Доступ к VPC через два соединения с использованием BGP

С помощью этого сценария вы сможете подключить локальную сеть центра обработки данных к облачной сети с помощью Direct Connect и BGP через два подключения.

Предварительные условия

Для подключения к устройству доступа в облаке ваша сеть должна использовать одномодовое волокно с пропускной способностью 1 Гбит/c, 10 Гбит/с, 40 Гбит/с или 100 Гбит/с.
Инкапсуляция VLAN 802.1Q должна поддерживаться на всем соединении, включая промежуточные устройства.
Ваше устройство должно поддерживать BGP и не должно использовать ASN 64512, который используется со стороны облака Advanced.

Планирование ресурсов

Перед началом работы нужно создать VPC. Подробная информация о нужных ресурсах:

Ресурс	Описание
VPC	Подсеть 192.168.0.0/16.
Connection	Соединения `dc-connect1` и `dc-connect2`, которые создаются автоматически и должны отображаться в консоли.
Virtual Gateway	Один виртуальный шлюз для объединения двух виртуальных интерфейсов — `vgw1`.
Virtual Interface	Два виртуальных интерфейса — `vif1` и `vif2`.

Схема доступа к VPC

Где:

DCGW — это виртуальный шлюз, через который осуществляется L3-соединение облачных сетей VPC с локальными сетями ЦОДов.
Virtual Gateway — это шлюз, который связывает сетевое соединение с виртуальным шлюзом DCGW.
Virtual Private Cloud — это сервис для управления виртуальными сетями и облачными ресурсами в них. VPC позволяет создавать и настраивать изолированные виртуальные частные сети, добавлять подсети, определять диапазон IP-адресов и настраивать таблицы маршрутизации.
Connection — это физическое подключение между локальным и облачным ЦОДами. В этом сценарии их два — Connection 1 и Connection 2.
AZ1 и AZ2 — это зоны доступности, в которые подключен Direct Connect.

Проверить подключение Direct Connect

Войдите в консоль управления Advanced:
- через личный кабинет Cloud.ru;
- как IAM-пользователь.
Чтобы открыть список сервисов, нажмите Service List.
Выберите Network → Direct Connect.
В меню слева перейдите в раздел Direct Connect → Connections.
Убедитесь, что два подключения отображаются в консоли.

Создать виртуальный шлюз

Чтобы создать виртуальный шлюз vgw1:

В меню слева перейдите в раздел Direct Connect → Virtual Gateways.
В правом верхнем углу нажмите Create Virtual Gateway.

Задайте параметры:

Параметр	Описание
Name	Введите название виртуального шлюза (от 1 до 64 символов).
VPC	Выберите VPC (виртуальную сеть), которую вы хотите подключить к Direct Connect.
Subnet CIDR Block	Укажите CIDR-блоки подсетей в виртуальной сети VPC для подключения к локальной сети ЦОДа. Примечание Чтобы сетевое оборудование локального ЦОДа было доступно по сети из виртуальных подсетей облака, добавьте в CIDR-блок виртуального шлюза транспортную подсеть. Транспортная подсеть в примере — `172.16.1.0/30`.
Description	Введите описание к виртуальному шлюзу (от 0 до 128 символов).

Нажмите OK.

Создать виртуальный интерфейс

На этом этапе нужно создать виртуальные интерфейсы vif1 и vif2. Затем поочередно связать vif1 с виртуальным шлюзом vgw1 и соединением dc-connect1, vif2 с виртуальным шлюзом vgw1 и соединением dc-connect2. Для этого:

В меню слева перейдите в раздел Direct Connect → Virtual Interfaces.
В правом верхнем углу нажмите Create Virtual Interface.

