platform: Облако VMware

tocdepth: 2

Объекты виртуальной сети платформы Облако VMware

Виртуальная сеть платформы Облако VMware включает следующие объекты:

cетевые сегменты NSX-T;
маршрутизаторы Provider Gateway/T0/Edge/T1 в VMware NSX-T;
сети организации;
сети vApp;
виртуальные компоненты Edge Gateway;
сетевые сервисы.

На схеме изображены основные архитектурные модули сети. Зеленым цветом выделены модули, которые видны клиенту.

Сетевой сегмент в VMware NSX-T

Сеть платформы Облако VMware построена на базе решения VMware NSX-T. VMware NSX-T — решение для виртуализации сети в виртуальном ЦОД. VMware NSX-T включает виртуальные и физические серверы, которые обеспечивают сетевую связность всех виртуальных компонентов платформы Облако VMware. Сети организуются за счет сетевых сегментов, которые использует VMware NSX-T.

Сетевой сегмент VMware NSX-T — один виртуальный широковещательный домен L2 в VMware NSX-T. Сетевой сегмент обеспечивает соединение между портами VM по L2 внутри хостов. Сетевой сегмент создается внутри транспортной зоны и не может выйти за ее пределы. Транспортная зона указывает, на каких хостах будет доступен определенный L2 сегмент.

Сегменты бывают двух типов:

VLAN сегменты — используют 802.1Q заголовок для разделения L2 доменов. VLAN сегменты просты и не имеют возможности пользоваться распределенной маршрутизацией VMware NSX-T.
Overlay-сегменты — могут пользоваться всеми функциями VMware NSX-T, предоставляют больше гибкости и масштабируемости. Overlay-сегменты работают поверх одного транспортного VLAN, который нужен для транспортировки пакетов в пределах Overlay-сегмента по физической сети. Overlay-сегменты — основа для каждой создаваемой сети платформы Облако VMware.

Доступ к решению VMware NSX-T имеют только системные администраторы Cloud.ru.

Маршрутизаторы Provider Gateway/T0/Edge/T1

Маршрутизаторы уровня Provider Gateway/T0 и Edge/T1 — основные компоненты VMware NSX-T. Provider Gateway/T0 и Edge/T1 логически разделены внутри объекта Edge Gateway и связаны сетью 100.64.x.x/31.

Маршрутизатор уровня Provider Gateway/T0	Маршрутизатор уровня Edge/T1
Provider Gateway/T0 управляется Cloud.ru	Управляется арендатором. Edge/T1 отдается арендатору в виде Edge Gateway, который можно увидеть в консоли VMware Cloud Director Availability
Подключается к физическим устройствам (внешний мир) через восходяющие каналы	Соединяет нисходящие каналы или VM с маршрутизаторами уровня Provider Gateway/T0 в многоуровневой архитектуре
Поддерживает статическую и динамическую маршрутизацию	Поддерживает только статическую маршрутизацию
Поддерживает ECMP (Equal-cost multi-path routing) с физическими шлюзами восходящего канала	Поддерживает маршрутизацию East-West в многоуровневой архитектуре. Edge/T1 подключается к уровню Provider Gateway/T0 для связи North-South.
Маршрутизатор уровня Provider Gateway/T0 используется внутри платформы Облако VMware. На уровне Provider Gateway/T0 осуществляется соединение облачной платформы с сетью интернет

Сети организации

В организации существуют следующие сети:

Direct Connect — сеть, подключенная напрямую к External Network.
Routed — маршрутизируемая сеть, подключенная к Edge Gateway в OrgVDC. Сеть обеспечивает доступ к сетям вне виртуального ЦОД организации.
Isolated — немаршрутизируемая частная сеть, доступная только внутри OrgVDC. К сети подключаются VM виртуального ЦОД.

Подробнее сети описаны в статье Настройка локальной сети организации (ORG VCD Network).

Сети организации необходимо назначить на vApp для подключения vApp и входящих в нее VM к сети организации.

Сети vApp

Сеть уровня vApp находится внутри конкретного vApp и помогает VM взаимодействовать. К сети могут подключаться только VM, размещенные в vApp. Один vApp может содержать несколько сетей.

Сети vApp могут быть:

Isolated — изолированная, доступна только в рамках определенного vApp.
Direct — напрямую подключена к сети организации. Подключение к сети организации помогает vApp взаимодействовать между собой внутри и за пределами организации.

Если одна сеть организации назначена на несколько vApp, VM из разных vApp могут взаимодействовать друг с другом по локальной сети в рамках одного OrgVDC. Чтобы соединить VM из разных OrgVDC, используются сетевые службы маршрутизации или NAT, Firewall и VPN, организуемые на объекте Edge Gateway.

Подробнее сети vApp описаны в следующих статьях:

Виртуальные компоненты Edge Gateway

Виртуальный маршрутизатор Edge Gateway — служебная VM, выполняющая функцию граничного маршрутизатора вашей виртуальной инфраструктуры.

