Udostępnij za pośrednictwem

Przejrzyj wzorzec referencyjny sieci wdrażania z dwoma węzłami dla pamięci masowej, bez przełącznika lub z jednym przełącznikiem dla usługi Azure Local

  • Artykuł

Dotyczy: Azure Local 2311.2 i nowsze

W tym artykule opisano konfigurację dwuwęzłową bez przełącznika, z jednym przełącznikiem TOR jako wzór odniesienia sieci, którego można użyć do wdrożenia rozwiązania lokalnego platformy Azure. Informacje przedstawione w tym artykule ułatwiają również określenie, czy ta konfiguracja jest odpowiednia dla potrzeb dotyczących planowania wdrożenia. Ten artykuł dotyczy administratorów IT, którzy wdrażają platformę Azure Lokalnie i zarządzają nią w swoich centrach danych.

Aby uzyskać informacje o innych wzorcach sieci, zobacz Wzorce wdrażania sieci lokalnej platformy Azure.

Scenariusze

Scenariusze dla tego wzorca sieci obejmują laboratoria, fabryki, sklepy detaliczne i obiekty rządowe.

Rozważ ten wzorzec w przypadku ekonomicznego rozwiązania, które obejmuje odporność na uszkodzenia na poziomie systemu, ale może tolerować przerwy w łączności dla ruchu północnego, jeśli pojedynczy przełącznik fizyczny ulegnie awarii lub wymaga konserwacji.

Ten wzorzec można skalować w poziomie, ale wymaga przestoju pracy w celu ponownego skonfigurowania magazynowej łączności fizycznej oraz ponownej konfiguracji sieci magazynowej. Mimo że usługi SDN L3 są w pełni obsługiwane dla tego wzorca, usługi routingu, takie jak protokół BGP, muszą być skonfigurowane na urządzeniu zapory w ramach przełącznika TOR, jeśli ten nie obsługuje usług L3. Funkcje zabezpieczeń sieci, takie jak mikrosegmentacja i QoS, nie wymagają dodatkowej konfiguracji na urządzeniu zapory, ponieważ są one implementowane na przełączniku wirtualnym.

Składniki łączności fizycznej

Jak pokazano na poniższym diagramie, ten wzorzec zawiera następujące składniki sieci fizycznej:

  • Pojedynczy przełącznik TOR do komunikacji ruchu północno-południowego.

  • Dwa zespołowe porty sieciowe do obsługi zarządzania i ruchu obliczeniowego połączone z przełącznikiem L2 na każdym hoście

  • Dwie karty sieciowe RDMA w konfiguracji pełnej siatki dla ruchu między węzłami poziomymi do przechowywania. Każdy węzeł w systemie ma nadmiarowe połączenie z innym węzłem w systemie.

  • Opcjonalnie, niektóre rozwiązania mogą używać konfiguracji bez karty BMC do celów bezpieczeństwa.

Diagram przedstawiający układ łączności fizycznej bez przełącznika z dwoma węzłami.

Sieci Zarządzanie i obliczenia Przechowywanie BMC
Szybkość łącza Co najmniej 1 Gb/s. Zaleca się 10 Gb/s Co najmniej 10 Gb/s Sprawdź u producenta sprzętu
Typ interfejsu RJ45, SFP+ lub SFP28 SFP+ lub SFP28 RJ45
Porty i agregacja Dwa porty zespołowe Dwa porty autonomiczne Jeden port

Zamierzenia sieci ATC

W przypadku wzorców magazynowania bezprzełącznikowego z dwoma węzłami, tworzone są dwie intencje sieciowe ATC. Pierwszy dla ruchu sieciowego zarządzania i przetwarzania, a drugi dla ruchu sieciowego pamięci.

Diagram przedstawiający intencje sieci ATC dla dwu-węzłowej sieci bez przełącznika

Zamiar zarządzania i przetwarzania

  • Typ intencji: zarządzanie i obliczenia
  • Tryb intencji: tryb klastra
  • Tworzenie zespołu: Tak. pNIC01 i pNIC02 są zgrupowane jako zespół
  • Domyślna sieć VLAN zarządzania: skonfigurowana sieć VLAN dla adapterów zarządzania nie została zmodyfikowana
  • VLAN-y PA i obliczeniowe VNIC-i: sieć ATC jest przezroczysta dla PA VNIC-ów i VLAN-ów lub obliczeniowych VM VNIC-ów i VLAN-ów.

