Udostępnij za pośrednictwem

Zapoznaj się ze wzorcem referencyjnym sieci wdrożeniowej z dwoma węzłami magazynu, przełączanej i niezbieżnej, dla usługi Azure Local

  • Artykuł

Dotyczy: Azure Local 2311.2 i nowsze

W tym artykule dowiesz się więcej na temat przełączonego magazynu dwuwęzłowego, niekonwergentnego wzorca referencyjnego sieci z dwoma przełącznikami TOR, którego można użyć do wdrożenia rozwiązania lokalnego platformy Azure. Informacje przedstawione w tym artykule ułatwią również określenie, czy ta konfiguracja jest odpowiednia dla potrzeb dotyczących planowania wdrożenia. Ten artykuł jest przeznaczony dla administratorów IT, którzy wdrażają platformę Azure Lokalnie i zarządzają nią w swoich centrach danych.

Aby uzyskać informacje na temat innych wzorców sieci, zobacz Wzorce wdrażania sieci lokalnej platformy Azure.

Scenariusze

Scenariusze dla tego wzorca sieci obejmują laboratoria, fabryki, biura oddziałów i obiekty centrum danych.

Wdróż ten wzorzec w celu zwiększenia wydajności sieci systemu i jeśli planujesz dodać dodatkowe węzły. Replikacja ruchu magazynowego Wschód-Zachód nie będzie zakłócać ani konkurować z ruchem północ-południe przeznaczonym na zarządzanie i obliczenia. Konfiguracja sieci logicznej podczas dodawania dodatkowych węzłów jest gotowa bez konieczności przestoju obciążenia lub zmian połączenia fizycznego. Usługi SDN L3 są w pełni obsługiwane w tym wzorcu.

Usługi routingu, takie jak protokół BGP, można skonfigurować bezpośrednio na przełącznikach TOR, jeśli obsługują one usługi L3. Funkcje zabezpieczeń sieci, takie jak mikrosegmentacja i QoS, nie wymagają dodatkowej konfiguracji na urządzeniu zapory, ponieważ są one implementowane w warstwie wirtualnej karty sieciowej.

Składniki łączności fizycznej

Jak opisano na poniższym diagramie, ten wzorzec ma następujące składniki sieci fizycznej:

  • Dla ruchu na kierunkach północ-południe system w tym schemacie jest implementowany z dwoma przełącznikami TOR w konfiguracji MLAG.

  • Dwie zespołowe karty sieciowe do obsługi zarządzania i ruchu obliczeniowego połączonego z dwoma przełącznikami TOR. Każda karta sieciowa jest podłączona do innego przełącznika TOR.

  • Dwie karty sieciowe RDMA w konfiguracji autonomicznej. Każda karta sieciowa jest podłączona do innego przełącznika TOR. Funkcja SMB multichannel zapewnia agregację ścieżki i odporność na uszkodzenia.

  • W ramach tej opcji wdrożenia mogą obejmować kartę BMC, aby umożliwić zdalne zarządzanie środowiskiem. Niektóre rozwiązania mogą używać konfiguracji bez karty BMC ze względów bezpieczeństwa.

Diagram przedstawiający układ łączności fizycznej bez przełącznika z dwoma węzłami.

Sieci Zarządzanie i obliczenia Przechowywanie BMC
Szybkość łącza Co najmniej 1 Gb/s. 10 Gb/s zalecane Co najmniej 10 Gb/s Sprawdź u producenta sprzętu
Typ interfejsu RJ45, SFP+ lub SFP28 SFP+ lub SFP28 RJ45
Porty i agregacja Dwa porty zespołowe Dwa porty autonomiczne Jeden port

Intencje sieci ATC

Diagram przedstawiający intencje sieci ATC bez przełączników z dwoma węzłami

Zamiar zarządzania i obliczeń

  • Typ intencji: Zarządzanie i obliczenia
  • Tryb zamiaru: Tryb klastra
  • Tworzenie zespołu: Tak. PNIC01 i pNIC02 są połączone w zespół
  • Domyślna sieć VLAN zarządzania: skonfigurowana sieć VLAN dla adapterów zarządzania nie jest modyfikowana
  • PA i sieci VLAN obliczeniowe oraz vNIC: Sieć ATC jest przezroczysta dla vNICów i VLANów PA albo vNICów i VLANów maszyn wirtualnych obliczeniowych.

