Einführung in Gateway API Workshop
Kubernetes Gateway API Schulung für erfahrene Teams: fünf Route-Typen testen, Controller vergleichen und Ingress-Migration mit Rollback im Lab üben.
Cloud Native
Architekturen und Praktiken, die Cloud-Plattformen, Container und deklarative APIs voraussetzen.
48 von 1092 Einträgen
Einführung in Istio Workshop
Istio und Service Mesh in 3 Tagen live online lernen: Traffic Management, mTLS, Ambient Mesh und Observability. Eigener Cluster, maximal 8 Teilnehmer.
Einführung in OpenTelemetry Workshop
OpenTelemetry Schulung für Entwickler: Apps instrumentieren, Collector-Pipelines auf Kubernetes bauen und Signale in Grafana prüfen. 3 Tage live online.
KCNA Vorbereitung Workshop
KCNA Prüfungsvorbereitung in 2 Tagen: Alle 4 Prüfungsdomänen, Probefragen pro Block und Mock-Prüfung mit Auswertung. Live-Online-Schulung, max. 8 Teilnehmer.
Building the Edge — Part 8
Der Anfang einer Plattform – warum jede Architektur irgendwann an den Punkt gelangt, an dem sie das Netzwerk neu denken muss.
Building the Edge — Part 7
Gute Plattformen entstehen nicht durch mehr Infrastruktur – sondern durch klar definierte Verantwortlichkeiten.
Building the Edge — Part 6
Eine Verbindung ist noch kein HTTP-Request – warum moderne Edge-Plattformen deutlich früher beginnen, als viele Architekturdiagramme vermuten lassen.
Building the Edge — Part 5
Compute ist nicht die Plattform – warum moderne Anwendungen heute aus zwei Plattformen bestehen.
Building the Edge — Part 4
Warum Hochverfügbarkeit heute im Netzwerk beginnt – Ausfälle sind kein Ausnahmezustand, sondern ein Architekturprinzip.
Building the Edge — Part 3
Eine IP-Adresse kann an drei Orten gleichzeitig existieren – warum Anycast keine Funktion, sondern eine Eigenschaft des Internets ist.
Building the Edge — Part 2
Das Internet kennt keine Anwendungen – warum BGP nicht versucht, den schnellsten Weg zu finden.
Kubernetes 1.38: Was wir bisher wissen
Kubernetes 1.38 ist für Dezember 2026 geplant. Wir zeigen, welche Features sich abzeichnen und welche Termine für den Release-Zyklus wichtig sind.
Cloud-native Consulting & Support
24/7-Experten-Support für Kubernetes und cloud-native Software – ayedo übernimmt Operations-Lifecycle und Rufbereitschaft, damit Entwickler am Produkt arbeiten. Klare SLAs, ISO-zertifiziert.
Managed Kubernetes Hosting aus Deutschland
Managed Kubernetes und K8s Hosting aus Deutschland. Wir übernehmen den Cluster-Betrieb – zertifizierter Software Delivery Lifecycle, Monitoring, Backups und Support auf EU-Infrastruktur.
Karriere
Die Cloud von morgen baut sich nicht von alleine. Pack mit an!
15-Factor App
Die 15-Factor App erweitert die klassischen 12-Factor Prinzipien um moderne Cloud-Native Best Practices. Erfahren Sie, wie API First, Telemetry und Authentication & Authorization Ihre Anwendungen noch robuster und zukunftssicher machen.
Digitale Souveränität endet nicht im Rechenzentrum:
Eine Anwendung kann vollständig in Deutschland betrieben werden und trotzdem bei jedem einzelnen Zugriff von US-Infrastruktur abhängig sein.
DNS, Routing, Anycast: Warum Europas Cloud auch eine eigene Edge braucht
Wir haben vor Kurzem die ayedo Edge Cloud vorgestellt. Eine europäische Edge-Infrastruktur für DNS, Anycast, Loadbalancing, Web Application Firewall, DDoS-Schutz und den kontrollierten Zugang zu Anwendungen.
Building the Edge — Part 1
Die unterschätzte Architektur moderner Anwendungen – warum moderne Anwendungen nicht erst im Rechenzentrum beginnen.
TLS-Zertifikate für öffentliche Kubernetes-Endpunkte
TLS für Kubernetes endet nicht zwingend am Ingress. Eine zentrale TLS-Termination an der ayedo Edge Cloud vereinfacht Zertifikatsverwaltung, WAF-Integration und Traffic-Steuerung. Zusätzliche Verschlüsselung bis zum Cluster schützt jedoch weitere Netzwerkabschnitte. Die richtige Entscheidung hängt von Trust Boundaries, Betriebsmodell, Compliance und gewünschter Fehlerisolierung ab.