Cel magazynowania

  • Typ intencji: Przechowywanie
  • Tryb zamiaru: Tryb klastra
  • Łączenie: pNIC03 i pNIC04 używają funkcji SMB Multichannel, aby zapewnić odporność i agregację przepustowości.
  • Domyślne sieci VLAN:
    • 711 dla sieci magazynowej 1
    • 712 dla sieci magazynowej 2
  • Domyślne podsieci:
    • 10.71.1.0/24 dla sieci pamięci masowej 1
    • 10.71.2.0/24 dla sieci pamięci masowej 2

Aby uzyskać więcej informacji, zobacz Wdrażanie sieci hostów.

Wykonaj następujące kroki, aby utworzyć intencje sieciowe dla tego wzorca referencyjnego:

  1. Uruchom program PowerShell jako administrator.

  2. Uruchom następujące polecenie:

    Add-NetIntent -Name <Management_Compute> -Management -Compute -ClusterName <HCI01> -AdapterName <pNIC01, pNIC02>
Add-NetIntent -Name <Storage> -Storage -ClusterName <HCI01> -AdapterName <pNIC03, pNIC04>

Składniki łączności logicznej

Jak pokazano na poniższym diagramie, ten wzorzec ma następujące składniki sieci logicznej:

Diagram przedstawiający układ łączności fizycznej bez przełącznika z jednym węzłem.

VLAN-y sieci pamięci masowej

Ruch zaprojektowany dla magazynowania składa się z dwóch oddzielnych sieci obsługujących ruch RDMA. Każdy interfejs będzie przeznaczony dla oddzielnej sieci magazynowej, a oba mogą korzystać z tego samego tagu sieci VLAN. Ten ruch jest przeznaczony tylko do podróży między dwoma węzłami. Ruch sieciowy magazynowania to sieć prywatna bez łączności z innymi zasobami.

Adaptery magazynujące działają w różnych podsieciach IP. Aby włączyć konfigurację bez przełącznika, każdy połączony węzeł obsługuje zgodną podsieć sąsiada. Każda sieć magazynowa domyślnie używa wstępnie zdefiniowanych sieci VLAN sieci ATC (711 i 712). Jednak te sieci VLAN można dostosować w razie potrzeby. Ponadto, jeśli domyślne podsieci zdefiniowane przez usługę Network ATC (10.71.1.0/24 i 10.71.2.0/24) nie mogą być używane, spoczywa na tobie odpowiedzialność za przypisanie wszystkich adresów IP przechowywania w systemie.

Aby uzyskać więcej informacji, zobacz Omówienie usługi Network ATC.

Sieć OOB

Sieć Out of Band (OOB) jest dedykowana wspieraniu interfejsu zdalnego zarządzania serwerem bez fizycznej obecności, znanego również jako kontroler zarządzania płytą główną (BMC). Każdy interfejs BMC łączy się z przełącznikiem dostarczonym przez klienta. Kontroler BMC służy do automatyzowania scenariuszy rozruchu środowiska PXE.

Sieć zarządzania wymaga dostępu do interfejsu BMC przy użyciu portu 623 protokołu UDP (Intelligent Platform Management Interface).

Sieć OOB jest odizolowana od obciążeń obliczeniowych i jest opcjonalna w przypadku wdrożeń nienależących do rozwiązań.

VLAN zarządzania

Wszystkie hosty obliczeniowe fizyczne wymagają dostępu do sieci logicznej zarządzania. W przypadku planowania adresów IP każdy fizyczny host obliczeniowy musi mieć co najmniej jeden adres IP przypisany z sieci logicznej zarządzania.

Serwer DHCP może automatycznie przypisywać adresy IP dla sieci zarządzania lub ręcznie przypisywać statyczne adresy IP. Jeśli protokół DHCP jest preferowaną metodą przypisywania adresów IP, zalecamy używanie rezerwacji DHCP bez wygaśnięcia.