Cel magazynowania

  • Typ intencji: Przechowywanie
  • Tryb intencji: tryb klastrowy
  • Tworzenie zespołu: pNIC03 i pNIC04 używają funkcji SMB Multichannel do zapewnienia odporności i agregacji przepustowości
  • Domyślne sieci VLAN:
    • 711 dla sieci magazynowej 1
    • 712 dla sieci magazynowej 2
  • Domyślne podsieci:
    • 10.71.1.0/24 dla sieci przechowywania 1
    • 10.71.2.0/24 dla sieci pamięci masowej 2

Wykonaj następujące kroki, aby utworzyć intencje sieciowe dla tego wzorca referencyjnego:

  1. Uruchom program PowerShell jako administrator.

  2. Uruchom następujące polecenia:

    Add-NetIntent -Name <Management_Compute> -Management -Compute -ClusterName <HCI01> -AdapterName <pNIC01, pNIC02>
Add-NetIntent -Name <Storage> -Storage -ClusterName <HCI01> -AdapterName <pNIC03, pNIC04>

Składniki łączności logicznej

Jak pokazano na poniższym diagramie, ten wzorzec ma następujące składniki sieci logicznej:

Diagram przedstawiający układ łączności fizycznej z dwoma węzłami.

Sieci VLAN dla sieci magazynowej

Ruch związany z magazynowaniem składa się z dwóch oddzielnych sieci wspierających ruch RDMA. Każdy interfejs jest przeznaczony dla oddzielnej sieci przechowywania, a każdy z nich może używać tego samego tagu sieci VLAN.

Adaptery pamięci masowej działają w różnych podsieciach IP. Każda sieć pamięci domyślnie używa wstępnie zdefiniowanych VLAN-ów ATC (711 i 712). Jednak te sieci VLAN można dostosować w razie potrzeby. Ponadto, jeśli domyślna podsieć zdefiniowana przez usługę ATC nie może być używana, jesteś odpowiedzialny za przypisanie wszystkich adresów IP przechowywania w systemie.

Aby uzyskać więcej informacji, zobacz Omówienie usługi Network ATC.

Sieć OOB

Sieć poza pasmem (OOB) jest przeznaczona do obsługi bezobsługowego interfejsu zarządzania serwerem, znanego również jako kontroler zarządzania płytą główną (BMC). Każdy interfejs BMC łączy się z przełącznikiem dostarczonym przez klienta. Kontroler BMC służy do automatyzowania scenariuszy rozruchu środowiska PXE.

Sieć zarządzania wymaga dostępu do interfejsu BMC przy użyciu portu 623 protokołu UDP (Intelligent Platform Management Interface).

Sieć OOB jest odizolowana od obciążeń obliczeniowych i jest opcjonalna w przypadku wdrożeń nienależących do rozwiązań.

Sieć VLAN zarządzania

Wszystkie hosty obliczeniowe fizyczne wymagają dostępu do sieci logicznej zarządzania. W przypadku planowania adresów IP każdy fizyczny host obliczeniowy musi mieć co najmniej jeden adres IP przypisany z sieci logicznej zarządzania.

Serwer DHCP może automatycznie przypisywać adresy IP dla sieci zarządzania lub ręcznie przypisywać statyczne adresy IP. Jeśli protokół DHCP jest preferowaną metodą przypisywania adresów IP, zalecamy używanie rezerwacji DHCP bez wygaśnięcia.

Sieć zarządzania obsługuje następujące konfiguracje sieci VLAN:

  • Natywna sieć VLAN — nie musisz dostarczać identyfikatorów sieci VLAN. Jest to wymagane w przypadku instalacji opartych na rozwiązaniach.

