Настройка шлюза RAS SDN в структуре VMM

В этой статье описывается, как настроить шлюз RAS в программно-определяемой сети (SDN) в структуре диспетчера виртуальных машин (VMM) System Center.

Шлюз SDN RAS — это элемент маршрутизации данных в сети SDN, который обеспечивает связь между двумя автономными системами. В частности, шлюз RAS обеспечивает подключение между сетями удаленных клиентов и вашим центром обработки данных с помощью IPSec, универсальной инкапсуляции маршрутизации (GRE) или маршрутизации уровня 3. Подробнее.

Перед началом работы

Ниже приведены некоторые рекомендации перед настройкой шлюза RAS SDN:

• Планирование. Ознакомьтесь с планированием программно определенной сети и просмотрите топологию планирования в этом документе. На схеме показан пример настройки 4 узла. Настройка обладает высокой доступностью с тремя узлами сетевого контроллера (VM) и тремя узлами SLB/MUX. В нем показаны два клиента с одной виртуальной сетью, разбитой на две виртуальные подсети для имитации веб-уровня и уровня базы данных. Как инфраструктура, так и виртуальные машины клиента могут распространяться по любому физическому узлу.
• Сетевой контроллер. Перед развертыванием шлюза RAS необходимо развернуть сетевой контроллер.
• SLB. Чтобы убедиться, что зависимости обрабатываются правильно, необходимо также развернуть подсистему балансировки нагрузки перед настройкой шлюза. Если настроена подсистема балансировки нагрузки и шлюз, можно использовать и проверить подключение IPsec.
• Шаблон службы: VMM использует шаблон службы для автоматизации развертывания GW. Шаблоны служб поддерживают развертывание нескольких узлов на виртуальных машинах поколения 1 и поколения 2.

Шаги развертывания

Чтобы настроить шлюз RAS, выполните следующие действия.

1. Скачайте шаблон службы: скачайте шаблон службы, необходимый для развертывания GW.

2. Создайте логическую сеть VIP: Создайте логическую сеть GRE VIP. Для частных виртуальных IP-адресов необходим пул IP-адресов, а также назначение виртуальных IP-адресов конечным точкам GRE. Сеть существует для определения IP-адресов, назначенных виртуальным машинам шлюза, работающим в структуре SDN для подключения GRE типа "сеть — сеть".

   Примечание.

   Чтобы включить поддержку двойного стека, во время создания логической сети GRE VIP добавьте подсеть IPv6 на сайт сети и создайте пул адресов IPv6. (применимо для 2022 года и позже)

3. Импортируйте шаблон службы: импортируйте шаблон службы шлюза RAS.

4. Разверните шлюз: разверните экземпляр службы шлюза и настройте его свойства.

5. Проверьте развертывание: настройте GRE между сайтами, IPSec или L3 и проверьте развертывание.

Скачивание шаблона службы

Чтобы скачать шаблон службы, выполните следующие действия.

1. Скачайте папку SDN из репозитория Microsoft SDN на GitHub и скопируйте шаблоны из VMM>Templates>GW в локальную директорию на сервере VMM.
2. Извлеките содержимое в папку на локальном компьютере. Позже вы импортируете их в библиотеку.

Скачивание содержит два шаблона:

• Шаблон EdgeServiceTemplate_Generation 1 VM.xml предназначен для развертывания службы GW на виртуальных машинах поколения 1.
• EdgeServiceTemplate_Generation 2 VM.xml предназначено для развертывания службы GW на виртуальных машинах поколения 2.

Оба шаблона имеют количество виртуальных машин по умолчанию, равное трем, которое можно изменить в дизайнере шаблонов служб.

Создание логической сети GRE VIP

Чтобы создать логическую сеть GRE VIP, выполните следующие действия.

1. В консоли VMM запустите мастер создания логической сети. Введите имя, при необходимости укажите описание и нажмите кнопку "Далее".

3. В сетевом сайте укажите параметры:

   Ниже приведены примеры значений:

   • Сетевое имя: GRE VIP
   • Подсеть: 31.30.30.0
   • Маска: 24
   • Идентификатор виртуальной локальной сети на магистрали: NA
   • Шлюз: 31.30.30.1

Создание пула IP-адресов для виртуальных IP-адресов (VIP) GRE

Импорт шаблона службы

Чтобы импортировать шаблон службы, выполните следующие действия.

1. Выберите >
2. Перейдите в папку шаблона службы. В качестве примера выберите файл EdgeServiceTemplate Generation 2.xml.
3. Обновите параметры среды при импорте шаблона службы.

• WinServer.vhdx: выберите образ виртуального жесткого диска, подготовленный и импортированный ранее во время развертывания сетевого контроллера.
• EdgeDeployment.CR. Сопоставление с ресурсом библиотеки EdgeDeployment.cr в библиотеке VMM.

4. На странице "Сводка" просмотрите сведения и выберите "Импорт".

   Примечание.

   Шаблон службы можно настроить. Подробнее.

Развертывание службы шлюза

В этом примере используется шаблон поколения 2.

Чтобы развернуть службу шлюза, выполните следующие действия.

1. Выберите шаблон службы EdgeServiceTemplate Generation2.xml и выберите пункт "Настройка развертывания".

2. Введите имя и выберите папку назначения для экземпляра службы. Адрес назначения должен сопоставляться с группой хостов, содержащей хосты, ранее настроенные для развертывания шлюза.

3. В параметрах сети сопоставьте сеть управления с сетью виртуальной машины управления.

   Примечание.

