Что такое шлюз службы удаленного доступа (RAS) для программно-определяемой сети?
Применимо к: Локальные версии Azure, версии 23H2 и 22H2; Windows Server 2022, Windows Server 2019, Windows Server 2016
В этой статье представлен обзор шлюза службы удаленного доступа (RAS) для программно-определяемой сети (SDN) в Локальной среде Azure и Windows Server.
Шлюз RAS — это программный маршрутизатор пограничного шлюза (BGP), предназначенный для поставщиков облачных служб и предприятий, на которых размещаются мультитенантные виртуальные сети с помощью виртуализации сети Hyper-V (HNV). Шлюз RAS можно использовать для маршрутизации сетевого трафика между виртуальной сетью и другой сетью либо локальной, либо удаленной.
Шлюз RAS требует сетевого контроллера, который выполняет развертывание пулов шлюзов, настраивает подключения клиентов на каждом шлюзе и переключает потоки сетевого трафика в резервный шлюз, если шлюз завершается сбоем.
Примечание.
Мультитенантность — это возможность облачной инфраструктуры для поддержки рабочих нагрузок виртуальных машин нескольких клиентов, но изолировать их друг от друга, а все рабочие нагрузки выполняются в одной инфраструктуре. Несколько рабочих нагрузок отдельного клиента могут быть связаны взаимоподключением и управляться удаленно, оставаясь отделенными от рабочих нагрузок других клиентов и не позволяя другим клиентам управлять ими.
Функции
Шлюз RAS предлагает множество функций для виртуальной частной сети (VPN), туннелирования, пересылки и динамической маршрутизации.
VPN IPsec типа "сеть — сеть"
Эта функция шлюза RAS позволяет подключать две сети в разных физических расположениях через Интернет с помощью подключения "сеть — сеть" (S2S) виртуальной частной сети (VPN). Это зашифрованное подключение с помощью VPN-протокола IKEv2.
Для поставщиков УСЛУГ, на которых размещено множество клиентов в центре обработки данных, шлюз RAS предоставляет мультитенантное решение шлюза, которое позволяет клиентам получать доступ к ресурсам и управлять ими через VPN-подключения типа "сеть — сеть" с удаленных сайтов. Шлюз RAS разрешает поток сетевого трафика между виртуальными ресурсами в центре обработки данных и их физической сетью.
Туннели GRE типа "сеть — сеть"
Туннели на основе универсальной маршрутизации (GRE) позволяют подключаться между виртуальными сетями клиента и внешними сетями. Так как протокол GRE является упрощенным и поддерживает GRE на большинстве сетевых устройств, это идеальный вариант для туннелирования, где шифрование данных не требуется.
Поддержка GRE в туннелях S2S решает проблему переадресации между виртуальными сетями клиента и внешними сетями клиента с помощью мультитенантного шлюза.
Переадресация уровня 3
Переадресация уровня 3 (L3) обеспечивает подключение между физической инфраструктурой в центре обработки данных и виртуализированной инфраструктурой в облаке виртуализации сети Hyper-V. С помощью подключения пересылки L3 сетевые виртуальные машины клиента могут подключаться к физической сети через шлюз SDN, который уже настроен в среде SDN. В этом случае шлюз SDN выступает в качестве маршрутизатора между виртуализированной сетью и физической сетью.
На следующей схеме показан пример настройки пересылки L3 в локальной среде Azure, настроенной с SDN:
- В локальном экземпляре Azure есть две виртуальные сети: виртуальная сеть SDN 1 с префиксом адреса 10.0.0.0/16 и виртуальной сетью SDN 2 с префиксом адреса 16.0.0.0/16.
- Каждая виртуальная сеть имеет подключение L3 к физической сети.
- Так как подключения L3 предназначены для разных виртуальных сетей, шлюз SDN имеет отдельный отсек для каждого подключения, чтобы обеспечить гарантии изоляции.
- Каждый отсек шлюза SDN имеет один интерфейс в пространстве виртуальной сети и один интерфейс в физическом сетевом пространстве.