  • Oznakowana sieć VLAN — identyfikatory sieci VLAN są dostarczane w momencie wdrażania.

Sieć zarządzania obsługuje cały ruch używany do zarządzania klastrem, w tym pulpitu zdalnego, Centrum administracyjnego systemu Windows i usługi Active Directory.

Aby uzyskać więcej informacji, zobacz Planowanie infrastruktury SDN: Zarządzanie i Dostawca HNV.

VLAN-y obliczeniowe

W niektórych scenariuszach nie trzeba używać sieci wirtualnych SDN z hermetyzacją sieci LAN typu VXLAN. Zamiast tego można używać tradycyjnych sieci VLAN do izolowania obciążeń najemcy. Te sieci VLAN są konfigurowane na porcie przełącznika TOR w trybie magistrali. Podczas łączenia nowych maszyn wirtualnych z tymi sieciami VLAN odpowiedni tag sieci VLAN jest definiowany na wirtualnej karcie sieciowej.

Sieć adresów dostawców HNV (PA)

Sieć adresów dostawcy wirtualizacji sieci Hyper-V (HNV) (PA) służy jako podstawowa sieć fizyczna dla ruchu najemcy wewnętrznego East/West, ruchu najemcy zewnętrznego North/South oraz wymiany informacji peeringowych BGP z siecią fizyczną. Ta sieć jest wymagana tylko wtedy, gdy konieczne jest wdrożenie sieci wirtualnych przy użyciu hermetyzacji sieci VXLAN dla innej warstwy izolacji i wielodostępności sieci.

Aby uzyskać więcej informacji, zobacz Zaplanuj infrastrukturę SDN: Zarządzanie i Dostawca HNV.

Opcje izolacji sieciowej

Obsługiwane są następujące opcje izolacji sieciowej:

VLAN (IEEE 802.1Q)

Sieci VLAN umożliwiają urządzeniom, które muszą być oddzielone, aby współużytkować okablowanie sieci fizycznej, a jednak nie mogą bezpośrednio wchodzić ze sobą w interakcje. To udostępnianie zarządzane daje zyski w prostocie, bezpieczeństwie, zarządzaniu ruchem i gospodarce. Na przykład sieć VLAN może służyć do oddzielania ruchu w firmie na podstawie poszczególnych użytkowników lub grup użytkowników lub ich ról lub na podstawie właściwości ruchu. Wiele usług hostingowych w Internecie używa sieci VLAN do oddzielania stref prywatnych od siebie, umożliwiając grupowanie serwerów każdego klienta w jednym segmencie sieci, niezależnie od tego, gdzie poszczególne serwery znajdują się w centrum danych. Niektóre środki ostrożności są potrzebne, aby zapobiec "ucieczki" ruchu z danej sieci VLAN, luki znanej jako przeskok sieci VLAN.

Aby uzyskać więcej informacji, zobacz Omówienie użycia sieci wirtualnych i sieci VLAN.

Domyślne zasady dostępu do sieci i mikrosegmentacja

Domyślne zasady dostępu do sieci zapewniają, że wszystkie maszyny wirtualne w klastrze azure Stack HCI są domyślnie zabezpieczone przed zagrożeniami zewnętrznymi. Dzięki tym zasadom domyślnie zablokujemy dostęp przychodzący do maszyny wirtualnej, zapewniając jednocześnie opcję włączania selektywnych portów przychodzących, a tym samym zabezpieczania maszyn wirtualnych przed atakami zewnętrznymi. To wymuszanie jest dostępne za pośrednictwem narzędzi do zarządzania, takich jak Windows Admin Center.

Mikrosegmentacja obejmuje tworzenie szczegółowych zasad sieciowych między aplikacjami i usługami. Zasadniczo zmniejsza to obwód zabezpieczeń do ogrodzenia wokół każdej aplikacji lub maszyny wirtualnej. To ogrodzenie umożliwia tylko niezbędną komunikację między warstwami aplikacji lub innymi granicami logicznymi, co sprawia, że niezwykle trudne dla cyberataków rozprzestrzenianie się poprzecznie z jednego systemu do innego. Mikrosegmentacja bezpiecznie izoluje sieci od siebie i zmniejsza całkowitą powierzchnię podatną na ataki w przypadku incydentu bezpieczeństwa sieci.

