Virtual Private Cloud:Address planning

Design de CIDR para pools do IPAM

O design de CIDR de pool do IPAM divide o espaço de endereçamento IP em vários níveis (como regional, departamental ou de linha de negócios) para garantir gerenciamento flexível e eficiente.

1. Planejamento hierárquico: Comece criando grandes blocos CIDR regionais e subdivida-os para diferentes departamentos ou linhas de negócios, evitando conflitos de endereços IP. Essa abordagem permite aos administradores de rede agregar e alocar blocos CIDR com facilidade, simplificando o gerenciamento da rede e a configuração de roteamento.

2. Lógica de divisão: As hierarquias de pools do IPAM não se limitam a um único esquema. Construa planos de endereçamento multiníveis e multirregionais organizados por região, departamento, linha de negócios ou product, além de configurar grupos de segurança, ACLs de rede e regras de firewall correspondentes. A profundidade máxima do pool é de 10 níveis.

Por exemplo, uma empresa planeja implantar vários services principais no Alibaba Cloud, usando 10.0.0.0/8 como espaço de endereçamento geral. A arquitetura de negócios inclui: implantação multirregional, implantação multiambiente por linha de negócios (cada uma com ambientes isolados de produção, homologação e teste) e alguns services que exigem interconexão de rede. Siga a abordagem de design de CIDR de pool do IPAM para dividir e alocar faixas de endereços nível por nível.

1. Planejamento de rede:

   1. Defina as dimensões do planejamento: Com base na arquitetura de negócios, estabeleça os níveis hierárquicos como região, linha de negócios e ambiente.

   2. Reserve capacidade de expansão: Regiões (3 em uso, 5 reservadas), linhas de negócios (6 principais por região, 10 reservadas), ambientes (produção, teste e desenvolvimento por linha de negócios).

   3. Planeje os blocos CIDR nível por nível:

      1. Divida o espaço de endereçamento por região: Para suportar 8 regiões, são necessários 8 intervalos de endereços (2^3 = 8). Cada bloco CIDR regional possui máscara /11 (/8 + 3).

         Exemplo de alocação: 10.0.0.0/11, 10.32.0.0/11 e 10.64.0.0/11 são atribuídos às 3 regiões ativas, restando 5 blocos reservados para uso futuro.

      2. Seguindo a mesma lógica, cada bloco de linha de negócios usa máscara /15 (suporta 16 linhas de negócios, /11+ 4), e cada bloco de ambiente usa máscara /17 (suporta 3 ambientes, /15+2).

2. Implemente o planejamento de endereços com o IPAM:

   1. Crie um pool de nível superior: No escopo privado padrão, crie um pool de nível superior com 10.0.0.0/8.

   2. Crie pools regionais: Sob o pool 10.0.0.0/8, crie subpools /11 para cada região.

   3. Crie pools de linha de negócios: Sob cada pool regional, crie subpools /15 para cada linha de negócios.

   4. Crie pools de ambiente: Sob cada pool de linha de negócios, crie subpools /17 para alocação. Esses pools podem ser compartilhados com contas de negócios para criação de VPCs, alocações personalizadas, entre outros.



Ambientes de negócios isolados

Quando os ambientes de negócios exigem gerenciamento independente ou isolamento mais forte — como empresas adquiridas ou ambientes multilocatários — crie vários escopos privados para gerenciá-los separadamente. Cada escopo pode ter suas próprias políticas de gerenciamento e configurações de permissão, e os escopos podem conter blocos CIDR sobrepostos. No entanto, avalie se esses ambientes precisam de interconexão de rede. Blocos CIDR sobrepostos podem causar conflitos em redes interconectadas; portanto, planeje com cuidado.

Por exemplo, em um cenário de aquisição em que a Empresa A adquire a Empresa B e ambas possuem faixas de endereços IP sobrepostas, crie um escopo separado para cada empresa. Mesmo com endereços sobrepostos, não há conflitos dentro do IPAM. Use cada escopo para visualizar independentemente o panorama de alocação de IP de cada empresa. Com essa visibilidade, projete um modelo apropriado de conectividade de rede e roteamento que mantenha as redes mescladas funcionando efetivamente, evitando conflitos de endereços IP.



