虛擬雲網路

網路虛擬化NSX 技術文章系列一百八十九: NSX Advanced Load Balancer:構件說明與安裝流程(七)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

與傳統硬體應用遞送交換器,或被稱為”Application Switch”這些的友商方案不同,在絕大部分的狀況下,NSX Advanced Load Balancer (Avi Networks) 並不會被當成一台Switch或是Router。Avi通常建議是利用Reverse-Proxy的機制:當外部用戶往應用的連線要求送到Avi的服務引擎上,服務引擎會改用自己的IP地址往後端的Backend Server連線並取得回應。如果業務管理者需要看到用戶的來源地址連線,可以選擇採用X-Forwarded-For或是Proxy Protocol的方式來發送用戶IP資訊給後端伺服器。

 

這代表的是Avi在大多數環境內,不需要如同傳統硬體應用遞送交換器,從底層的vlan、IP網段與Gateway、路由等等開始配置。Avi的服務引擎大部分環境是虛機,建立在現有的虛擬化環境 / 公有雲上。因此,網路的配置上我們關注的是

 

  • Avi服務引擎虛機要如何接取到底層的虛擬網路

 

  • Avi服務引擎虛機本身以及上層業務採用的虛擬IP (Virtual IP) 要如何配置,對應的Gateway要如何設定

 

講起來很簡單,但要考慮的沒有那麼單純。如前兩篇討論,Avi的服務引擎是可以『動態』部署的,這代表我們不會一台台服務引擎手動去配置IP與Gateway。其次,Avi不僅可以連動底層的虛擬化平台,同時還可以連動SDN方案,或不同的公有雲。這代表其實在不同的”Cloud”裡,Avi的網路配置方式會有不同。

 

我沒有打算窮盡所有不同環境進行討論。但在接下來,我想要與大家就幾個代表性環境內的網路配置方式進行說明,分別是純vCenter / vSphere Cloud,NSX-T Cloud,AWS Cloud這三種。

 

vCenter/vSphere Cloud

 

在vCenter/vSphere Cloud內,配置的過程中Avi會詢問三個類型不同的網路:

 

  • 管理網路:這是服務引擎與Avi Controller連接的介面,純為Out-of-Band作為控制使用。

 

  • VIP網路:配置上層Virtual Service VIP的網路,提供Virtual Service服務的Avi Service Engine會動態將一個網卡放置到這個PG內(並配置IP),Virtual Service的VIP也會建立在此網段內

 

  • Backend Pool網路:配置往後端Backend Server接取的網路,提供Virtual Service服務的Avi Service Engine會依據Pool內的定義,動態將一個網卡放置到這個PG內(並配置IP),由此網段往後端Backend Server連接

 

用一張關係圖來進行說明:下圖的vCenter / vSphere環境內,管理者預先建立好了三個Port Group(用vSS / vDS建立均可):PG-Mgmt (vlan 10)、PG-VIP (vlan 101)、PG-Backend (vlan 102)。同時,透過採用DHCP,或是在Avi的配置內設定IP Pool,各網段內劃定一段IP範圍可提供服務引擎接取。

此時,

 

  • 當每一台Avi服務引擎動態建立時,這個服務引擎虛機的第一張網卡會接到PG-Mgmt內(於Avi vCenter / vSphere Cloud內指定)。服務引擎透過這個介面與Avi Controller進行溝通

 

而當一個Virtual Service被指定要放置到這台服務引擎 (透過Service Engine Group)時,

 

  • 在Virtual Service的配置內,透過VIP所在的網段,或是管理者手動指定要接到哪個網路,服務引擎虛機用一張網卡接到對應的Port Group (上圖的PG_VIP),並取得服務引擎在此網段上的介面IP,並且配置管理者指定的VIP

 

  • 在Pool配置內,透過Backend Server所在的網段,或是管理者手動指定要接到哪個網路,服務引擎虛機用一張網卡接到對應的Port Group (上圖的PG_Backend),並取得服務引擎在此網段的介面IP

 

下圖內是配置完的示意圖,服務引擎虛機左邊的Network 1介面單純進行管理用途,一張網卡接往前端的PG_VIP,一張網卡接往後端的PG_Backend。用戶連線由前端網路連到服務引擎上的Virtual IP,服務引擎改用後端自己本身的IP往Backend Server連接。

下圖內是一個實際環境動態部署出的服務引擎Avi-se-jedrl虛機的配置。大家可以看到,第一張網卡是接往管理網路。而Network 10是在Virtual Service設定後,由Controller動態指定連接到Avi-Tenant-01-VIP這個Port Group,Network 5則是連往後端的Avi-Tenant-01-Load Port Group。

Avi方案在vCenter/vSphere Cloud內的網路架構大致說明至此。我們的重點不在實務上的安裝流程,因此文內就沒有太多UI配置畫面,但希望各位可以理解後續若需安裝,架構上的網路設計概念為何。另外,常被客戶問的一個問題是,上面談到的三個網路一定要分開嗎?我們可不可以把VIP/Backend網路放在一起,或甚至單一網路把Mgmt/VIP/Backend都通吃呢?

 

答案是當然可以,但這樣做好不好,就是各位在架構上的取捨了。我的建議是如果能分開,分開當然是比較好,可以把不同性質的管理/業務分流,也較容易做到硬體上完整的頻寬使用(不同的Port Group在vSphere上可以選擇用不同的獨立網卡)。

 

下一篇我們和大家討論NSX-T Cloud內的網路配置。

相关文章

评论

发表评论

电子邮件地址不会被公开。 必填项已用*标注