Domyślne zasady dostępu do sieci i mikrosegmentacja realizuje się jako stanowe reguły zapory ogniowej z pięcioma parametrami (prefiks adresu źródłowego, port źródłowy, prefiks adresu docelowego, port docelowy i protokół) w klastrach usługi Azure Stack HCI. Reguły zapory są również nazywane sieciowymi grupami zabezpieczeń. Te zasady są wymuszane na porcie przełącznika wirtualnego każdej maszyny wirtualnej. Zasady są przekazywane przez warstwę zarządzania, a kontroler sieciowy SDN dystrybuuje je do wszystkich odpowiednich hostów. Te zasady są dostępne dla maszyn wirtualnych w tradycyjnych sieciach sieci VLAN i w sieciach nakładek SDN.

Aby uzyskać więcej informacji, zobacz Co to jest zapora centrum danych?.  

QoS dla kart sieciowych maszyn wirtualnych

Możesz skonfigurować jakość usług (QoS) dla karty sieciowej maszyny wirtualnej, aby ograniczyć przepustowość interfejsu wirtualnego i zapobiec rywalizacji maszyny wirtualnej o dużym natężeniu ruchu z ruchem sieciowym innych maszyn wirtualnych. Możesz również skonfigurować funkcję QoS, aby zarezerwować określoną przepustowość dla maszyny wirtualnej, aby upewnić się, że maszyna wirtualna może wysyłać ruch niezależnie od innego ruchu w sieci. Można to zastosować do maszyn wirtualnych dołączonych do tradycyjnych sieci VLAN, a także maszyn wirtualnych dołączonych do sieci nakładek SDN.

Aby uzyskać więcej informacji, zobacz Konfigurowanie QoS dla karty sieciowej w maszynie wirtualnej.

Sieci wirtualne

Wirtualizacja sieci udostępnia sieci wirtualne maszynom wirtualnym podobne do sposobu, w jaki wirtualizacja serwera (hypervisor) udostępnia maszyny wirtualne do systemu operacyjnego. Wirtualizacja sieci oddziela sieci wirtualne od infrastruktury sieci fizycznej i usuwa ograniczenia wynikające z przypisania VLAN i hierarchicznych adresów IP z udostępniania maszyn wirtualnych. Taka elastyczność ułatwia przejście do chmur Infrastructure-as-a-Service (IaaS) i jest wydajnym rozwiązaniem dla hostów oraz administratorów centrów danych do zarządzania infrastrukturą, utrzymując niezbędną izolację dla wielu dzierżawców, wymagań dotyczących zabezpieczeń oraz nakładających się adresów IP maszyn wirtualnych.

Aby uzyskać więcej informacji, zobacz Wirtualizacja sieci Hyper-V.

Opcje usług sieciowych L3

Dostępne są następujące opcje usługi sieci L3:

Peering sieci wirtualnej

Peering sieci wirtualnych umożliwia bezproblemowe połączenie dwóch sieci wirtualnych. Po zestawieniu połączenia sieci wirtualnych dla celów komunikacyjnych, sieci te sprawiają wrażenie jednej. Korzystanie z połączeń między sieciami wirtualnymi obejmuje następujące korzyści:

  • Ruch między maszynami wirtualnymi w równorzędnych sieciach wirtualnych jest kierowany tylko przez infrastrukturę szkieletową za pośrednictwem prywatnych adresów IP. Komunikacja między sieciami wirtualnymi nie wymaga publicznego Internetu ani bram.
  • Połączenie o małych opóźnieniach i dużej przepustowości między zasobami w różnych sieciach wirtualnych.
  • Możliwość komunikacji zasobów w jednej sieci wirtualnej z zasobami w innej sieci wirtualnej.
  • Brak przestoju dla zasobów w żadnej sieci wirtualnej podczas tworzenia połączenia równorzędnego.