Задайте параметры:

Параметр	Описание
Name	Введите название виртуального интерфейса (от 1 до 64 символов).
Connection	Выберите подключение, с которым будет связан виртуальный интерфейс: при создании `vif1` выберите `dc-connect1`, при создании `vif2` выберите `dc-connect2`.
Virtual Gateway	Выберите виртуальный шлюз, с которым будет связан виртуальный интерфейс.
Local Gateway	Укажите IPv4-адрес локального шлюза в /30 подсети: при создании `vif1` введите `172.16.1.1/30` (dc-connect1) при создании `vif2` введите `172.16.2.1/30` (dc-connect2)
Remote Gateway	IPv4-адрес удаленного шлюза: при создании `vif1` введите `172.16.1.2/30` при создании `vif2` введите `172.16.2.2/30`
Remote Subnet	Укажите локальную подсеть центра обработки данных, которая должна быть доступна через Direct Connect: `10.0.0.0/8` Эта сеть появится в таблице маршрутизации автоматически. Чтобы указать несколько подсетей, разделите их запятыми. Можно указать не более 50 уникальных подсетей. Примечание Для упрощения диагностики в Remote Subnet рекомендуется дополнительно указать транспортную сеть. В этом примере транспортная сеть имеет адресацию `172.16.1.0/30` и `172.16.2.0/30`.
Routing Mode	Выберите режим маршрутизации BGP.
BGP ASN	Введите уникальный AS-номер BGP-узла. Со стороны облака Advanced используется значение `64512`, которое нельзя поменять. Примечание Для `vif1` и `vif2` задайте разные значения ASN BGP и BGP MD5.
BGP MD5 Authentication Key	Введите MD5-пароль для BGP-узла (необязательное поле).
Description	Введите описание к виртуальному интерфейсу (от 0 до 128 символов).

Нажмите Create Now.

Примечание

Стандартные правила групп безопасности запрещают весь входящий трафик, кроме трафика внутри группы. Убедитесь, что в обоих направлениях правила настроены так, как того требует ваш сценарий подключения.
Дождитесь распространения маршрута в облаке. Direct Connect автоматически прописывает маршруты после того, как будет установлено соединение между сетями облака и ЦОДа.

Настройте маршрутизацию на вашем устройстве. Пример конфигурации на устройстве Huawei:

bgp 64510
  peer 172.16.1.1 as-number 64512
  peer 172.16.1.1 password simple P@ssword
  peer 172.16.2.1 as-number 64512
  peer 172.16.2.1 password simple P@ssword
  network 10.0.0.0 255.0.0.0

Пример конфигурации на устройстве Cisco:

router bgp 64510
  neighbor 172.16.1.1 remote-as 64512
  neighbor 172.16.1.1 password P@ssword
  neighbor 172.16.2.1 remote-as 64512
  neighbor 172.16.2.1 password P@ssword
  network 10.0.0.0 mask 255.0.0.0

Соединения Active/Standby

По умолчанию BGP автоматически выбирает активные и резервные соединения. Чтобы вручную сконфигурировать dc-connect1 в качестве активного подключения, установите атрибут Local_Pref.

Пример конфигурации на устройстве Huawei:

bgp 64510
     peer 172.16.1.1  as-number 64512
     peer 172.16.1.1 password simple P@ssword
     peer 172.16.2.1 as-number 64512
     peer 172.16.2.1 password simple P@ssword
     peer 172.16.1.1 route-policy slave_direct_in import
     network 10.0.0.0 255.0.0.0
route-policy  slave_direct_in  permit node 10
     apply local-preference 90

Пример конфигурации на устройстве Cisco:

router bgp 64510
     neighbor 172.16.1.1 remote-as 64512
     neighbor 172.16.1.1 password P@ssword
     neighbor 172.16.2.1 remote-as 64512
     neighbor 172.16.2.1 password P@ssword
     neighbor 172.16.1.1 route-map slave_direct_in in
     network 10.0.0.0 mask 255.0.0.0
route-map slave_direct_in
     set local-preference 90

Верификация соединения

Чтобы убедиться, что ECS может взаимодействовать с локальным сервером в ЦОДе, отправьте ping из ECS на локальный сервер.

Отключите один из физических портов и снова запустите команду ping. ECS по прежнему должен обмениваться данными с локальным сервером.

Чтобы просмотреть маршрут, запустите команду tracert.