Réseau & accès¶

Par défaut, une VM créée sur OTARIE reçoit une adresse IP publique dans le réseau d'OTERIA. Elle est donc directement joignable (SSH, web…) depuis le réseau d'OTERIA, sans configuration supplémentaire. Cette page présente les briques réseau de CloudStack pour contrôler cet accès et exposer vos services plus largement.

Le routeur virtuel¶

Chaque réseau isolé dispose d'un routeur virtuel géré automatiquement par CloudStack. Il fournit :

• le DHCP (attribution des IP privées) ;
• le DNS interne ;
• le NAT vers l'extérieur ;
• le pare-feu et le port forwarding.

Vous n'avez pas à l'administrer : il est créé et maintenu par la plateforme.

Adresse IP publique¶

Par défaut, chaque VM reçoit une IP publique dans le réseau d'OTERIA, attribuée automatiquement à sa création (vous ne l'acquérez pas manuellement). La VM est donc accessible par défaut depuis le réseau d'OTERIA. Vous retrouvez cette IP dans Network › Public IP Addresses.

C'est sur cette IP que se configurent le port forwarding et les règles de pare-feu, pour restreindre l'accès ou exposer la VM au-delà du réseau d'OTERIA.

Port forwarding (redirection de port)¶

Le port forwarding relie un port de l'IP publique à un port privé de votre VM. C'est ainsi qu'on ouvre l'accès SSH ou un service web.

1. Depuis l'IP publique, ouvrez l'onglet Port Forwarding.
2. Créez une règle, par exemple pour le SSH :

Vous pouvez ensuite vous connecter via l'IP publique :

ssh debian@<ip-publique>

Pare-feu (firewall)¶

Ouvrir un port forwarding ne suffit pas toujours : il faut aussi autoriser le trafic dans les règles de firewall de l'IP publique (par CIDR source, port et protocole).

Security groups¶

Dans les zones qui utilisent ce modèle, l'accès est contrôlé par des security groups : des ensembles de règles ingress (entrant) et egress (sortant) appliqués directement à la VM.

1. Ouvrez Network › Security Groups et créez un groupe.
2. Ajoutez une règle ingress pour autoriser le SSH :

1. Sélectionnez ce security group au moment de créer la VM.

Les VPC (Virtual Private Cloud)¶

Un VPC (Virtual Private Cloud) est un cloud privé virtuel : un espace réseau isolé dans lequel vous définissez votre propre topologie, avec plusieurs sous-réseaux (appelés tiers) reliés entre eux. Là où un réseau isolé simple ne propose qu'un seul segment, le VPC permet de bâtir une architecture multi-niveaux (par exemple : un tier « web » exposé et un tier « base de données » privé).

Réseau isolé simple ou VPC ?¶

Comment c'est structuré¶

graph TD
    NET[Internet / Réseau public] --> VR
    subgraph VPC["VPC : 10.1.0.0/16"]
        VR[Routeur du VPC<br/>Source NAT · DHCP · DNS · routage]
        VR --> T1
        VR --> T2
        subgraph T1["Tier Web : 10.1.1.0/24"]
            W1[VM web-1]
            W2[VM web-2]
        end
        subgraph T2["Tier BDD : 10.1.2.0/24"]
            D1[VM db-1]
        end
    end
    ACL1>Network ACL web] -.contrôle.-> T1
    ACL2>Network ACL bdd] -.contrôle.-> T2

Les briques d'un VPC :

1. Créer le VPC¶

1. Ouvrez Network › VPC puis cliquez sur « Add VPC ».
2. Renseignez :
3. un nom ;
4. le CIDR (super-réseau), par exemple 10.1.0.0/16 ;

5. éventuellement les serveurs DNS.

   

2. Ajouter des tiers¶

Depuis la vue du VPC, ajoutez un ou plusieurs tiers (« Add Tier / Add Network »). Pour chaque tier :

• un nom (ex. web, bdd) ;
• un network offering de type VPC ;
• une passerelle et un masque qui définissent le sous-réseau (ex. gateway 10.1.1.1, netmask 255.255.255.0 → tier 10.1.1.0/24) ;
• la Network ACL à associer.

3. Contrôler le trafic avec les Network ACL¶

Une Network ACL est une liste de règles évaluées dans l'ordre ; chaque règle autorise (Allow) ou bloque (Deny) un trafic selon sa direction, son protocole, son port et son CIDR source/destination.

Exemple pour un tier « web » qui doit être joignable en HTTP/HTTPS et SSH, et parler au tier « bdd » :

Et sur le tier « bdd », on n'autorise en entrée que le tier web :

![Règles d'une Network ACL](../assets/placeholder.svg)

*Placeholder : édition des règles d'une Network ACL.*

4. Déployer des VM dans les tiers¶

Lors de la création d'une VM, sélectionnez comme réseau le tier souhaité du VPC. La VM reçoit alors une IP privée dans le sous-réseau du tier et communique avec les autres tiers via le routeur du VPC (dans la limite des ACL).

5. Exposer les services (NAT & IP publiques)¶

Comme pour un réseau isolé, on rend un service accessible depuis l'extérieur en acquérant une IP publique sur le VPC, puis en la configurant :

• Static NAT : mappe une IP publique 1:1 vers une VM (toute la VM est exposée sur cette IP) ;
• Port forwarding : redirige un port de l'IP publique vers un port privé d'une VM (ex. 22 → 22), comme vu plus haut ;
• Load balancing : répartit le trafic d'une IP publique vers plusieurs VM d'un tier (ex. deux VM web).

6. Connectivité avancée¶

Le VPC débloque des fonctionnalités réseau qu'un réseau isolé simple ne propose pas : VPN site-à-site, Private Gateway, Remote Access VPN et load balancing interne. Chacune est détaillée sur sa page dédiée :

Voir la connectivité avancée