Сервис Direct Connect: взаимодействие с удаленной клиентской инфраструктурой и смежными платформами Cloud.ru (L3 VPN)

Взаимодействие между клиентской виртуальной инфраструктурой и платформой Advanced может быть организовано с применением сервиса Direct Connect.

Сервис Direct Connect для платформы Advanced обеспечивает взаимодействие между клиентской виртуальной инфраструктурой и внешними аппаратными ЦОД-ами, офисными LAN-сетями, смежными платформами, а также различными технологическими системами, например, системами по обеспечению сетевой безопасности.

Общая структурная схема сервиса Direct Connect для двух транзитных зон облачной платформы Advanced и двух узлов связи для внешних физических подключений к транспортной сети Cloud.ru:

../../_images/schm__templates_adv_network-tools_dc-overview.svg

Взаимодействие c удаленной клиентской инфраструктурой и смежными платформами Cloud.ru с использованием сервиса L3 VPN является часто используемой услугой для клиентов, у которых виртуальные инфраструктуры присутствуют не только в Advanced, но и, например, в облачной платформе Enterprise. Для этой опции не потребуется согласовывать какие-либо отдельные сетевые подключения, так как необходимые технологические подключения организованны внутри инфраструктуры Cloud.ru. Чтобы воспользоваться данной услугой, необходимо согласовать VLAN ID, который будет являться свободным для использования на Trunk-портах обеих платформ.

В зависимости от используемого протокола маршрутизации (Static или BGP) для реализации паттерна доступны два сценария:

Взаимодействие VPC на платформе Advanced c удаленным ЦОДом и удаленным VPC в смежной платформе Cloud.ru (L3 VPN, Static)

Паттерн взаимодействия VPC на платформе Advanced c удаленным ЦОДом и удаленным VPC в смежной платформе Cloud.ru с использованием сервиса L3 VPN и статической маршрутизации имеет следующие преимущества и риски:

Преимущества паттерна

Риски

Все необходимые технологические подключения выполняются внутри облачной инфраструктуры Cloud.ru.

  • Отдельно взятому VPC клиента допустимо назначить только один Virtual Gateway. Требуется заказ дополнительного сервиса Direct Connect (с отдельным Vlan ID) и создание дополнительного Virtual Interface для организации отказоустойчивого подключения. Организацию дополнительного сервиса Direct Connect рекомендуется выполнять в смежной Transit Zone — отличной от Transit Zone основного сервиса Direct Connect.

  • Выбор IP-адресов для подсетей ограничен — допустимо использовать любое адресное пространство, за исключением значений, принадлежащих внутреннему адресному пространству платформы Advanced:

    • 100.64.0.0/10

    • 127.0.0.0/8

    • 169.254.0.0/16

    • 198.19.128.0/20

Общая схема

../../_images/schm__templates_adv_network-tools_dc-static-l3-vpn-hw.svg

Описание паттерна

Предварительные требования:
  • VPC клиента должна содержать одну или более IP-подсетей.

  • Удаленный ЦОД клиента и смежная платформа Cloud.ru также должны иметь несколько IP-подсетей.

  • Должно быть согласовано сетевое подключение к коммутатору транспортной сети Cloud.ru на одном из двух узлов связи (M9 или МР4).

  • Согласован режим сетевого порта на коммутаторе (Access или Trunk), и назначен Vlan ID на транспортной сети Cloud.ru.

  • Cогласовано сетевое подключение клиентской VPC из смежной платформы Cloud.ru.

  • Согласованы IP-подсети (Point-to-Point) и протоколы маршрутизации для сервиса L3 VPN в транспортной сети Cloud.ru.

  • На транспортной сети Cloud.ru должен быть обеспечен L2-сервис от порта подключения до коммутатора Advanced в Transit #1 или в Transit #2 (в данном сценарии — Transit #2).

Архитектурной особенностью IP-маршрутизации внутри платформы Advanced является создание для каждого клиентского сервиса Direct Connect отдельного VRF на пограничных коммутаторах Direct Connect Clusters в Transit #1 и Transit #2. Внутри платформы Advanced между маршрутизатором VPC (VPC Router) и VRF (Virtual Routers) используются статические IP-маршруты:

  • При указании CIDR Block в конфигурации Virtual Gateway клиент задает статические маршруты в Route Table соответствующего VRF на Direct Connect Clusters.