Design de rede híbrida e multicloud

Em uma arquitetura de nuvem híbrida ou multicloud, crie CIDRs de alocação personalizada no seu pool do IPAM para reservar faixas de data centers on-premises e de outros provedores de cloud. Isso garante que as faixas reservadas não sejam alocadas a outros recursos de cloud, prevenindo conflitos entre blocos CIDR de VPC e faixas on-premises ou de terceiros.



Planejamento com escopos e pools do IPAM

Use escopos e pools do IPAM para planejar faixas de endereços CIDR utilizáveis.

1. Após criar um IPAM, o sistema cria automaticamente um escopo público e um escopo privado, que não podem ser excluídos.

   • Escopo público: Suporta a alocação e o uso de faixas de endereços IPv6 padrão do Alibaba Cloud para planejamento de services e alocação de recursos IPv6.

   • Escopo privado: Suporta a alocação e o uso de faixas de endereços IPv4. Crie escopos privados adicionais para gerenciar independentemente espaços de endereçamento separados.

   A criação de escopos privados separados permite conceder espaços de endereçamento IP independentes a entidades com faixas de endereçamento sobrepostas. Isso é adequado para aquisições de empresas, ambientes multilocatários ou cenários de isolamento de segurança.

2. Crie pools do IPAM e divida as faixas de endereços hierarquicamente por região, departamento ou linha de negócios:

   1. Provisione os blocos CIDR que você planeja gerenciar no pool de nível superior.

      • Pools em diferentes escopos do IPAM podem ter CIDRs provisionados sobrepostos. Avalie se os ambientes em diferentes escopos precisam de interconexão de rede. Blocos CIDR sobrepostos podem causar conflitos de roteamento em redes conectadas — planeje com cautela.

      • Dentro do mesmo escopo, crie vários pools de nível superior, mas seus CIDRs provisionados não podem se sobrepor.

   2. Subdivida os CIDRs planejados do pool de nível superior por região ou linha de negócios em vários níveis de subpools, garantindo que cada ambiente utilize faixas de endereços não sobrepostas para evitar conflitos.

Console

Planeje espaços de endereçamento independentes usando escopos do IPAM

1. Acesse o console do IPAM. Na barra de menu superior, selecione a região onde deseja criar o IPAM (a região gerenciada).

2. Clique em Create IPAM. Adicione uma Effective Region adicional além da região gerenciada. O IPAM gerencia centralmente os recursos de endereçamento em todas as regiões operacionais. Após a criação, adicione ou remova regiões operacionais, mas a região gerenciada não pode ser removida.

3. O sistema cria um escopo público e um escopo privado por padrão. Para planejar espaços de endereçamento IPv4 independentes adicionais, acesse a página IPAM Scope e clique em Create Scope.

Crie um pool do IPAM para planejar faixas de endereços

Acesse a página Console do IPAM - IPAM Pool, selecione a região gerenciada do IPAM no topo da página e clique em Create IPAM Pool.

• IPAM Scope: Selecione um escopo que corresponda à versão de IP que deseja planejar.

• CIDR Range:

  • IPAM: Cria um pool de nível superior dentro do escopo do IPAM. Selecione esta opção ao planejar faixas de endereços pela primeira vez.

  • IPAM Pool: Cria um subpool. Usa outro pool no IPAM como Source IPAM Pool, do qual você seleciona CIDRs para provisionar neste pool. Selecione esta opção quando precisar subdividir e utilizar faixas de endereços já planejadas.

• CIDR Range: Determinado pelo IPAM Scope selecionado.

  • Escopo público: Apenas IPv6. Para o tipo de CIDR IPv6, selecione Assign BGP (Multi-ISP).

  • Escopo privado: Apenas IPv4.

• Effective Region: Os recursos só podem ser alocados a partir do pool quando sua região corresponder à região operacional.

  • A região operacional deve estar dentro das regiões operacionais do IPAM e não pode ser alterada após a criação.

  • Obrigatório ao planejar faixas de endereços IPv6. Os subpools herdam a região operacional de seu pool de source.

  • Opcional ao planejar faixas de endereços IPv4. Se o pool de source tiver uma região operacional definida, os subpools a herdarão. Caso contrário, a região operacional do subpool deve estar dentro das regiões operacionais do IPAM.

• Automatically Import Discovered Resource: Quando ativado, o IPAM usa resource discovery para encontrar continuamente VPCs na região operacional cujos blocos CIDR estejam dentro da faixa do pool e ainda não sejam rastreados no IPAM.