Sieć zarządzania obsługuje następujące konfiguracje sieci VLAN:

  • Natywna sieć VLAN — nie musisz dostarczać identyfikatorów sieci VLAN. Jest to wymagane w przypadku instalacji opartych na rozwiązaniach.

  • Oznakowana sieć VLAN – należy podać identyfikatory sieci VLAN w momencie wdrażania.

Sieć zarządzania obsługuje cały ruch używany do zarządzania klastrem, w tym pulpitu zdalnego, Centrum administracyjnego systemu Windows i usługi Active Directory.

Aby uzyskać więcej informacji, zobacz Planowanie infrastruktury SDN: Zarządzanie i Dostawca HNV.

Sieci VLAN dla obliczeń

W niektórych scenariuszach nie trzeba używać wirtualnych sieci SDN z kapsułowaniem Virtual Extensible LAN (VXLAN). Zamiast tego można używać tradycyjnych sieci VLAN do izolowania obciążeń najemcy. Te sieci VLAN są konfigurowane na porcie przełącznika TOR w trybie magistrali. Podczas łączenia nowych maszyn wirtualnych z tymi sieciami VLAN, odpowiedni tag VLAN jest definiowany na wirtualnej karcie sieciowej.

Sieć dostawców adresu HNV (PA)

Sieć adresów dostawcy wirtualizacji sieci Hyper-V (PA) służy jako podstawowa sieć fizyczna dla ruchu najemców East/West (wewnętrzny-wewnętrzny), ruchu najemców Północ/Południe (zewnętrzny-wewnętrzny) oraz wymiany informacji peeringowych BGP z siecią fizyczną. Ta sieć jest wymagana tylko wtedy, gdy konieczne jest wdrożenie sieci wirtualnych przy użyciu hermetyzacji sieci VXLAN dla innej warstwy izolacji i wielodostępności sieci.

Aby uzyskać więcej informacji, zobacz Planowanie infrastruktury SDN: zarządzanie i dostawca HNV.

Opcje izolacji sieciowej

Obsługiwane są następujące opcje izolacji sieciowej:

Sieci VLAN (IEEE 802.1Q)

Sieci VLAN umożliwiają urządzeniom, które muszą być oddzielone, aby współużytkować okablowanie sieci fizycznej, a jednak nie mogą bezpośrednio wchodzić ze sobą w interakcje. To udostępnianie zarządzane daje zyski w prostocie, bezpieczeństwie, zarządzaniu ruchem i gospodarce. Na przykład sieć VLAN może służyć do oddzielania ruchu w firmie na podstawie poszczególnych użytkowników lub grup użytkowników lub ich ról lub na podstawie właściwości ruchu. Wiele usług hostingowych w Internecie używa sieci VLAN do oddzielania stref prywatnych od siebie, umożliwiając grupowanie serwerów każdego klienta w jednym segmencie sieci, niezależnie od tego, gdzie poszczególne serwery znajdują się w centrum danych. Niektóre środki ostrożności są potrzebne, aby zapobiec potencjalnemu ucieczaniu ruchu z danej sieci VLAN, exploitowi znanemu jako przeskakiwanie VLAN.

Aby uzyskać więcej informacji, zobacz Omówienie użycia sieci wirtualnych i sieci VLAN.

Domyślne zasady dostępu do sieci i mikrosegmentacja

Domyślne zasady dostępu do sieci zapewniają, że wszystkie maszyny wirtualne w klastrze azure Stack HCI są domyślnie zabezpieczone przed zagrożeniami zewnętrznymi. Dzięki tym zasadom domyślnie zablokujemy dostęp przychodzący do maszyny wirtualnej, zapewniając jednocześnie opcję włączania selektywnych portów przychodzących, a tym samym zabezpieczania maszyn wirtualnych przed atakami zewnętrznymi. To wymuszanie jest dostępne za pośrednictwem narzędzi do zarządzania, takich jak Windows Admin Center.

