Одна сеть для каждого облака и вашего дата-центра
Vexaro Mesh пока в разработке. По замыслу, он свяжет on-prem с AWS, GCP и частными облаками в единое адресное пространство. Каждая среда будет подключаться к общей фабрике, облака будут связываться друг с другом напрямую через неё, а всю конфигурацию планируется описывать кодом.
Почему мультиоблачная сеть запутывается
Если сшивать облака штатными средствами каждого провайдера, получается лоскутное одеяло.
У каждого облака свои VPC peering, transit gateway и таблицы маршрутов, поэтому связь между AWS и GCP превращается в отдельную интеграцию для каждого провайдера, которую нужно спроектировать, построить и поддерживать в актуальном состоянии.
Пересекающиеся диапазоны CIDR и NAT между средами превращают простой кросс-облачный вызов в адресную головоломку, а правила расходятся по мере того, как команды добавляют подсети.
Политики доступа в итоге разбросаны по security groups, правилам файрвола и IAM провайдеров, и нет единого места, где видно, у кого к чему есть доступ.
Как облака будут объединяться в одну фабрику
Та же планируемая модель шлюзов, что связывает офисы, задумана и для облачных регионов и on-prem.
- 1
Шлюз в каждой среде
Шлюз планируется запускать как контейнер или VM в каждом облачном аккаунте и регионе, а также в вашем дата-центре, с помощью того же инструментария infrastructure as code, которым вы уже пользуетесь.
- 2
Один общий оверлей
По замыслу, каждый шлюз подключается к общей фабрике и получает адрес в едином пространстве, чтобы среды не конфликтовали из-за пересекающихся диапазонов.
- 3
Облака связаны напрямую
AWS, GCP, частные облака и on-prem по замыслу держат прямые шифрованные туннели через оверлей, и межоблачный трафик идёт кратчайшим путём, а не через хаб.
- 4
Управляйте централизованно
Правила доступа для всей мультиоблачной сети планируется задавать централизованно из одной консоли, а не раскидывать по инструментам каждого провайдера.
Что планируется для мультиоблачных команд
Единая фабрика, задуманная вместо набора интеграций с каждым провайдером.
Единое адресное пространство
По замыслу все среды делят одно согласованное адресное пространство, и сервисы обращаются друг к другу без NAT-акробатики в каждом облаке.
Прямые пути облако-облако
Облака должны подключаться к одной фабрике и соединяться через неё напрямую, поэтому межоблачные задержки остаются низкими, а пути предсказуемыми.
Инфраструктура как код
Площадки и политики планируется задавать через API, чтобы новый регион или аккаунт подключался из ваших пайплайнов, а не кликами в консоли.
Единая плоскость политик
Ролевой доступ ко всей мультиоблачной сети планируется из одного места, с экспортом журнала доступа в ваш SIEM.
Почему Vexaro Mesh задуман для мультиоблака
Шлюз планируется как обычная VM или контейнер, поэтому одинаково встаёт в любой облачный аккаунт или регион. Изучать сетевой продукт каждого провайдера не придётся.
С планируемой оплатой за площадку облачный регион стоил бы столько же, сколько офис: одна цена за подключённый шлюз, сколько бы нагрузок за ним ни было.
Full mesh должен дать прямые пути между облаками и между облаком и on-prem, вместо того чтобы гонять всё через один транзитный хаб.
Контроллер планируется запускать в облаке или, на Enterprise, в вашем контуре. Это удобно, если одна из сред работает в частном или регулируемом облаке.