  • При указании Remote IP Subnets в конфигурации Virtual Interface клиент задает статические маршруты в Route Table ассоциированного VPC, а также статические маршруты к данным IP-подсетям через клиентский Router.

На внутреннем технологическом соединении между Virtual Routers двух смежных Transit Zones используется протокол internal BGP (AS#64512). Такое взаимодействие необходимо, чтобы обеспечить прохождение трафика к удаленным ресурсам от виртуальной машины ECS из любой зоны доступности (AZ).

В зависимости от расположения ECS и выбора определенной Transit Zone для сервиса Direct Connect путь исходящего трафика из платформы к удаленному ЦОДу клиента может отличаться. Приоритетным промежуточным узлом для трафика ECS в AZ#1 и AZ#3 к удаленным ресурсам является Transit Zone #1, а для ECS в AZ#2 — Transit Zone #2. Поэтому в данном сценарии маршрут от ECS из AZ#2 в удаленный ЦОД будет иметь на один L3-hop меньше по сравнению с ECS из AZ#1 или AZ#3. Маршрут обратного входящего трафика на уровне L3-hops отличаться не будет.

../../_images/schm__templates_adv_network-tools_dc-static-l3-vpn-logic.svg

Реализация

Порядок конфигурации данного сценария клиентом в консоли Cloud.ru Advanced:

  1. В консоли Advanced убедиться, что во вкладке Virtual Private Cloud → Direct Connect → Connection присутствует запись о созданном службой эксплуатации сетевом соединении с назначенным Vlan ID.

  2. На вкладке Virtual Private Cloud → Direct Connect → Virtual Gateways выбрать Create Virtual Gateway и затем:

    • задать произвольное имя Virtual Gateway в разделе Name;

    • выбрать в выпадающем меню в разделе VPC один из имеющихся виртуальных тенантов;

    • указать в разделе Subnet CIDR Block, к каким IP-подсетям данного тенанта разрешается доступ извне;

    • нажать ОK.

  3. На вкладке Virtual Private Cloud → Direct Connect → Virtual Interfaces выбрать Create Virtual Interface и затем:

    • Задать произвольное имя Virtual Interface в разделе Name.

    • Выбрать в выдающем меню в разделе Connection соответствующий профиль соединения.

    • Выбрать в выдающем меню в разделе Virtual Gateway вновь созданный Virtual Gateway.

    • Назначить IP-адрес в разделе Local Gateway для соединения Point-to-Point со стороны Advanced.

    • Указать IP-адрес в разделе Remote Gateway для соединения Point-to-Point на удаленном роутере клиента.

    • Указать в разделе Remote Subnet список удаленных IP-подсетей, к которым разрешается доступ.

    • Выбрать в разделе Routing Mode режим статической маршрутизации — Static.

    • Указать номер удаленной автономной системы — BGP AS.

    • Нажать Create Now.

Взаимодействие VPC на платформе Advanced c удаленным ЦОДом и удаленным VPC в смежной платформе Cloud.ru (L3 VPN, BGP)

Паттерн взаимодействия VPC на платформе Advanced c удаленным ЦОДом и удаленным VPC в смежной платформе Cloud.ru с использованием сервиса L3 VPN и динамической маршрутизации имеет следующие преимущества и риски:

Преимущества паттерна

Риски

Все необходимые технологические подключения выполняются внутри облачной инфраструктуры Cloud.ru

  • Отдельно взятому VPC клиента допустимо назначить только один Virtual Gateway. Требуется заказ дополнительного сервиса Direct Connect (с отдельным Vlan ID) и создание дополнительного Virtual Interface для организации отказоустойчивого подключения. Организацию дополнительного сервиса Direct Connect рекомендуется выполнять в смежной Transit Zone — отличной от Transit Zone основного сервиса Direct Connect.

  • Выбор IP-адресов для подсетей ограничен — допустимо использовать любое адресное пространство, за исключением значений, принадлежащих внутреннему адресному пространству платформы Advanced:

    • 100.64.0.0/10

    • 127.0.0.0/8

    • 169.254.0.0/16

    • 198.19.128.0/20

Общая схема

../../_images/schm__templates_adv_network-tools_dc-bgp-l3-vpn-hw.svg

Описание паттерна

Предварительные требования:
  • VPC клиента должна содержать одну или более IP-подсетей.

  • Удаленный ЦОД клиента и смежная платформа Cloud.ru также должны иметь несколько IP-подсетей.

