets het adres vooraf hoeft te weten.
2. Als iets wél een vast adres nodig heeft — een database waarmee andere machines zijn geconfigureerd om verbinding te maken, of een host die in een configuratiebestand is opgenomen — vul dan Private IP address in bij het koppelen van de server, in plaats van dit leeg te laten.
3. Heeft het netwerk meer dan één subnet, kies dan ook in welk subnet de server terechtkomt. Is er maar één subnet, dan is er niets te kiezen en zal InfraNest hier niet naar vragen.
4. Kies het adres op het moment dat je de server koppelt. Bij Hetzner is er geen manier om het privéadres van een server achteraf te wijzigen — de enige manier om een ander adres te krijgen, is ontkoppelen en opnieuw koppelen, waarbij de netwerkverbinding van de server tijdelijk wegvalt.

Een aantal adressen is nooit beschikbaar, en InfraNest meldt dit voordat het ze probeert te gebruiken:

• het eerste adres van het netwerk — dat is de gateway, dus al bezet, ook al lijkt het vrij;
• het eerste en laatste adres van een subnet, die gereserveerd zijn vanwege de werking van netwerken;
• elk adres dat een andere server in dit netwerk al bezet.

Als je het veld leeg laat, verandert er niets ten opzichte van voorheen: de provider wijst een vrij adres toe.

#Een netwerk vergroten dat geen ruimte meer heeft

1. Open de pagina van het netwerk.
2. Gebruik de optie om het bereik te vergroten. Kies een van de aangeboden bereiken — InfraNest biedt alleen bereiken aan die je provider accepteert.

NoteEen bereik kan alleen groter worden — het is daarna niet mogelijk om het weer te verkleinen. Het eerste adres blijft altijd hetzelfde; alleen de omvang verandert. Sommige netwerken kunnen helemaal niet groeien, afhankelijk van waar ze beginnen — als dat zo is, is de optie grijs weergegeven en wordt dit vermeld.

3. Herstart na het vergroten van het bereik servers die al in het netwerk zitten, of werk hun routes handmatig bij — het vergroten van het bereik bereikt machines die al gekoppeld zijn niet automatisch.

Het vergroten van het bereik maakt ruimte voor meer subnetten. Het maakt een bestaand subnet niet groter — is een subnet vol, voeg dan in plaats daarvan een extra subnet toe.

#Moet een server op een privénetwerk staan?

Koppel een server wanneer deze met andere servers moet communiceren — bijvoorbeeld een appserver die een database uitleest.

Een server buiten een privénetwerk laten, is een normale keuze en vaak de juiste. Een CI-runner, een openbare website die niets deelt met de rest van je omgeving, of iets wat je liever gescheiden houdt van je database heeft geen reden om deel te nemen. InfraNest toont de servers die aan een netwerk zouden kunnen worden gekoppeld, maar beschouwt het er niet bij aansluiten niet als een probleem dat moet worden opgelost.