[Документация Yandex Cloud](../../index.md) > [Yandex Data Transfer](../index.md) > [Концепции](index.md) > Сеть в Yandex Data Transfer

# Сеть в Yandex Data Transfer


При создании эндпоинтов некоторых типов вы можете выбрать [облачную подсеть](../../vpc/concepts/network.md). Указанная подсеть будет использоваться трансфером для доступа к хостам эндпоинта источника или приемника.

Подсеть может быть указана в настройках эндпоинта вручную (для эндпоинтов типа **Пользовательская инсталляция**), либо выбрана автоматически в случае [эндпоинтов MDB](#managed-cluster-subnets). Такая подсеть называется __выбранной подсетью__. Сеть, которой принадлежит выбранная подсеть, называется __выбранной сетью__.

Если хосты в настройках эндпоинта указаны в виде доменных имен, то для их разрешения в IP-адреса будут использоваться [DNS-серверы](../../glossary/dns.md#dns-server), указанные в настройках DHCP выбранной подсети. Все DNS-серверы подсети должны разрешать доменное имя хоста в IP-адрес, иначе трансфер может не запуститься, т. к. для разрешения имен службы трансфера используют произвольный DNS-сервер подсети. Подробнее читайте в разделе [IP-адреса и доменные имена в настройках эндпоинтов](#ip-addresses-and-domain-names).

Подсети, выбранные для обоих эндпоинтов одного трансфера, должны принадлежать одной и той же зоне доступности.

## Подсети кластеров MDB {#managed-cluster-subnets}

Подсеть можно указать только для эндпоинтов типа **Пользовательская инсталляция**. Если в настройках эндпоинта указан не хост, а ID кластера MDB, для доступа к эндпоинту будет автоматически выбрана одна из подсетей, к которым подключен кластер базы данных.

{% note info %}

В случае, если оба эндпоинта трансфера являются кластерами MDB, и подсети источника и приемника не пересекаются по [зонам доступности](../../overview/concepts/geo-scope.md), трансфер запустить не получится. Существует два обходных пути в такой ситуации:

* добавить хост в один из кластеров, выбрав для него подходящую зону доступности;
* выбрать для одного из эндпоинтов тип **Пользовательская инсталляция** и указать для него любую подсеть с зоной доступности, соответствующей одной из зон другого эндпоинта. Если подходящей подсети нет, создайте новую подсеть в нужной зоне и укажите ее в настройках эндпоинта типа **Пользовательская инсталляция**.

{% endnote %}

## Диапазоны IP-адресов подсетей {#subnet-address-ranges}

При трансфере между хостами источника и приемника, находящимися внутри Yandex Cloud в разных подсетях, диапазоны IP-адресов этих подсетей не должны пересекаться. Например, к ошибке приведет использование хостами подсетей с такими диапазонами:

* `network-1/subnet-a` с IPv4 CIDR `10.130.0.0/24`.
* `network-2/subnet-b` с IPv4 CIDR `10.130.0.0/24`.

{% note info %}

Для успешного запуска трансфера в диапазоне адресов подсети, выбранной для эндпоинта, должен оставаться хотя бы один свободный IP-адрес.

{% endnote %}

## Доступность и принадлежность IP-адресов {#ip-address-availability}

IP-адрес __принадлежит сети__, если он принадлежит любому из CIDR любой из подсетей данной сети. Например, если есть сеть `my-network` с подсетями `my-network-a` (CIDR `192.168.0.0/24`) и `my-network-b` (CIDR `192.168.1.0/24`), то адреса `192.168.0.100` и `192.168.1.50` принадлежат сети `my-network`, а адрес `1.2.3.4` — нет.

IP-адрес __доступен через подсеть__, если он принадлежит сети данной подсети, либо в сети, которой принадлежит данная подсеть, корректно настроена маршрутизация для данного IP-адреса. Адреса `192.168.0.100` и `192.168.1.50` будут доступны через подсеть `my-network-a` (равно как и через `my-network-b`). Адрес `1.2.3.4` будет доступен через данные подсети только в следующих случаях:
* в сети `my-network` настроен [NAT-шлюз](../../vpc/concepts/gateways.md) — в таком случае трафик будет направлен в интернет;
* в сети `my-network` настроен статический маршрут, который обрабатывает указанный адрес `1.2.3.4`. В этом случае трафик будет направлен на указанный в маршруте next-hop адрес.

## IP-адреса и доменные имена в настройках эндпоинтов {#ip-addresses-and-domain-names}

Если в настройках эндпоинта хост указан в виде IP-адреса, выбранная для эндпоинта подсеть будет использована для доступа к кластеру, даже если указанный IP-адрес [не принадлежит](#ip-address-availability) выбранной для эндпоинта сети.

Если используется эндпоинт типа **Пользовательская инсталляция** с хостом, указанным в виде доменного имени, либо используется эндпоинт MDB, то для разрешения имени хоста в IP-адрес будет использован DNS-сервер, указанный в настройках DHCP выбранной подсети, либо DNS-сервер по умолчанию (второй адрес в диапазоне подсети). Для успешной работы трансфера адрес, в который разрешается доменное имя хоста, должен принадлежать выбранной для эндпоинта сети, а адрес DNS-сервера должен быть [доступен](#ip-address-availability) через выбранную подсеть.

Для подключения к пользовательским инсталляциям Data Transfer может использовать только те FQDN, которые являются А-записями, CNAME-записи не поддерживаются. Это значит, что к пользовательским инсталляциям нельзя подключиться через особые FQDN, например `…rw.mdb.yandexcloud.net` или `…ro.mdb.yandexcloud.net`. Поэтому при настройке эндпоинтов типа **Пользовательская инсталляция** указывайте только прямые FQDN, соответствующие A-записям.

## Группы безопасности {#security-groups}

На выбранную для эндпоинта подсеть можно назначить [группы безопасности](../../vpc/concepts/security-groups.md). В случае, если сетевой доступ к хостам источника или приёмника ограничен группами безопасности, можно обеспечить сетевую связность между Yandex Data Transfer  и вашей СУБД, не добавляя разрешающих правил для широких диапазонов IP-адресов в ваши группы безопасности, и точечно разрешить доступ из конкретных групп. Вы можете разрешить доступ к хостам вашей СУБД одним из следующих способов:

* создайте разрешающее правило `self` в группе безопасности, защищающей хосты источника или приемника, и укажите эту группу безопасности в настройках эндпоинта;
* создайте новую группу безопасности для эндпоинта и создайте разрешающие правила между группами безопасности эндпоинта и СУБД.

{% note info %}

Не забудьте разрешить исходящий трафик на нужный порт для группы безопасности, указанной в эндпоинте.

{% endnote %}

## Трансфер между источником из внешней сети и приемником в Yandex Cloud {#source-external}

Обеспечить доступ к источнику, который находится во внешней сети, можно одним из следующих способов:

* настроив источник таким образом, чтобы к нему можно было подключиться из интернета;
* с помощью [Yandex Cloud Interconnect](../../interconnect/index.md);
* с помощью [VPN](../../glossary/vpn.md).

Если вам нужно перенести данные между вашим облаком Yandex Cloud и другим облаком (в том числе другим облаком Yandex Cloud) или между вашим облаком Yandex Cloud и кластером пользовательской инсталляции на вашей площадке, разрешите подключения к базе данных в стороннем облаке или на вашей площадке из интернета с [IP-адресов, используемых сервисом Data Transfer](../../overview/concepts/public-ips.md#virtual-private-cloud).

Если вы используете для подключения [сервис Cloud Interconnect](../../interconnect/concepts/index.md) или [VPN](../../glossary/vpn.md), отдельные настройки стороннего облака не требуются. Чтобы обеспечить сетевую связность, укажите в настройках эндпоинта подсеть, из которой можно подключиться к внешнему ресурсу.

Для запуска трансферов, для работы которых необходим доступ в интернет, нужно обладать ролью [`data-transfer.admin`](../security/index.md). Для создания эндпоинтов, в настройках которых указана подсеть, надо назначить пользователю роль [`vpc.user`](../../vpc/security/index.md) на каталог, в котором находится подсеть.