问题描述
正在设计一个需要多个不同服务的应用程序（包括网页应用、数据库、工作队列、XMPP消息服务器、Redis、通过LDAP进行中央身份验证等）。他不想使用大型云服务提供商（如AWS、Azure、GCP）因为成本问题，而是考虑在Hetzner云上部署。然而，Hetzner云的虚拟机实例没有私有网络功能，所以用户想知道如何确保这些虚拟机在没有公网访问的情况下进行通信。用户已经了解到构建自己的OpenVPN AS和使用spiped的解决方案，但他想知道是否还有其他替代方案。此外，用户还考虑了使用Docker和Kubernetes来管理这些虚拟机，但担心这会增加学习成本和复杂性。
解决方案
在没有自建VPN的情况下，保护云虚拟机之间的通信确实是一个挑战。你已经提到了一些方法，如使用spiped和SSH端口转发，但这些方法可能在可扩展性和管理性方面存在局限性。除此之外，还有其他一些方法可以考虑，例如使用容器编排工具、CNI插件或虚拟网络技术。
使用容器编排工具（如Docker Swarm）进行网络隔离
如果你考虑使用Docker来管理你的应用程序，Docker Swarm可能是一个解决方案。Docker Swarm是一个容器编排和集群管理工具，它可以帮助你在多个虚拟机之间创建一个虚拟网络，并进行网络隔离。你可以通过定义服务和网络来确保只有特定的服务可以通过网络进行通信，而其他服务则被隔离在虚拟网络中。这可以帮助你实现通信的安全性和隔离性。
以下是在Docker Swarm中实现网络隔离的步骤：
- 安装和配置Docker Swarm集群。
- 创建你的应用程序服务的Docker镜像和服务定义。
- 创建自定义的Docker overlay网络，用于隔离你的服务。
- 将各个服务连接到相应的overlay网络。
- 根据需要，使用防火墙规则或其他网络策略来限制通信。
需要注意的是，Docker Swarm是一个强大的工具，但也需要一些学习和配置。你可以参考Docker官方文档以及相关教程来了解更多关于Docker Swarm的信息。
使用CNI插件进行网络隔离
另一个方法是使用容器网络接口（CNI）插件来实现网络隔离。CNI是一个用于定义和配置容器网络的规范，你可以通过不同的CNI插件来创建不同类型的网络，包括隔离的网络。你可以选择适合你需求的CNI插件，然后在每个虚拟机上配置相应的插件以实现网络隔离。
以下是使用CNI插件实现网络隔离的一般步骤：
- 选择一个适合的CNI插件，如Calico、Weave、Flannel等。
- 在每个虚拟机上安装和配置选定的CNI插件。
- 创建和配置CNI网络，确保只有需要通信的服务连接到同一网络。
- 使用CNI插件提供的功能来限制通信和隔离网络。
需要注意的是，CNI插件的配置和使用可能因插件类型而异，你可以查阅相应插件的文档以获取更详细的信息。
使用虚拟网络技术进行隔离
除了上述方法，你还可以考虑使用虚拟网络技术来实现云虚拟机之间的通信隔离。例如，你可以使用虚拟局域网（VLAN）或虚拟专用网络（VPN）来创建虚拟的隔离网络，以确保只有授权的虚拟机可以进行通信。
需要注意的是，使用虚拟网络技术可能需要一些网络设备的支持，例如支持VLAN的交换机或VPN网关。你需要在云虚拟机和网络设备之间进行相应的配置，以实现网络隔离和通信控制。
总结
在没有自建VPN的情况下，保护云虚拟机之间的通信确实是一个复杂的问题。除了你已经提到的方法，还有其他一些解决方案，如使用容器编排工具、CNI插件或虚拟网络技术来实现网络隔离。选择合适的方法取决于你的需求和技术栈，你可以根据具体情况进行选择和配置。
请注意，在实施任何解决方案之前，建议先进行充分的测试和验证，以确保你的应用程序在安全性和可用性方面得到满足。