Доступ к VPC через два соединения с использованием BGP

Предварительные условия

• Для подключения к устройству доступа в облаке ваша сеть должна использовать одномодовое волокно с пропускной способностью 1 Гбит/c, 10 Гбит/с, 40 Гбит/с или 100 Гбит/с.

• Инкапсуляция VLAN 802.1Q должна поддерживаться на всем соединении, включая промежуточные устройства.

• Ваше устройство должно поддерживать BGP и не должно использовать ASN 64512, который используется со стороны облака Advanced.

Планирование ресурсов

Перед началом работы нужно создать VPC. Подробная информация о нужных ресурсах:

Схема доступа к VPC

Где:

• DCGW — это виртуальный шлюз, через который осуществляется L3-соединение облачных сетей VPC с локальными сетями ЦОДов.

• Virtual Gateway — это шлюз, который связывает сетевое соединение с виртуальным шлюзом DCGW.

• Virtual Private Cloud — это сервис для управления виртуальными сетями и облачными ресурсами в них. VPC позволяет создавать и настраивать изолированные виртуальные частные сети, добавлять подсети, определять диапазон IP-адресов и настраивать таблицы маршрутизации.

• Connection — это физическое подключение между локальным и облачным ЦОДами. В этом сценарии их два — Connection 1 и Connection 2.

• AZ1 и AZ2 — это зоны доступности, в которые подключен Direct Connect.

Проверить подключение Direct Connect

1. Войдите в консоль управления Advanced:

   • через личный кабинет Cloud.ru;

   • как IAM-пользователь.

2. В списке сервисов выберите Direct Connect.

3. В меню слева перейдите в раздел Direct Connect → Connections.

4. Убедитесь, что два подключения отображаются в консоли.

Создать виртуальный шлюз

Чтобы создать виртуальный шлюз vgw1:

1. В меню слева перейдите в раздел Direct Connect → Virtual Gateways.

2. В правом верхнем углу нажмите Create Virtual Gateway.

3. Задайте параметры:

   Параметр	Описание
   Name	Введите название виртуального шлюза (от 1 до 64 символов).
   VPC	Выберите VPC (виртуальную сеть), которую вы хотите подключить к Direct Connect.
   Subnet CIDR Block	Укажите CIDR-блоки подсетей в виртуальной сети VPC для подключения к локальной сети ЦОДа. Примечание Чтобы сетевое оборудование локального ЦОДа было доступно по сети из виртуальных подсетей облака, добавьте в CIDR-блок виртуального шлюза транспортную подсеть. Транспортная подсеть в примере — 172.16.1.0/30.
   Description	Введите описание к виртуальному шлюзу (от 0 до 128 символов).

4. Нажмите OK.

Создать виртуальный интерфейс

На этом этапе нужно создать виртуальные интерфейсы vif1 и vif2. Затем поочередно связать vif1 с виртуальным шлюзом vgw1 и соединением dc-connect1, vif2 с виртуальным шлюзом vgw1 и соединением dc-connect2. Для этого:

1. В меню слева перейдите в раздел Direct Connect → Virtual Interfaces.

2. В правом верхнем углу нажмите Create Virtual Interface.

3. Задайте параметры:

   Параметр	Описание
   Name	Введите название виртуального интерфейса (от 1 до 64 символов).
   Connection	Выберите подключение, с которым будет связан виртуальный интерфейс: при создании vif1 выберите dc-connect1, при создании vif2 выберите dc-connect2.
   Virtual Gateway	Выберите виртуальный шлюз, с которым будет связан виртуальный интерфейс.
   Local Gateway	Укажите IPv4-адрес локального шлюза в /30 подсети: при создании vif1 введите 172.16.1.1/30 (dc-connect1) при создании vif2 введите 172.16.2.1/30 (dc-connect2)
   Remote Gateway	IPv4-адрес удаленного шлюза: при создании vif1 введите 172.16.1.2/30 при создании vif2 введите 172.16.2.2/30
   Remote Subnet	Укажите локальную подсеть центра обработки данных, которая должна быть доступна через Direct Connect: 10.0.0.0/8 Эта сеть появится в таблице маршрутизации автоматически. Чтобы указать несколько подсетей, разделите их запятыми. Можно указать не более 50 уникальных подсетей. Примечание Для упрощения диагностики в Remote Subnet рекомендуется дополнительно указать транспортную сеть. В этом примере транспортная сеть имеет адресацию 172.16.1.0/30 и 172.16.2.0/30.
   Routing Mode	Выберите режим маршрутизации BGP.
   BGP ASN	Введите уникальный AS-номер BGP-узла. Со стороны облака Advanced используется значение 64512, которое нельзя поменять. Примечание Для vif1 и vif2 задайте разные значения ASN BGP и BGP MD5.
   BGP MD5 Authentication Key	Введите MD5-пароль для BGP-узла (необязательное поле).
   Description	Введите описание к виртуальному интерфейсу (от 0 до 128 символов).

4. Нажмите Create Now.

   Примечание

   Стандартные правила групп безопасности запрещают весь входящий трафик, кроме трафика внутри группы. Убедитесь, что в обоих направлениях правила настроены так, как того требует ваш сценарий подключения.

5. Дождитесь распространения маршрута в облаке. Direct Connect автоматически прописывает маршруты после того, как будет установлено соединение между сетями облака и ЦОДа.

6. Настройте маршрутизацию на вашем устройстве. Пример конфигурации на устройстве Huawei:

   bgp 64510
     peer 172.16.1.1 as-number 64512
     peer 172.16.1.1 password simple P@ssword
     peer 172.16.2.1 as-number 64512
     peer 172.16.2.1 password simple P@ssword
     network 10.0.0.0 255.0.0.0
   
   

   Пример конфигурации на устройстве Cisco:

   router bgp 64510
     neighbor 172.16.1.1 remote-as 64512
     neighbor 172.16.1.1 password P@ssword
     neighbor 172.16.2.1 remote-as 64512
     neighbor 172.16.2.1 password P@ssword
     network 10.0.0.0 mask 255.0.0.0
   
   

Соединения Active/Standby

По умолчанию BGP автоматически выбирает активные и резервные соединения. Чтобы вручную сконфигурировать dc-connect1 в качестве активного подключения, установите атрибут Local_Pref.

Пример конфигурации на устройстве Huawei:

bgp 64510
     peer 172.16.1.1  as-number 64512
     peer 172.16.1.1 password simple P@ssword
     peer 172.16.2.1 as-number 64512
     peer 172.16.2.1 password simple P@ssword
     peer 172.16.1.1 route-policy slave_direct_in import
     network 10.0.0.0 255.0.0.0
route-policy  slave_direct_in  permit node 10
     apply local-preference 90

Пример конфигурации на устройстве Cisco:

router bgp 64510
     neighbor 172.16.1.1 remote-as 64512
     neighbor 172.16.1.1 password P@ssword
     neighbor 172.16.2.1 remote-as 64512
     neighbor 172.16.2.1 password P@ssword
     neighbor 172.16.1.1 route-map slave_direct_in in
     network 10.0.0.0 mask 255.0.0.0
route-map slave_direct_in
     set local-preference 90

Верификация соединения

Чтобы убедиться, что ECS может взаимодействовать с локальным сервером в ЦОДе, отправьте ping из ECS на локальный сервер.

Отключите один из физических портов и снова запустите команду ping. ECS по прежнему должен обмениваться данными с локальным сервером.

Чтобы просмотреть маршрут, запустите команду tracert.