作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與SD-WAN方案的介紹與推廣。
NSX SD-WAN的方案要能夠集中並且簡易地進行外點間的連接。我們在討論的可能是由外點辦公室連往資料中心或總部,或是外點辦公室間的互聯,像是兩個外點辦公室間的語音通話等。因此,這邊對於各個辦公室與總部之間連線的要求,大致有包含如下:
- 可以透過Internet的線路或是現有的私有線路進行連線。
- 當然,無論走那個線路,所有應用間的傳輸必須要加密。
- 當然,各個應用跨VPN傳輸時要能夠監控效能而且在品質不佳時優化或切換線路。
- 在有很多個外點時,VPN的配置可以簡化並且集中配置,不用command line寫到吐出來。
- 兩個外點辦公室間有應用連線時,不需要先繞回總部(Hub and Spoke),可以兩個外點辦公室間透過中間雲網路直連。
前面的幾個需求,Velocloud的DMPO機制原本就能完整支援。而後面這邊就是Velocloud Cloud VPN的主要功能了。與其他WAN方案相比,Velocloud內支援的Cloud VPN有下列的特點:
- 配置極為簡化、集中部署,有N個外點時不需要做NxN個通道配置。
- VPN間的加密金鑰並非預先設定,而是傳輸時由Orchestrator配置。Orchestrator建置時有整合CA中心,因此是以強固、且時常更換的PKI機制來確保加密強度。
- Cloud VPN支援外點間(Spoke & Spoke)的直接傳輸,優化應用路徑並減少Latency。
首先下圖內大家可以看到管理者透過Orchestrator進行的VPN配置。在下面的設定內,我們是直接在Profile內進行VPN的配置。這邊的配置有套用到多少個外點,所有的外點Edge設備就都能直接VPN功能生效,無論是3台還是300台Edge。
在上圖內,我們的配置包含了:
- Branch to Velocloud Hubs:
這邊會要選擇哪邊是用戶的Hub地點,也就是用戶主要的資料中心或是企業總部。當管理者啟用這邊的功能,並且選擇了有哪些點的Edge設備是Hub,所有的外點Edge就能與Hub的Edge間建立VMPO通道,達成外點辦公室到資料中心(Hub)間的應用連接
- Branch to Branch VPN:
當這邊選擇Enable,就代表要繞通外點辦公室間的路由,讓兩個外點間的應用能夠互通。在這邊的配置內,我們要選擇兩個外點間的VPN路由繞送是通過用戶自己的資料中心Edge設備 (Velocloud Hub),或是透過Velocloud雲上的Gateway (Cloud Gateway)
- Dynamic Branch to Branch VPN:
在沒有選擇Dynamic Branch to Branch VPN時,兩個外點間的Traffic要先送往Hub or Gateway,再繞回另一個外點。這樣的Latency會較高,當然不是用戶樂見的。因此在這邊啟用此功能時,兩個外點間的傳輸就會改採用最短路徑進行。
下圖內是簡要的說明。無論我們選擇是採用Velocloud Hub或是Cloud Gateway,在兩個外點間的VPN通道都會是動態建立。當有應用要進行外點間Edge to Edge的連線時,這個應用初始的傳輸還是會通過中心端 (Hub or Cloud Gateway);但同時SD-WAN也會動態開始建立兩個外點Edge間的DMPO通道,而當通道建立後,後續的應用傳輸就會走直連的最短路徑了。
然後呢?然後就已經配置好啦。我們在Orchestrator上面做的總共就是
- 在共通的Profile內啟用Cloud VPN功能(打勾)
- 選擇哪些Edge是企業的資料中心或總部(點擊,選擇)
- 啟用Branch到Branch間的連線(打勾,選擇一個Hub)
- 啟用Dynamic Branch to Branch VPN(打勾)
不用設密碼,不用一台一台設,各位的一百個外點間的VPN就啟用了啊,有比這個更簡單地設定嗎??希望上面的說明能讓大家對Velocloud內VPN的機制有進一步的了解。