  • Este parâmetro entra em vigor apenas quando a Effective Region estiver configurada. Se o pool não tiver uma Effective Region definida, não será possível ativar a opção Automatically Import Discovered Resource.

  • Se o IPAM descobrir vários CIDRs sobrepostos, ele importará automaticamente apenas o maior deles.

  • Se o IPAM descobrir vários CIDRs idênticos, ele importará aleatoriamente apenas um deles.

  • Após a criação, ative ou desative a importação automática na aba Details da página de detalhes do pool, ou na página Edit.

• Provision CIDR Block: Apenas pools com CIDRs provisionados podem allocate CIDRs to resources.

  • Pools de nível superior IPv6 só podem provisionar 1 CIDR selecionando uma máscara de endereço. Pools de nível superior IPv4 suportam a inserção de faixas de endereços e podem provisionar múltiplos CIDRs.

  • Os subpools podem provisionar múltiplos CIDRs inserindo faixas de endereços, selecionando uma máscara de endereço ou usando a interface de visualização para selecionar partes alocáveis do pool de source.

  • Após a criação, provisione CIDRs adicionais na aba CIDR da página de detalhes do pool.

• Allocation Rule: Ao alocar CIDRs de um pool para recursos, o comprimento da máscara deve estar entre os valores mínimo e máximo. Se nenhuma máscara for especificada, o comprimento da máscara padrão será usado.

  • Para pools IPv6, os intervalos de comprimento de máscara mínimo, padrão e máximo são 0-128. Para pools IPv4, o intervalo é 0-32.

  • Após a criação, modifique as regras de alocação na aba Compliance Rules da página de detalhes do pool.

Depois que um pool tiver CIDRs provisionados, crie subpools sob ele ou create a VPC using IPAM planning.

Desprovisione um CIDR

Antes de desprovisionar, certifique-se de que o CIDR não tenha alocações para VPCs, pools do IPAM ou alocações personalizadas. Clique no ID do pool alvo ou clique em Actions > Manage. Na aba CIDR, localize o CIDR alvo e clique em Deprovision na coluna Actions.

Exclua um pool do IPAM

Antes de excluir, garanta que o pool não possua subpools ou alocações de pool. Quando essas condições forem atendidas, exclua o pool diretamente sem precisar desprovisionar CIDRs manualmente. Na coluna Actions ou na página de detalhes, clique em Delete.

• Se existirem subpools, acesse Sub-Pools > Associated Sub-Pools e exclua os subpools.

• Se existirem alocações de VPC, acesse Allocated VPCs > Associated VPCs with Allocated CIDRs e exclua as VPCs correspondentes.

  Apenas VPCs de pools IPv4 podem ser excluídas diretamente na caixa de diálogo. Para pools IPv6, acesse a página de detalhes da VPC e exclua a VPC após confirmar que não haverá impacto nos negócios, o que liberará a alocação.

• Se existirem alocações personalizadas, acesse Custom Allocations > Associated Custom Address Allocations e exclua as alocações personalizadas.

Exclua um escopo do IPAM

Os dois escopos padrão não podem ser excluídos. Para escopos personalizados, clique em Delete na coluna Actions ou na página de detalhes. Antes de excluir, certifique-se de que todos os pools do IPAM sob o escopo foram excluídos.

Exclua um IPAM

Antes de excluir, certifique-se de que todos os pools do IPAM e escopos personalizados foram excluídos. Na coluna Actions ou na página de detalhes, clique em Delete.

API

Planeje espaços de endereçamento independentes usando escopos do IPAM

1. Chame OpenVpcIpamService para ativar o IPAM.

2. Chame CreateIpam para criar um IPAM.

3. Chame CreateIpamScope para criar um escopo privado do IPAM.

Crie um pool do IPAM e provisione CIDRs

1. Chame CreateIpamPool para criar um pool do IPAM.

2. Chame AddIpamPoolCidr para provisionar um bloco CIDR no pool.

Limpeza de recursos

• Chame DeleteIpamPoolCidr para desprovisionar um bloco CIDR de um pool.

• Chame DeleteIpamPool para excluir um pool do IPAM.

• Chame DeleteIpamScope para excluir um escopo personalizado do IPAM.

• Chame DeleteIpam para excluir um IPAM.

