虛擬雲網路

網路虛擬化NSX 技術文章系列二百五十九: NSX Application Platform簡介與配置流程(四)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

前篇內我們說明了在NSX Application Platform (NAPP) 安裝前的底層資源準備,所以接下來讓我們大展手腳開始安裝嗎?等等,我們來討論一下在開始配置 Tanzu Kubernetes Cluster前,容器庫需求要怎麼解決。

這邊其實和NSX與網路沒什麼太大關係,我們在討論的是標準的包含Kubernetes / Docker / Harbor間的憑證處理與安全性連線機制,即使大家不是安裝NAPP而是配置一些商用或內部開發的容器應用,會碰到一模一樣的問題。但既然我們要安裝NAPP時避不開,一定得確認這邊的架構,那大家就放開來討論吧。

NSX Application Platform在安裝時,以目前3.2的第一個版本,有80個image,使用接近 10 GB的空間。

所以這麼多image這麼大的容量,我們要從哪邊抓下來呢?此時有三種處理方式:

架構一:不建置私有容器庫,直接從VMwareInternet上的開放容器庫拉取相關image

這當然是最簡單的做法。如同大家要拉不同的docker image可以到docker的開放repository內,VMware也有開放供客戶使用的repository在projects.registry.vmware.com,如同下圖架構:

此架構是最推薦,安裝最簡單最無腦的。但當然,重要的條件限制在Internet連線上:

  • 得要能從Internet拉NAPP及NDR / Intelligence等等image下來安裝,當然必須要有Internet連線或透過Proxy。
  • 如前面說明,全部image要拉下來,前前後後有接近10 GB。親愛的客戶,可否給我們一個又穩定、頻寬又很大的Internet連線呢?

如果上面的需求都能符合,當然最建議大家使用這種方式。

架構二:建置私有容器庫,透過第三方公正CA申請容器庫的憑證

第一種架構除了網路使用量較大外,針對一些企業本身開發的應用,肯定不會想放到Public Repository上讓所有人都看得到可進行下載。因此在中大型Kubernetes環境,建立 Harbor或其他常用同類私有容器庫是必須的方式。架構大概是像下面這樣:

自建 Harbor問題不大,麻煩的點是在Kubernetes / Docker / Harbor 間對憑證管理相當嚴格。以前我們做PoC,碰到瀏覽器上https憑證告警通常就直接忽略,但這邊混不過去,無論從Docker / Kubernetes等等往Harbor連,都會要確認是完全正確的憑證,這邊才是真正的麻煩點。

採用自建Harbor方法時,這邊強力、非常積極地勸說大家,花點小錢,把Harbor提供服務的FQDN去申請第三方CA簽署的憑證。如果做短期PoC,甚至外面還有些像Let’s Encrypt這類機構提供短期的免費憑證可以用。用一下啦!可以解決無窮的問題:

  • 不用自建 CA,不用在docker內放憑證相關資訊,不用在建Tanzu Kubernetes Cluster時得解決憑證相關問題,不用在NSX Manager內放私有CA憑證。
  • Harbor本身安裝不難,把申請的憑證放進來也不難

在客戶Internet連線不穩定的環境時,這是推薦的方式,建議優先採用這種而非下面的架構三。真的,考慮一下啦!

架構三:建置私有容器庫,以內部 CA 簽署 Harbor 憑證

當然在某些環境內,省錢為至高無上的要務,想要自建CA自己發憑證。當然可以…就是很難搞而已啦。

架構像下面這樣。簡而言之,安裝過程中絕大部分的時間,都在處理 CA與Harbor的憑證要怎麼放到各個構件去。後面我還是會簡要和大家討論一下這個方式,畢竟在很多環境要做PoC等等事情時,因為資源限制等等最後會被逼得得這樣做。

但不推薦啦,再說一次,外面有很多機構可以去申請短期的免費憑證啦!

先寫到這,接下來我們著重在介紹如果要採用架構一這種最單純的方式,安裝的流程大致會是怎麼樣。

相关文章

评论

发表评论

电子邮件地址不会被公开。

This site uses Akismet to reduce spam. Learn how your comment data is processed.