Mikrosegmentacja obejmuje tworzenie szczegółowych zasad sieciowych między aplikacjami i usługami. Zasadniczo zmniejsza to obwód zabezpieczeń do ogrodzenia wokół każdej aplikacji lub maszyny wirtualnej. To ogrodzenie umożliwia tylko niezbędną komunikację między warstwami aplikacji lub innymi granicami logicznymi, co sprawia, że niezwykle trudne dla cyberataków rozprzestrzenianie się poprzecznie z jednego systemu do innego. Mikrosegmentacja bezpiecznie izoluje sieci od siebie i zmniejsza całkowitą powierzchnię ataku podczas incydentu bezpieczeństwa sieci.

Domyślne zasady dostępu do sieci oraz mikrosegmentacja są realizowane jako stanowe reguły zapory sieciowej o pięciu elementach (prefiks adresu źródłowego, port źródłowy, prefiks adresu docelowego, port docelowy i protokół) w klastrach Azure Stack HCI. Reguły zapory są również nazywane Sieciowymi Grupami Zabezpieczeń (NSG). Te zasady są wymuszane na porcie vSwitch każdej maszyny wirtualnej. Zasady są wprowadzane przez warstwę zarządzania, a kontroler sieci SDN dystrybuuje je do wszystkich odpowiednich hostów. Te zasady są dostępne dla maszyn wirtualnych w tradycyjnych sieciach sieci VLAN i w sieciach nakładek SDN.

Aby uzyskać więcej informacji, zobacz Co to jest zapora centrum danych?.  

QoS dla kart sieciowych maszyn wirtualnych

Możesz skonfigurować jakość usług (QoS) dla karty sieciowej maszyny wirtualnej, aby ograniczyć przepustowość interfejsu wirtualnego i zapobiec konkurowaniu maszyny wirtualnej o dużym obciążeniu z innym ruchem sieciowym maszyn wirtualnych. Możesz również skonfigurować funkcję QoS, aby zarezerwować określoną przepustowość dla maszyny wirtualnej, aby upewnić się, że maszyna wirtualna może wysyłać ruch niezależnie od innego ruchu w sieci. Można to zastosować do maszyn wirtualnych dołączonych do tradycyjnych sieci VLAN, a także maszyn wirtualnych dołączonych do sieci nakładek SDN.

Aby uzyskać więcej informacji, zobacz Konfigurowanie QoS dla adaptera sieciowego maszyny wirtualnej.

Sieci wirtualne

Wirtualizacja sieci udostępnia sieci wirtualne maszynom wirtualnym podobne do sposobu, w jaki wirtualizacja serwera (hypervisor) udostępnia maszyny wirtualne do systemu operacyjnego. Wirtualizacja sieci oddziela sieci wirtualne od fizycznej infrastruktury sieciowej i eliminuje ograniczenia związane z przypisywaniem sieci VLAN oraz hierarchicznych adresów IP dla aprowizacji maszyn wirtualnych. Taka elastyczność ułatwia przejście do chmur IaaS (Infrastruktura jako Usługa) i jest efektywna dla hostów oraz administratorów centrów danych w zarządzaniu infrastrukturą, przy jednoczesnym utrzymaniu koniecznej izolacji wielodostępnościowej, spełnianiu wymogów bezpieczeństwa i obsłudze nakładających się adresów IP maszyn wirtualnych.

Aby uzyskać więcej informacji, zobacz Wirtualizację sieci Hyper-V.

Opcje usług sieciowych L3

Dostępne są następujące opcje usługi sieci L3:

Peering sieci wirtualnej

Peering sieci wirtualnych umożliwia bezproblemowe łączenie dwóch sieci wirtualnych. Po połączeniu równorzędnym sieci wirtualne działają jak jedna. Korzystanie z peeringu wirtualnych sieci zapewnia następujące korzyści:

  • Ruch między maszynami wirtualnymi w równorzędnych sieciach wirtualnych jest kierowany tylko przez infrastrukturę szkieletową za pośrednictwem prywatnych adresów IP. Komunikacja między sieciami wirtualnymi nie wymaga publicznego Internetu ani bram.
  • Połączenie o małych opóźnieniach i dużej przepustowości między zasobami w różnych sieciach wirtualnych.
  • Możliwość komunikacji zasobów w jednej sieci wirtualnej z zasobami w innej sieci wirtualnej.
  • Brak przestoju zasobów w żadnej z sieci wirtualnych podczas tworzenia peeringu.