Edge Gateway отвечает за North-South трафик и обеспечивает выход в интернет, построение VPN-туннелей, настройку функционала межсетевого экранирования, трансляции адресов и балансировщика нагрузки. На Edge Gateway базируется большая часть сетевых служб VMware NSX-T.

NAT

Для связи VM из сети тенанта с интернетом необходимо настроить трансляцию сетевых адресов SNAT и DNAT на объекте Edge Gateway.

SNAT — трансляция внутреннего приватного адреса в публичный адрес, для доступа из сети тенанта в интернет. Все VM могут выходить в интернет через один публичный адрес, который назначается тенанту автоматически.

Подробнее SNAT описан в статье Настройка доступа в интернет (SNAT).

DNAT — трансляция внутреннего приватного адреса в публичный адрес для доступа из интернета в сеть тенанта.

Подробнее DNAT описан в статье Настройка доступа из интернета (DNAT).

Публичный адрес можно назначить одной VM и ее TCP/UDP портам или нескольким VM. Если адрес назначен нескольким VM, машины предоставляют сервис в интернет через разные TCP/UDP порты.

Firewall

Firewall (межсетевой экран) как функция Edge Gateway служит для управления доступом между сетями тенанта и внешними сетями. Межсетевое экранирование может работать из сети тенанта во внешнюю сеть и в обратном направлении.

При создании правил Firewall на Edge Gateway необходимо сначала создать IP Set. IP Set — группы объектов, к которым применяются правила Firewall.

Подробнее Firewall и IP Set описаны в статье Настройка Edge Gateway Firewall.

Внешние подключения

Процесс настройки внешних подключений к VM описан в статьях Настройка доступа к VM по RDP и Настройка доступа к VM по SSH.

Организация сети с помощью объектов Provider Gateway/T0 и Edge/T1 в VMware NSX-T

Для обеспечения сетевой связности используется статическая или динамическая маршрутизация. С помощью маршрутов можно пустить часть трафика через прокси-сервер или настроить связность с инфраструктурой вне сети Cloud.ru.

Статическая маршрутизация — вид маршрутизации, при которой маршруты указываются в явном виде при конфигурации маршрутизатора.

Для создания статических маршрутов обратитесь в техническую поддержку и укажите:

адрес сети, на который необходимо маршрутизировать трафик;
маску сети;
адрес шлюза, который способствует дальнейшей маршрутизации.

Динамическая маршрутизация — сетевая технология, обеспечивающая оптимальную маршрутизацию данных.

При динамической маршрутизации маршрутизаторы выбирают пути в соответствии с изменениями структуры логической сети в реальном времени. Протокол, работающий на динамическом маршрутизаторе, отвечает за создание, обслуживание и обновление таблицы динамической маршрутизации. В статической маршрутизации эти задачи необходимо выполнять вручную.

VMware NSX-T поддерживает статическую маршрутизацию и протокол динамической маршрутизации BGP на маршрутизаторах Provider Gateway/T0, а также создает динамический сеанс iBGP между своими компонентами сервисного маршрутизатора. Маршрутизатор Edge/T1 поддерживает статические маршруты, но не работает с протоколами динамической маршрутизации.

При сетевой связности в направлении East-West маршрутизация полностью распределена в гипервизоре. Каждый гипервизор в транспортной зоне работает со своим распределенным маршрутизатором.

Для реализации сервисов SDN Provider Gateway/T0 и Edge/T1 делится на:

Распределенный маршрутизатор (Distributed Router) — отвечает за функцию маршрутизации.
Сервисный маршрутизатор (Service Router) — предоставляет сервисные или централизованные услуги, например NAT, балансировка нагрузки или брандмауэры.

Между Provider Gateway/T0 и Edge/T1 нет динамической маршрутизации, вместо нее реализовано автоподключение следующих типов:

Маршрутизатор Т0:

Connected — подключение маршрутов на Т0, включая внешние и служебные интерфейсы подсети;
Static — настроенные пользователем статические маршруты на Т0;
NAT IP — NAT IP-адреса, полученные Т0 по настроенным на этом маршрутизаторе правилам NAT;
BGP — маршруты, полученные из BGP-окружения;
IPSec Local IP — локальный IP-адрес конечной точки IPSec для установления VPN-сессий;
DNS Forwarder IP — IP-адрес получателя при клиентских DNS-запросах, используемый в качестве исходного айпишника для пересылки этих запросов на вышестоящий DNS-сервер.

Маршрутизатор Т1:

Connected — подключение маршрутов на Т1, включая служебные интерфейсы подсети;
Static — настроенные пользователем статические маршруты на Т1;
NAT IP — NAT IP-адреса, полученные Т1 по настроенным на этом маршрутизаторе правилам NAT;
LB VIP — IP-адреса виртуального сервера балансировщика нагрузок;
LB SNAT — IP-адреса из диапазона IP-адресов, используемых балансировщиком нагрузок для Source NAT;
IPSec Local IP — локальный IP-адрес конечной точки IPSec для установления VPN-сессий;
DNS Forwarder IP — IP-адрес получателя при клиентских DNS-запросах, используемый и в качестве исходного айпишника для пересылки этих запросов на вышестоящий DNS-сервер.

Была ли статья полезной?