  • Должно быть согласовано сетевое подключение к коммутатору транспортной сети Cloud.ru на одном из двух узлов связи (M9 или МР4).

  • Согласован режим сетевого порта на коммутаторе (Access или Trunk), и назначен Vlan ID на транспортной сети Cloud.ru.

  • Cогласовано сетевое подключение клиентской VPC из смежной платформы Cloud.ru.

  • Согласованы IP-подсети (Point-to-Point) и протоколы маршрутизации для сервиса L3 VPN в транспортной сети Cloud.ru.

  • На транспортной сети Cloud.ru должен быть обеспечен L2-сервис от порта подключения до коммутатора Advanced в Transit #1 или в Transit #2 (в данном сценарии — Transit #2).

Архитектурной особенностью IP-маршрутизации внутри платформы Advanced является создание для каждого клиентского сервиса Direct Connect отдельного VRF на пограничных коммутаторах Direct Connect Clusters в Transit #1 и Transit #2. Внутри платформы Advanced между маршрутизатором VPC (VPC Router) и VRF (Virtual Routers) используются статические IP-маршруты:

  • При указании CIDR Block в конфигурации Virtual Gateway клиент задает статические маршруты в Route Table соответствующего VRF на Direct Connect Clusters.

  • При указании Remote IP Subnets в конфигурации Virtual Interface клиент задает статические маршруты в Route Table ассоциированного VPC, а также статические маршруты к данным IP-подсетям через клиентский Router.

На внутреннем технологическом соединении между Virtual Routers двух смежных Transit Zones используется протокол internal BGP (AS#64512). Данное взаимодействие необходимо чтобы обеспечить прохождение трафика к удаленным ресурсам от виртуальной машины ECS из любой зоны доступности (AZ).

В зависимости от расположения ECS и выбора определенной Transit Zone для сервиса Direct Connect путь исходящего трафика из платформы к удаленному ЦОДу клиента может отличаться. Приоритетным промежуточным узлом для трафика ECS в AZ#1 и AZ#3 к удаленным ресурсам является Transit Zone #1, а для ECS в AZ#2 — Transit Zone #2. Поэтому в данном сценарии маршрут от ECS из AZ#2 в удаленный ЦОД будет иметь на один L3-hop меньше, по сравнению с ECS из AZ#1 или AZ#3. Маршрут обратного входящего трафика на уровне L3-hops отличаться не будет.

../../_images/schm__templates_adv_network-tools_dc-bgp-l3-vpn-logic.svg

Реализация

Порядок конфигурации данного сценария клиентом в консоли Cloud.ru Advanced:

  1. В консоли Advanced убедиться, что во вкладке Virtual Private Cloud → Direct Connect → Connection имеется запись о созданном службой эксплуатации сетевом соединении с назначенным Vlan ID.

  2. На вкладке Virtual Private Cloud → Direct Connect → Virtual Gateways выбрать Create Virtual Gateway и затем:

    • Задать произвольное имя Virtual Gateway в разделе Name.

    • Выбрать в выпадающем меню в разделе VPC один из имеющихся виртуальных тенантов.

    • Указать в разделе Subnet CIDR Block, к каким IP-подсетям данного тенанта разрешается доступ извне.

    • Нажать ОK.

  3. На вкладке Virtual Private Cloud → Direct Connect → Virtual Interfaces выбрать Create Virtual Interface и затем:

    • Задать произвольное имя Virtual Interface в разделе Name.

    • Выбрать в выдающем меню в разделе Connection соответствующий профиль соединения.

    • Выбрать в выдающем меню в разделе Virtual Gateway вновь созданный Virtual Gateway.

    • Назначить IP-адрес в разделе Local Gateway для соединения Point-to-Point со стороны Advanced.

    • Указать IP-адрес в разделе Remote Gateway для соединения Point-to-Point на удаленном роутере клиента.

    • Указать в разделе Remote Subnet список удаленных IP-подсетей, к которым разрешается доступ.

    • Выбрать в разделе Routing Mode режим динамической маршрутизации — BGP.

    • Указать номер удаленной автономной системы — BGP AS=4213104999 для Transit Zone #1, или AS=4213117999 для Transit Zone #2.

    • Нажать Create Now.

См.также

Обзор Direct Connect

Масштабная конференция
GoCloud 2024:
облачные грани будущего