Aby uzyskać więcej informacji, zobacz Peering sieci wirtualnych.

Programowy moduł równoważenia obciążenia sieci SDN

Dostawcy usług w chmurze (CSP) i przedsiębiorstwa wdrażające programową sieć zdefiniowaną przez oprogramowanie (SDN) mogą używać programowego modułu równoważenia obciążenia (SLB), aby równomiernie dystrybuować ruch sieciowy klientów między zasobami sieci wirtualnej. SLB umożliwia wielu serwerom hostowanie tego samego obciążenia, zapewniając wysoką dostępność i skalowalność. Służy również do udostępniania przychodzących usług translatora adresów sieciowych (NAT) na potrzeby dostępu przychodzącego do maszyn wirtualnych i wychodzących usług NAT na potrzeby łączności wychodzącej.

Korzystając z SLB, można skalować funkcje równoważenia obciążenia za pomocą maszyn wirtualnych SLB na tych samych serwerach Hyper-V, które są używane do innych obciążeń maszyn wirtualnych. SLB obsługuje szybkie tworzenie i usuwanie punktów końcowych równoważenia obciążenia zgodnie z wymaganiami dotyczącymi operacji CSP. Ponadto SLB obsługuje dziesiątki gigabajtów danych na klaster, zapewnia prosty model aprowizacji i jest łatwy do skalowania poziomo i pionowo. SLB używa protokołu Border Gateway Protocol do anonsowania wirtualnych adresów IP do sieci fizycznej.

Aby uzyskać więcej informacji, zobacz Co to jest SLB dla sieci SDN?

Bramy sieci VPN sieci SDN

Brama SDN to router oparty na oprogramowaniu obsługujący protokół BGP (Border Gateway Protocol) przeznaczony dla dostawców usług w chmurze i przedsiębiorstw, które hostują wielodostępne sieci wirtualne przy użyciu wirtualizacji sieci Hyper-V (HNV). Brama RAS umożliwia kierowanie ruchu sieciowego między siecią wirtualną a inną siecią lokalną lub zdalną.

Brama SDN może służyć do:

  • Utwórz bezpieczne połączenia IPsec typu lokacja-lokacja między sieciami wirtualnymi SDN i zewnętrznymi sieciami klientów za pośrednictwem Internetu.

  • Utwórz połączenia protokołu GRE (Generic Routing Encapsulation) między sieciami wirtualnymi SDN i sieciami zewnętrznymi. Różnica między połączeniami typu lokacja-lokacja i połączeniami GRE polega na tym, że ten ostatni nie jest szyfrowanym połączeniem.

    Aby uzyskać więcej informacji na temat scenariuszy łączności GRE, zobacz GRE Tunneling in Windows Server (Tunelowanie GRE w systemie Windows Server).

  • Utwórz połączenia warstwy 3 (L3) między sieciami wirtualnymi SDN i sieciami zewnętrznymi. W takim przypadku brama SDN działa po prostu jako router między siecią wirtualną a siecią zewnętrzną.

Brama SDN wymaga kontrolera sieci SDN. Kontroler sieci wykonuje wdrażanie pul bram, konfiguruje połączenia dzierżawców na każdej bramie i przełącza przepływ ruchu sieciowego do bramy rezerwowej, jeśli brama ulegnie awarii.

Bramy używają protokołu Border Gateway Protocol do anonsowania punktów końcowych GRE i ustanawiania połączeń punkt-punkt. Wdrożenie SDN tworzy domyślną pulę bram, która obsługuje wszystkie typy połączeń. W tej puli można określić, ile bram jest zarezerwowanych w gotowości w przypadku awarii aktywnej bramy.

Aby uzyskać więcej informacji, zobacz Co to jest brama RAS dla sieci SDN?

Następne kroki

Dowiedz się więcej o wzorcu sieciowym z przełączaną pamięcią o dwóch węzłach, w pełni zintegrowanym.