   Диалоговое окно "Развертывание службы " появляется после завершения сопоставления. Обычно экземпляры виртуальных машин изначально будут красными. Выберите "Обновить предварительную версию" , чтобы автоматически найти подходящие узлы для виртуальной машины.

4. Слева от окна "Настройка развертывания " настройте следующие параметры:

   • AdminAccount. Обязательный. Выберите учетную запись RunAs, которая будет использоваться в качестве локального администратора на граничных виртуальных машинах.
   • Сеть управления. Обязательный. Выберите сеть виртуальной машины управления, созданную для управления узлами.
   • Управляющая учетная запись. Обязательный. Выберите учетную запись для запуска от имени с разрешениями на добавление шлюза в домен Active Directory, связанный с данным сетевым контроллером. Это может быть та же учетная запись, используемая для MgmtDomainAccount при развертывании сетевого контроллера.
   • Полное доменное имя. Обязательный. Полное доменное имя (FQDN) домена Active Directory для шлюза.

5. Выберите "Развернуть службу ", чтобы начать задание развертывания службы.

   Примечание.

   • Время развертывания зависит от оборудования, но обычно от 30 до 60 минут. Если развертывание шлюза завершается сбоем, удалите экземпляр службы с ошибкой в всех узлах>службы перед повторной попыткой развертывания.

   • Если вы не используете VHDX с лицензией тома (или ключ продукта не предоставляется с помощью файла ответа), развертывание остановится на странице "Ключ продукта" во время развертывания виртуальной машины. Вам необходимо вручную зайти на рабочий стол виртуальной машины и либо ввести ключ, либо пропустить этот шаг.

   • Если вы хотите увеличить или уменьшить масштаб развернутого экземпляра SLB, прочитайте этот блог.

Ограничения шлюза

Ниже приведены ограничения по умолчанию для управляемого шлюза NC:

• MaxVMNetworksSupported= 50
• MaxVPNConnectionsPerVMNetwork= 10
• MaxVMSubnetsSupported= 550
• MaxVPNConnectionsSupported= 250

Переопределите ограничения шлюза

Чтобы переопределить ограничения по умолчанию, добавьте строку переопределения в строку подключения службы сетевого контроллера и обновите ее в VMM.

• MaxVMNetworksSupported= , за которым следует параметр числа сетей виртуальных машин, которые могут использоваться с этим шлюзом.
• MaxVPNConnectionsPerVMNetwork= и число VPN-подключений, которые можно создать для каждой сети виртуальных машин с помощью этого шлюза.
• MaxVMSubnetsSupported= (число подсетей виртуальных машин, которые могут использоваться с этим шлюзом).
• MaxVPNConnectionsSupported= (число VPN-подключений, которые могут использоваться с этим шлюзом).

Пример:

Чтобы переопределить максимальное количество сетей виртуальных машин, которые можно использовать с шлюзом на 100, обновите строку подключения следующим образом:

serverurl=https://NCCluster.contoso.com;servicename=NC_VMM_RTM; MaxVMNetworksSupported==100

Настройка роли диспетчера шлюза

Теперь, когда служба шлюза развернута, можно настроить свойства и связать ее со службой сетевого контроллера.

Чтобы настроить роль диспетчера шлюза, выполните следующие действия.

1. Выберите сетевую службу Fabric>, чтобы отобразить список установленных сетевых служб. Щелкните службу сетевого контроллера правой кнопкой мыши и выберите пункт >.

2. Перейдите на вкладку "Службы " и выберите роль диспетчера шлюзов.

3. Найдите поле "Связанная служба" в разделе "Сведения о службе" и нажмите кнопку "Обзор". Выберите созданный ранее экземпляр службы шлюза и нажмите кнопку "ОК".

4. Выберите учетную запись Run As, которая будет использоваться сетевым контроллером для доступа к виртуальным машинам шлюза.

   Примечание.

   Учетная запись запуска от имени должна иметь права администратора на виртуальных машинах шлюза.

5. В подсети GRE VIP выберите подсеть VIP, которую вы создали ранее.

Развернутый экземпляр службы теперь связан с ролью диспетчера шлюза. Под ним должен быть указан экземпляр Gateway VM.

Проверка развертывания

После развертывания шлюза можно настроить типы подключений S2S GRE, S2S IPSec или L3 и проверить их. Дополнительные сведения см. в следующем содержимом:

• Создание и проверка подключений IPSec типа "сеть — сеть"
• Создание и проверка подключений GRE типа "сеть — сеть"
• Создание и проверка подключений L3

Для получения дополнительных сведений о типах подключений см. этот раздел.

Настройка селектора трафика из PowerShell

Ниже приведена процедура настройки селектора трафика с помощью VMM PowerShell.

Чтобы настроить селектор трафика, выполните следующие действия.

1. Создайте селектор трафика с помощью следующих параметров.

   Примечание.

   Значения используются только в примерах.

   $t= new-object Microsoft.VirtualManager.Remoting.TrafficSelector
   
   $t.Type=7 // IPV4=7, IPV6=8
   
   $t.ProtocolId=6 // TCP =6, reference: https://en.wikipedia.org/wiki/List_of_IP_protocol_numbers
   
   $t.PortEnd=5090
   
   $t.PortStart=5080
   
   $t.IpAddressStart=10.100.101.10
   
   $t.IpAddressEnd=10.100.101.100
   

2. Настройте приведенный выше селектор трафика с помощью параметра -LocalTrafficSelectors команды Add-SCVPNConnection или Set-SCVPNConnection.

Удаление шлюза из структуры SDN

Чтобы удалить шлюз из структуры SDN, выполните следующие действия .