- Каждое подключение L3 должно сопоставляться с уникальной виртуальной локальной сетью в физической сети. Эта виртуальная локальная сеть должна отличаться от виртуальной локальной сети поставщика HNV, которая используется в качестве базовой физической сети для виртуализированного сетевого трафика.
- В этом примере используется статическая маршрутизация.
Ниже приведены сведения о каждом подключении, используемом в этом примере:
| Сетевой элемент | Подключение 1 | Подключение 2 |
|---|---|---|
| Префикс подсети шлюза | 10.0.1.0/24 | 16.0.1.0/24 |
| IP-адрес L3 | 15.0.0.5/24 | 20.0.0.5/24 |
| IP-адрес однорангового узла L3 | 15.0.0.1 | 20.0.0.1 |
| Маршруты по подключению | 18.0.0.0/24 | 22.0.0.0/24 |
Рекомендации по маршрутизации при использовании перенаправления L3
Для статической маршрутизации необходимо настроить маршрут в физической сети для доступа к виртуальной сети. Например, маршрут с префиксом адреса 10.0.0.0/16 со следующим прыжком в качестве IP-адреса подключения (15.0.0.5).
Для динамической маршрутизации с помощью BGP необходимо по-прежнему настроить статический маршрут /32, так как подключение BGP между внутренним интерфейсом шлюза и IP-адресом однорангового узла L3. Для подключения 1 пиринг будет составлять от 10.0.1.6 до 15.0.0.1. Поэтому для этого подключения требуется статический маршрут на физическом коммутаторе с префиксом назначения 10.0.0.1.6/32 со следующим прыжком как 15.0.0.5.
Если вы планируете развернуть подключения шлюза L3 с маршрутизацией BGP, настройте параметры BGP в верхней части стойки (ToR) следующим образом:
- update-source: это указывает исходный адрес для обновлений BGP, то есть VLAN L3. Например, виртуальная локальная сеть 250.
- ebgp multihop: это указывает больше прыжков, так как сосед BGP находится более одного прыжка.
Динамическая маршрутизация с помощью BGP
BGP снижает потребность в настройке маршрутов вручную на маршрутизаторах, так как это протокол динамической маршрутизации, а также автоматически изучает маршруты между сайтами, подключенными с помощью VPN-подключений типа "сеть — сеть". Если у вашей организации есть несколько сайтов, подключенных с помощью маршрутизаторов с поддержкой BGP, таких как шлюз RAS, BGP позволяет маршрутизаторам автоматически вычислять и использовать допустимые маршруты друг другу в случае сбоя сети или сбоя.
Отражатель маршрутов BGP, включенный в шлюз RAS, предоставляет альтернативу топологии полной сетки BGP, необходимой для синхронизации маршрутов между маршрутизаторами. Дополнительные сведения см. в разделе "Что такое отражатель маршрутов"?
Как работает шлюз RAS
Шлюз RAS направляет сетевой трафик между физической сетью и сетевыми ресурсами виртуальной машины независимо от расположения. Сетевой трафик можно маршрутизировать в одном физическом расположении или во многих разных расположениях.
Шлюз RAS можно развернуть в пулах высокой доступности, которые одновременно используют несколько функций. Пулы шлюзов содержат несколько экземпляров шлюза RAS для обеспечения высокой доступности и отработки отказа.
Вы можете легко масштабировать пул шлюзов вверх или вниз, добавив или удалив виртуальные машины шлюза в пуле. Удаление или добавление шлюзов не нарушает службы, предоставляемые пулом. Вы также можете добавлять и удалять все пулы шлюзов. Дополнительные сведения см. в разделе "Высокий уровень доступности шлюза RAS".
Каждый пул шлюзов обеспечивает избыточность M+N. Это означает, что количество активных виртуальных машин шлюза "M" выполняется с помощью N-числа резервных виртуальных машин шлюза. Избыточность M+N обеспечивает большую гибкость при определении уровня надежности, необходимого при развертывании шлюза RAS.
Вы можете назначить один общедоступный IP-адрес всем пулам или подмножества пулов. Это значительно сокращает количество используемых общедоступных IP-адресов, так как все клиенты могут подключаться к облаку по одному IP-адресу.
Следующие шаги
Дополнительные сведения см. также: