虛擬雲網路

網路虛擬化NSX 技術文章系列二百一十八: NSX Federation:方案說明與討論(四)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

前面我們先讓大家看到在NSX Federation架構內,管理者可以從Global Manager直接進行跨站點全域網路配置,包含Global T0 / T1 / Segment等,Global Manager會將這些配置下放到每個站點內的Local Manager進行本地配置。在多站點架構內大家通常一定會花很多時間討論的就是『與外部網路怎麼連接』?路由如何交換?站點失效時如何切換?接下來我想和大家討論這些議題。

回到展示的場景,把前篇的示意圖拉回來如下:

這邊我們來討論Global T0與外部兩個站點的實體網路是如何連接。首先談一下Federation在多站點時可以支援的南北向架構。總共有三種:

所有南北向網路流僅能從單一站點進出 (Location P/S),站點內T0Active/Standby備援

  • 請參考下圖,在此架構內,每個站點的Traffic都只能從選定的站點進出。圖內大家可以看到Location 1內的T0是Primary,Location 2是Secondary,此架構內,兩個站點的Traffic均是由Location 1的T0與外部進行傳輸
  • 在每個本地站點內,T0是以Active-Standby方式備援。下圖內,在Location 1的EN1是本地T0的Standby,EN2是Active,這代表T0正常時是由EN2這台Edge提供對外服務
  • 這種架構的好處是網路流單純、路由都從單一站點單一設備進出,設計與除錯簡單。問題在於所有Traffic都由單一站點出去,但只用一台Edge提供南北向負擔過大,可能會有頻寬效能不足的問題。

所有南北向網路流僅能從單一站點進出 (Location P/S),站點內T0Active/Active運作

  • 同樣地所有的Location僅是從單一站點與外部進行連通(下圖的Location 1),但是在同一個本地站點內,以Active / Active的方式用多台Edge來支持本地的T0,提供高頻寬。
  • 因為網路流進出還是在單一站點,所以路由的設計仍然單純。而且可以用多台Edge來提供南北向流量就可以解決頻寬效能不足的問題了。

所有南北向網路流從當地站點進出 (Location P/P),站點內T0Active/Active運作

  • 看起來很像讓大家興奮的Local egress了,每個站點的T0都可以對外。嗯看起來很美好,但沒有喔。
  • 圖裡面沒有畫得很清楚,但NSX架構內,單一虛機的網路流要連外時,並不是用這個虛機『在哪個Location』來決定它的出口在哪,而是這個虛機位於的網段,連接的T1 Gateway的Primary位置在哪,來決定此網段的出口在哪邊。T1往T0也可能會以ECMP的方式選擇不同站點出去。
  • 簡而言之,此架構沒有保證虛機一定會由自己的Location往外送出,當然NSX也無法控制回應的Traffic要由哪個Location送入。所以,如果大家真的想要採用此架構,要想清楚喔,單一個網路封包進出會在不同站點間飄來飄去,你可能根本找不到封包是怎麼送出流入的。

基本上若是以同時考慮到維運簡化以及效能,比較建議的方式還是上面的架構二;架構三只是能夠把所有站點都提供南北向流量,但沒有保證Local egress,維運檢測極為麻煩。但如果老闆就是想要看到雙中心,就是想要看到每個站點都有Traffic進出呢?其實也沒有問題。上面的配置單位都是在Global T0 Gateway。如果企業的NSX Federation環境內有兩組以上的Global T0,此時就可以選擇有些應用對應的T0出入口走Location 1,其他應用對應的T0 Traffic走Location 2,像下面這樣的架構了。

接下來回到最前面的展示環境,我們選擇架構二的T0 A/A in Location P/S方式來建置。在下圖內是我在此展示環境內對應T0與外部環境的IP與路由配置方式:

在Global Manager內,我們分別在Global T0 Gateway內進行了下列的配置:

  • 於台北端對應兩個vlan uplink網段,設定共四個uplink IP address
  • 與台北端實體路由器間建立4個BGP Neighbor,即上圖的紅色線
  • 新竹端進行相同的配置

Global Manager內,我們在台北端這裡的配置抓圖如下,包含了T0對外的IP定址以及BGP Neighbor:

同樣的,下圖是在新竹端的配置:

上面的圖內大家可以看到,這個Lab內的設計,台北端的南北向是透過172.31.52.0以及172.31.53.0這兩條路徑往上傳,而新竹端的南北向是透過172.31.54.0與172.31.55.0兩條路往上傳。在NSX Federation的設計內,雖然各站點都會與上面建立BGP連線,但路由只會從Primary的T0往外送,Secondary的站點不會送出路由。在上面的場景內,外部的路由器只會透過BGP收到來自台北neighbor關於底層Segment的路由資訊,而不會由新竹那邊的neighbor收到。因為是Lab,上述台北 / 新竹的外部實體路由器我是用同一台來做,但也因此可以很簡單地看出,此架構下所有的南北向進出目前都是從台北走:

關於Federation內的路由架構簡述先到這邊,這裡我們沒有進行『站點切換』的動作,這會在後面網誌內進行交代。

在本篇我們主要都是在討論Federation架構內Global T0的配置,下一篇我們要說明Global T1以及Segment的部分。

相关文章

评论

发表评论

电子邮件地址不会被公开。 必填项已用*标注