Aby uzyskać więcej informacji, zobacz Peering sieci wirtualnych.

Programowy moduł równoważenia obciążenia sieci SDN

Dostawcy usług w chmurze (CSP) i przedsiębiorstwa wdrażające programową sieć zdefiniowaną przez oprogramowanie (SDN) mogą używać programowego modułu równoważenia obciążenia (SLB), aby równomiernie dystrybuować ruch sieciowy klientów między zasobami sieci wirtualnej. SLB umożliwia wielu serwerom hostowanie tego samego obciążenia, zapewniając wysoką dostępność i skalowalność. Służy również do udostępniania przychodzących usług translatora adresów sieciowych (NAT) na potrzeby dostępu przychodzącego do maszyn wirtualnych i wychodzących usług NAT na potrzeby łączności wychodzącej.

Korzystając z usługi SLB, można zwiększyć skalę swoich możliwości równoważenia obciążenia, używając maszyn wirtualnych SLB na tych samych serwerach Hyper-V, które są wykorzystywane dla innych obciążeń maszyn wirtualnych. SLB obsługuje szybkie tworzenie i usuwanie punktów końcowych równoważenia obciążenia zgodnie z wymaganiami dotyczącymi operacji CSP. Ponadto SLB obsługuje dziesiątki gigabajtów na klaster, zapewnia prosty model aprowizacji i jest łatwy do skalowania w górę i w dół. SLB używa protokołu Border Gateway Protocol do anonsowania wirtualnych adresów IP do sieci fizycznej.

Aby uzyskać więcej informacji, zobacz Co to jest SLB dla sieci SDN?

Bramki VPN SDN

Brama SDN to router oparty na oprogramowaniu obsługujący Border Gateway Protocol (BGP), przeznaczony dla dostawców usług i przedsiębiorstw, które hostują wielodzierżawcze sieci wirtualne przy użyciu wirtualizacji sieci Hyper-V (HNV). Brama RAS umożliwia kierowanie ruchu sieciowego między siecią wirtualną a inną siecią lokalną lub zdalną.

Brama SDN może służyć do:

  • Utwórz bezpieczne połączenia IPsec typu lokacja-lokacja między sieciami wirtualnymi SDN i zewnętrznymi sieciami klientów za pośrednictwem Internetu.

  • Utwórz połączenia protokołu GRE (Generic Routing Encapsulation) między sieciami wirtualnymi SDN i sieciami zewnętrznymi. Różnica między połączeniami typu lokacja-lokacja i połączeniami GRE polega na tym, że ten ostatni nie jest szyfrowanym połączeniem.

    Aby uzyskać więcej informacji na temat scenariuszy łączności GRE, zobacz GRE Tunneling in Windows Server (Tunelowanie GRE w systemie Windows Server).

  • Utwórz połączenia warstwy 3 (L3) między sieciami wirtualnymi SDN i sieciami zewnętrznymi. W takim przypadku brama SDN działa po prostu jako router między siecią wirtualną a siecią zewnętrzną.

Brama SDN wymaga kontrolera sieci SDN. Kontroler sieci zarządza wdrażaniem pul bram, konfiguruje połączenia najemców na każdej bramie i przekierowuje ruch sieciowy na bramę zapasową, jeśli brama ulegnie awarii.

Bramy używają protokołu Border Gateway Protocol do ogłaszania punktów końcowych GRE i ustanawiania połączeń punkt-punkt. Wdrożenie SDN tworzy pulę domyślnej bramy wyjściowej, która obsługuje wszystkie typy połączeń. W tej puli można określić, ile bramek jest zarezerwowanych w trybie gotowości na wypadek awarii aktywnej bramki.

Aby uzyskać więcej informacji, zobacz Co to jest brama RAS dla sieci SDN?

Następne kroki

Dowiedz się więcej o wzorcu sieciowym dwuwęzłowym bez przełącznika, z dwoma przełącznikami