Terraform

Recursos: alicloud_vpc_ipam_service , alicloud_vpc_ipam_ipam , alicloud_vpc_ipam_ipam_scope , alicloud_vpc_ipam_ipam_pool , alicloud_vpc_ipam_ipam_pool_cidr

# Specify the region where you want to create the IPAM
provider "alicloud" {
  region = "cn-hangzhou"
}

# Activate the IPAM service (required on first use)    
resource "alicloud_vpc_ipam_service" "example_ipam_service" {
}

# Create an IPAM
resource "alicloud_vpc_ipam_ipam" "example_ipam" {
  ipam_name             = "example_ipam_name"
  operating_region_list = ["cn-hangzhou"] # Specify the IPAM's operating regions
}

# Create an IPAM scope
resource "alicloud_vpc_ipam_ipam_scope" "example_ipam_scope" {
  ipam_scope_name = "example_ipam_scope_name"
  ipam_id         = alicloud_vpc_ipam_ipam.example_ipam.id
  ipam_scope_type = "private" # Private scope
}

# Create an IPAM pool
resource "alicloud_vpc_ipam_ipam_pool" "example_parentIpamPool" {
  ipam_scope_id  = alicloud_vpc_ipam_ipam_scope.example_ipam_scope.id # Specify the IPAM scope
  ipam_pool_name = "example_parentIpamPool_name"
  pool_region_id = alicloud_vpc_ipam_ipam.example_ipam.region_id # Specify the pool's operating region
  ip_version     = "IPv4"                                        # Specify the IP version
}

# Provision a CIDR block to the pool
resource "alicloud_vpc_ipam_ipam_pool_cidr" "example_ipamPoolCidr" {
  cidr         = "10.0.0.0/16"                                         # Specify the CIDR
  ipam_pool_id = alicloud_vpc_ipam_ipam_pool.example_parentIpamPool.id # Specify the pool ID
}

# Create an IPAM sub-pool
resource "alicloud_vpc_ipam_ipam_pool" "example_childIpamPool" {
  ipam_pool_name      = "example_childIpamPool_name"
  ipam_scope_id       = alicloud_vpc_ipam_ipam_scope.example_ipam_scope.id    # Specify the IPAM scope
  pool_region_id      = alicloud_vpc_ipam_ipam.example_ipam.region_id         # Specify the pool's operating region
  source_ipam_pool_id = alicloud_vpc_ipam_ipam_pool.example_parentIpamPool.id # Specify the source pool ID
  ip_version          = "IPv4"                                                # Specify the IP version
}

# Provision a CIDR block to the sub-pool
resource "alicloud_vpc_ipam_ipam_pool_cidr" "example_childIpamPoolCidr" {
  cidr         = "10.0.0.0/24"                                        # Specify the CIDR
  ipam_pool_id = alicloud_vpc_ipam_ipam_pool.example_childIpamPool.id # Specify the pool ID
}

Compartilhamento de pools planejados entre várias contas

Os administradores de rede podem compartilhar pools criados com contas de negócios (consumidores do pool). As contas de negócios podem usar pools compartilhados para alocar endereços para VPCs ou criar alocações personalizadas.

• Compartilhamento com qualquer conta Alibaba Cloud: O consumidor deve aceitar o convite de compartilhamento de recursos.

• Compartilhamento dentro de um Resource Directory: O consumidor não precisa confirmar — o convite é aceito automaticamente.

Permissões para proprietários e consumidores de pools

Recurso	Proprietário do recurso	Consumidor do recurso
Alocar a partir do pool do IPAM ao criar uma VPC	Suportado	Suportado
Alocar um bloco CIDR secundário de VPC a partir do pool do IPAM	Suportado	Suportado
Excluir pool do IPAM	Suportado	Não suportado
Modificar configurações do pool do IPAM	Suportado	Suportado (apenas nome e descrição)
Consultar pool do IPAM	Suportado	Suportado
Consultar informações de CIDR de um pool do IPAM	Suportado	Suportado
Provisionar um CIDR em um pool	Suportado	Não suportado
Desprovisionar um CIDR	Suportado	Não suportado
Criar uma alocação personalizada	Suportado	Suportado
Liberar uma alocação personalizada	Suportado	Suportado (apenas alocações criadas pelo consumidor)
Consultar alocações personalizadas	Suportado	Suportado
Modificar regras de alocação	Suportado	Não suportado
Ativar ou desativar importação automática	Suportado	Não suportado
Consultar recursos em um pool	Suportado	Não suportado



Console

Esta seção descreve o compartilhamento de um pool com qualquer conta Alibaba Cloud. Para compartilhar dentro de um Resource Directory, consulte Share resources with objects in a resource directory .