DNS-Automatisierung für Kubernetes hinter der Edge Cloud
Kubernetes-DNS und öffentliche Namensauflösung lösen unterschiedliche Probleme. Cluster-Ressourcen kennen Services, Ingresses und Workloads; die Edge Cloud verwaltet öffentliche Endpunkte, DNS-Zonen und die Weiterleitung zum Backend. Ein belastbares Betriebsmodell trennt diese Zuständigkeiten, automatisiert aber ihre Übergaben über klar definierte Schnittstellen.
Loadbalancer für Kubernetes providerunabhängig betreiben
Ein Kubernetes Service vom Typ `LoadBalancer` bindet den öffentlichen Zugang häufig an den jeweiligen Cloud- oder Infrastrukturprovider. Eine eigenständige Edge-Schicht trennt diese Verantwortung vom Cluster: Routing, Schutz, TLS und Erreichbarkeit werden zentral organisiert, während Kubernetes bei ayedo oder einem anderen Provider betrieben werden kann. Das reduziert Providerabhängigkeiten und vereinfacht Multi-Cloud-Architekturen.
Kubernetes-API-Server sicher über die Edge erreichbar
Ein öffentlich erreichbarer Kubernetes-API-Server muss nicht direkt aus dem Internet auf seine Backend-Adresse zugreifen lassen. Eine vorgeschaltete Edge-Schicht kann Routing, TLS, DDoS-Schutz und Backend-Cloaking übernehmen. Entscheidend bleibt die Trennung zwischen öffentlicher Erreichbarkeit, kryptografischer Authentisierung und tatsächlicher Berechtigung im Cluster.
Ingress und Edge Cloud: Zuständigkeiten sauber trennen
Kubernetes Ingress und Edge Cloud lösen unterschiedliche Aufgaben. Die Edge Cloud kontrolliert den öffentlichen Eingang, schützt Anwendungen und terminiert TLS. Kubernetes Ingress beschreibt dagegen die Weiterleitung innerhalb des Clusters. Eine klare Trennung verhindert doppelte Regeln, widersprüchliche Sicherheitskonfigurationen und schwer nachvollziehbare Betriebszustände.
Security-Entscheidungen an der Edge nachvollziehbar machen
Edge Security Monitoring macht sichtbar, wie sich Schutzmaßnahmen auf den öffentlichen Traffic auswirken. Traffic- und Usage-Statistiken helfen, WAF-Regeln, DDoS-Schutz und exponierte Endpunkte betrieblich zu bewerten. Sie erklären jedoch weder individuelle Angriffe vollständig noch ersetzen sie Logs, Traces und anwendungsnahe Security-Telemetrie.
Multi-Cloud-Security mit zentraler Edge-Architektur
Multi-Cloud Security scheitert häufig nicht an fehlenden Schutzfunktionen, sondern an ihrer verteilten Umsetzung. Eine zentrale Edge-Architektur bündelt öffentlichen Zugang, WAF, DDoS-Schutz, TLS-Terminierung und Routing vor heterogenen Backends. Provider-Unabhängigkeit, eigenes Autonomous System und Aktiv-Aktiv-Betrieb reduzieren dabei Kontroll- und Abhängigkeitspunkte.
DDoS-Schutz an der Edge mit Anwendungslogik koppeln
DDoS-Schutz und Anwendungssicherheit adressieren unterschiedliche Angriffsebenen. Die Edge kann Volumen, Protokolle, Verbindungsraten und Request-Muster bewerten und schädlichen Traffic frühzeitig verwerfen. Ob ein gültiger Request fachlich missbräuchlich ist, lässt sich jedoch meist erst im Anwendungskontext erkennen. Wirksamer Schutz kombiniert daher beide Ebenen mit klaren Zuständigkeiten.
TLS, WAF und Backend: Eine Schichtenarchitektur
Eine belastbare **Security-Schichtenarchitektur** verteilt Schutzaufgaben auf unterschiedliche Ebenen: TLS schützt die Transportverbindung, die WAF bewertet HTTP-Anfragen und das Backend bleibt für Autorisierung, Validierung und Datenschutz verantwortlich. Entscheidend sind die Übergabepunkte zwischen diesen Schichten. Jede Entschlüsselung, Weiterleitung und Protokollumwandlung erzeugt dabei eigene Vertrauens- und Betriebsanforderungen.