Compartilhe um pool do IPAM

1. Faça login como proprietário do pool. Acesse a página Console do IPAM - IPAM Pool, selecione a região do pool alvo no topo. Clique no ID do pool alvo ou clique em Actions > Manage. Na aba Sharing Management, clique em Create Resource Share.

2. Na página Create Resource Share, siga o assistente para configure o compartilhamento de recursos.

   1. Defina Resources como IPAM Pool e selecione o pool do IPAM a ser compartilhado.

   2. A permissão associada para recursos de pool do IPAM é AliyunRSDefaultPermissionIpamPool.

   3. Defina Principal Scope como Sharing with All Accounts. Defina Method como Add Manually. Insira o Alibaba Cloud account ID do consumidor do pool e clique em Add.

   4. Verifique a configuração e clique em Confirm.

3. Faça login como consumidor do pool e aceite o convite de compartilhamento:

   1. Acesse a página Resource Sharing - Shared with Me no console Resource Management.

   2. Na barra de menu superior, selecione a região onde o recurso compartilhado está localizado. Clique em Accept na coluna Status do compartilhamento de recursos alvo.

   3. Após a aceitação do compartilhamento, o consumidor poderá visualizar o pool na página IPAM Pool sob a aba Pools Shared with Me, e poderá usar o pool para Use IPAM to plan and create a VPC ou Use IPAM to plan and create a VPC.

Interrompa o compartilhamento

Faça login como proprietário do pool. Na página de detalhes do IPAM Pool, acesse a aba Sharing Management, clique no compartilhamento de recursos alvo para abrir sua página de detalhes e selecione Delete Resource Share.

• Após a interrupção do compartilhamento, o consumidor não poderá mais visualizar o pool. No entanto, as alocações de endereços existentes criadas a partir do pool compartilhado não são afetadas. Quando o consumidor exclui uma VPC, a alocação correspondente do pool é liberada.

• O proprietário do pool ainda pode manage pool allocations, incluindo a liberação de alocações do tipo VPC e alocações personalizadas criadas pelo consumidor.

API

Compartilhe um pool do IPAM

• Método 1: Compartilhar com qualquer conta

  1. Usando as credenciais do proprietário do pool, chame CreateResourceShare para criar um compartilhamento de recursos. Defina AllowExternalTargets como True.

  2. Usando as credenciais do consumidor, chame ListResourceShareInvitations para recuperar o convite de compartilhamento de recursos e, em seguida, chame AcceptResourceShareInvitation para aceitá-lo.

• Método 2: Compartilhar apenas dentro de um Resource Directory

  1. Usando as credenciais da conta de gerenciamento do Resource Directory, chame EnableSharingWithResourceDirectory para habilitar o compartilhamento de recursos dentro do diretório.

  2. Usando as credenciais do consumidor do pool, chame CreateResourceShare para criar um compartilhamento de recursos. Defina AllowExternalTargets como True.

Interrompa o compartilhamento

Usando as credenciais do proprietário do pool, chame DeleteResourceShare para excluir o compartilhamento de recursos.

Terraform

Atualmente, o Terraform não suporta o compartilhamento de pools do IPAM.

Mais informações

Faturamento

O IPAM está em preview público e é gratuito durante este período.

Limites de cota

Nome da cota	Descrição	Limite padrão	Ajustável
ipam_quota_per_region	IPAMs por usuário por região	1	Não
ipam_scope_quota_per_ipam	Escopos do IPAM por IPAM	5
ipam_pool_quota_depth	Profundidade máxima da hierarquia de pools	10
ipam_cidr_quota_per_ipam_pool	CIDRs provisionados por pool	50
ipam_sub_pool_quota_per_ipam_pool	Subpools por pool	50
ipam_pool_quota_per_scope	Pools por escopo privado do IPAM	500
resource_share_quota_per_ipam_pool	Compartilhamentos de recursos por pool	100
shared_ipam_pool_quota_per_user	Pools compartilhados por usuário	100
ipam_public_ipv6_top_pool_quota_per_region_isp	Pools de nível superior IPv6 públicos por tipo de ISP por região	1
ipam_cidr_quota_per_public_ipv6_top_pool	CIDRs provisionados por pool de nível superior IPv6 público por região	1