Security-Funktionen zwischen Edge und Anwendung verteilen
Security-Funktionen gehören nicht pauschal an einen einzigen Ort. Die Edge eignet sich für Schutzmaßnahmen mit hoher Sichtbarkeit, großem Skalierungsbedarf und standardisierbaren Regeln. Die Anwendung bleibt für Identität, Autorisierung und fachliche Zugriffskontrollen verantwortlich. Entscheidend sind Kontextbedarf, Fehlkonfigurationsrisiko und die Frage, wie früh ein Angriff erkannt und begrenzt werden kann.
Öffentliche Angriffsflächen systematisch reduzieren
Eine öffentliche Angriffsfläche entsteht nicht nur durch einzelne Schwachstellen, sondern durch die gesamte Internet-exponierte Architektur. Anycast Loadbalancing, WAF, DDoS Protection, TLS Termination und Backend Cloaking müssen deshalb als zusammenhängende Security-Zone vor den Backends betrachtet werden. Entscheidend ist, welcher Traffic die Backends überhaupt erreicht und unter welchen Bedingungen.
TLS Termination an der Edge architektonisch planen
TLS Termination an der Edge verkürzt den Weg von Client zu geschütztem Einstiegspunkt, verschiebt aber Verantwortlichkeiten. Zertifikate, Vertrauensgrenzen und Backend-Verbindungen müssen deshalb getrennt geplant werden. Die zentrale Frage lautet nicht, ob TLS am öffentlichen Eingang endet, sondern welche Verbindungen danach weiterhin verschlüsselt und wie ihre Identitäten geprüft werden.
Backend Cloaking als Baustein der Edge-Security
Backend Cloaking reduziert die direkte öffentliche Erreichbarkeit von Ursprungsdiensten, indem Clients nicht unmittelbar mit den Backends kommunizieren. Das senkt die öffentliche Angriffsfläche, ersetzt aber weder WAF-Regeln noch Anwendungsschutz. Entscheidend sind sauberes Routing, kontrollierte Backend-Zugriffe und ein Betriebsmodell für Health Checks und Failover.
DDoS-Schutz an der Edge und seine Grenzen im Backend
DDoS-Schutz an der Edge reduziert volumetrischen und netzwerkseitigen Angriffsdruck, bevor er die öffentliche Infrastruktur eines Unternehmens erreicht. Scrubbing schützt damit den Eingang zu Anwendungen und APIs. Es ersetzt jedoch weder Backend-Sicherheit noch Authentisierung, Ressourcenlimits oder fachliche Prüfungen gegen missbräuchliche Nutzung.
WAF an der Edge: Regeln, Grenzen und Betriebsmodelle
Eine WAF an der Edge prüft HTTP- und HTTPS-Anfragen, bevor sie Backends erreichen. Sie eignet sich für protokoll- und anfragespezifische Muster wie Injection, unerlaubte Methoden oder auffällige Request-Strukturen. Fachlicher Kontext, Geschäftslogik und komplexe Autorisierung bleiben jedoch Aufgabe der Anwendung. Entscheidend ist ein Betriebsmodell, das Schutzwirkung und Fehlalarmrisiko kontrolliert.
Health Checks als Grundlage stabiler Traffic-Pfade
Health Checks im Loadbalancing bewerten nicht nur, ob ein Backend-Netzwerkziel erreichbar ist. Entscheidend ist, ob der Service tatsächlich Anfragen verarbeiten kann. Die Ergebnisse beeinflussen Pool-Zustände, Failover und Traffic-Steuerung. Damit werden Health Checks zur Grundlage verlässlicher Backend-Auswahl und stabiler öffentlicher Zugriffspfade.
Traffic-Pfade mit TLS und Proxy Protocol steuern
Ein stabiler Traffic-Pfad endet nicht bei der TLS Termination. Entscheidend ist das abgestimmte Zusammenspiel aus TLS-Endpunkt, Routing, Backend-Auswahl, Health Checks und Proxy Protocol. Die Edge bestimmt den öffentlichen Verbindungsweg; die Anwendung muss festlegen, wie sie übertragene Client-Informationen verarbeitet und welche Protokollparameter sie akzeptiert.
L7-Routing für APIs: Regeln, Pools und Backends
L7-Routing verteilt API-Anfragen nicht nur nach IP-Adresse oder Port, sondern nach Merkmalen der Anwendung. Pfad, Hostname, HTTP-Methode oder Header können unterschiedliche Backend-Pools ansprechen. Entscheidend sind klare Regeln, definierte Prioritäten und eine saubere Grenze zwischen Edge-Routing und anwendungsinterner Logik.
Anycast und Backend-Failover im Aktiv-Aktiv-Betrieb
Aktiv-Aktiv-Failover entsteht nicht durch einen einzelnen Mechanismus, sondern durch das Zusammenspiel von Anycast, verteilten Edge-PoPs, belastbaren Health Checks und dynamischer Backend-Auswahl. Fällt ein Backend aus, muss die Edge den Zustand erkennen und neue Verbindungen gezielt an verfügbare Backends verteilen, ohne einen zentralen Primärpfad vorauszusetzen.
Netzwerk-Routing und Application-Routing trennen
Netzwerk-Routing und Application-Routing lösen unterschiedliche Probleme. Anycast und Layer 4 bestimmen, wie Traffic einen Edge-Einstieg erreicht und zu welchem Transportziel weiterläuft. Layer 7 entscheidet dagegen anhand von Hostnames, Pfaden oder HTTP-Eigenschaften, welcher Service die Anfrage verarbeitet. Diese Ebenen müssen getrennt modelliert werden, damit Architektur, Betrieb und Fehlersuche beherrschbar bleiben.
Proxy Protocol im Backend-Pool korrekt einsetzen
Proxy Protocol überträgt Verbindungsinformationen aus einem Proxy- oder Loadbalancing-Layer an das Backend. Damit können Anwendungen die ursprüngliche Client-IP und weitere Transportdaten auswerten. Voraussetzung sind ein abgestimmtes Protokoll, kompatible Listener und eine konsistente Konfiguration im gesamten Backend-Pool.
TLS Termination an der Edge: Routing sicher gestalten
TLS Termination beendet die äußere HTTPS-Verbindung an der Edge und schafft den technischen Übergabepunkt für anwendungsbezogenes Routing. Damit werden Host-, Pfad- und Header-Regeln möglich. Die Architektur muss jedoch klar festlegen, welche Sicherheits- und Routingaufgaben die Edge übernimmt und welche Kontrolle beim Backend verbleibt.
Backend-Pools planen: Health Checks und Failover
Backend-Pools sind keine bloßen Listen von Zielsystemen. Ihre Zusammensetzung bestimmt, welche Backends Traffic erhalten, wie Ausfälle erkannt werden und wann Failover greift. Aussagekräftige Health Checks, klare Pool-Grenzen und ein definierter Rückfallpfad verhindern, dass die Edge Traffic an technisch erreichbare, aber nicht funktionsfähige Systeme verteilt.
Anycast im Traffic-Management: Routing bis zum Backend
Anycast Traffic Management beginnt mit einem global erreichbaren Einstiegspunkt, endet aber nicht am nächstgelegenen Edge-Standort. Anycast Routing führt den Traffic zu einer Edge-Instanz; dort entscheiden Layer-4- und Layer-7-Regeln über Backend-Pools, Health Status und gegebenenfalls Application-Routing. Erst diese Trennung schafft einen kontrollierbaren Pfad bis zur Anwendung.
L4 oder L7: Traffic-Management in der Edge Cloud
L4- und L7-Loadbalancing lösen unterschiedliche Aufgaben. Layer 4 vermittelt Verbindungen anhand von IP, Port und Transportprotokoll, ohne den Anwendungsinhalt auszuwerten. Layer 7 versteht HTTP oder HTTPS und ermöglicht Routing nach Hostname, Pfad oder weiteren Request-Merkmalen. Die Entscheidung bestimmt TLS-Verarbeitung, Backend-Pools und Betriebsaufwand.
Failover über mehrere Provider mit der Edge Cloud
Providerunabhängiges Failover trennt den öffentlichen Traffic-Eingang von der Compute-Infrastruktur. Die Edge übernimmt Anycast, DNS, Schutz, TLS und Health Checks, während Backends oder Kubernetes-Cluster bei unterschiedlichen Providern betrieben werden. Backend Cloaking verhindert dabei, dass Failover-Architekturen durch öffentlich erreichbare Ursprungsdienste unnötig exponiert werden.
Failover testen: Runbooks, Zustände und Rückfallpfade
Failover ist erst belastbar, wenn Ausfall, Umschaltung und Rückkehr reproduzierbar getestet werden. Ein gutes Failover-Runbook beschreibt erwartete Health-Check-Zustände, Routing- und DNS-Verhalten, Beobachtungspunkte sowie einen kontrollierten Rückfallpfad. Entscheidend ist nicht die konfigurierte Regel, sondern das nachweisbare Betriebsverhalten.
Failover-Reaktionswege zwischen Edge, DNS und Backend
Failover ist keine einzelne Umschaltfunktion, sondern eine Kette aus Erkennung, Entscheidung, Weiterleitung und Stabilisierung. Edge-Routing reagiert typischerweise näher am laufenden Traffic, während DNS-Failover durch TTLs, Resolver- und Client-Caches verzögert wird. Bestehende Verbindungen folgen dabei anderen Regeln als neue Requests.