Cross-Cloud Network לאפליקציות מבוזרות

Last reviewed 2025-01-30 UTC

‫Cross-Cloud Network מאפשרת ארכיטקטורה להרכבה של אפליקציות מבוזרות. ‫Cross-Cloud Network מאפשרת לכם לפזר עומסי עבודה ושירותים בין כמה רשתות ענן ורשתות מקומיות. הפתרון הזה מאפשר למפתחי אפליקציות ולמפעילים ליהנות מחוויה של ענן יחיד בכמה עננים. הפתרון הזה משתמש בשימושים קיימים ברשתות היברידיות ומרובות עננים (multi-cloud) וגם מרחיב אותם.

המדריך הזה מיועד למהנדסי רשתות ולמומחי Cloud Architect שרוצים לתכנן ולבנות אפליקציות מבוזרות ב-Cross-Cloud Network. המדריך הזה מספק הבנה מקיפה של שיקולים לעיצוב רשתות חוצות עננים.

מדריך התכנון הזה הוא סדרה שכוללת את המסמכים הבאים:

הארכיטקטורה תומכת במערכות אזוריות וגלובליות של אפליקציות, והיא מאורגנת בשכבות הפונקציונליות הבאות:

  • פילוח וקישוריות של הרשת: כולל את מבנה הפילוח של הענן הווירטואלי הפרטי (VPC) וקישוריות ה-IP בין רשתות VPC ורשתות חיצוניות.
  • Service networking: פריסה של שירותי אפליקציות, שמתבצעת עם איזון עומסים והופכת את השירותים לזמינים בפרויקטים ובארגונים.
  • אבטחת רשת: מאפשרת לאכוף אבטחה בתקשורת בתוך הענן ובין עננים שונים, באמצעות אבטחת ענן מובנית ומכשירים וירטואליים לרשת (NVA).

סגמנטציה של רשת וקישוריות

המבנה והקישוריות של הפילוח הם הבסיס של העיצוב. בתרשים הבא מוצג מבנה פילוח של VPC, שאפשר להטמיע באמצעות תשתית מאוחדת או מפולחת. התרשים הזה לא מציג את החיבורים בין הרשתות.

מבנה פילוח של VPC לעיצוב רשת חוצת-ענן

המבנה הזה כולל את הרכיבים הבאים:

  • ‫Transit VPC: מטפל בחיבורים לרשתות חיצוניות ובמדיניות הניתוב. רשת ה-VPC הזו יכולה גם לספק קישוריות בין רשתות VPC אחרות.
  • רשתות VPC עם גישה לשירותים: מכילות נקודות גישה לשירותים שונים. אפשר להגיע לנקודות הגישה לשירותים ברשתות ה-VPC האלה מרשתות אחרות.
  • רשתות VPC של שירותים מנוהלים: מכילות שירותים שנוצרו על ידי ישויות אחרות. הגישה לשירותים מתאפשרת לאפליקציות שפועלות ברשתות VPC באמצעות Private Service Connect או גישה לשירותים פרטיים.
  • רשתות VPC של אפליקציות: מכילות את עומסי העבודה שמרכיבים את שירותי התוכנה שהארגון יוצר ומארח בעצמו.

הבחירה שלכם במבנה הפילוח של רשתות ה-VPC של האפליקציה תלויה בהיקף רשתות ה-VPC של האפליקציה שנדרשות, בשאלה אם אתם מתכננים לפרוס חומות אש היקפיות ברשת Cross-Cloud או באופן חיצוני, ובבחירה של פרסום שירות מרכזי או מבוזר.

רשתות חוצות-ענן תומכות בפריסה של מחסניות אפליקציות אזוריות ומחסניות אפליקציות גלובליות. שני ארכיטיפים של חוסן אפליקציות נתמכים על ידי מבנה הפילוח המוצע עם תבנית הקישוריות בין רשתות VPC.

אפשר להשיג קישוריות בין רשתות VPC באמצעות Network Connectivity Center או באמצעות שילוב של קישור בין רשתות שכנות (peering) של VPC ודפוסי רשת מסוג Hub-and-Spoke של HA VPN.

התכנון של תשתית ה-DNS מוגדר גם בהקשר של מבנה הפילוח, ללא קשר לדפוס הקישוריות.

Service Networking

ארכיטיפים שונים של פריסת אפליקציות מובילים לדפוסים שונים של רשתות שירותים. כשמתכננים רשת חוצת-ענן, כדאי להתמקד בארכיטיפ של פריסה במספר אזורים, שבו מחסנית של אפליקציה פועלת באופן עצמאי במספר אזורים בשניGoogle Cloud אזורים או יותר.

ארכיטיפ פריסה מרובת אזורים כולל את התכונות הבאות, שימושיות לתכנון של Cross-Cloud Network:

  • אתם יכולים להשתמש במדיניות ניתוב של DNS כדי לנתב תנועה נכנסת למאזני עומסים אזוריים.
  • לאחר מכן, מאזני העומסים האזוריים יכולים להפיץ את התעבורה אל מחסנית האפליקציות.
  • אפשר להטמיע מעבר לגיבוי אזורי על ידי עיגון מחדש של מיפויי ה-DNS של חבילת האפליקציות באמצעות מדיניות ניתוב למעבר לגיבוי (failover) של DNS.

חלופה לארכיטיפ הפריסה במספר אזורים היא ארכיטיפ הפריסה הגלובלית, שבו נוצרת שכבה אחת במאזני עומסים גלובליים והיא משתרעת על פני מספר אזורים. כשעובדים עם ארכיטקטורת רשת חוצת-ענן, כדאי לשים לב למאפיינים הבאים של הארכיטיפ הזה:

  • מאזני העומסים מפזרים את התעבורה לאזור שהכי קרוב למשתמש.
  • החלקים הקדמיים שפונים לאינטרנט הם גלובליים, אבל החלקים הקדמיים שפונים פנימה הם אזוריים עם גישה גלובלית, כך שאפשר להגיע אליהם בתרחישי מעבר לגיבוי.
  • אפשר להשתמש במדיניות ניתוב של DNS לפי מיקום גיאוגרפי ובבדיקות תקינות של DNS בשכבות השירות הפנימיות של חבילת האפליקציות.

האופן שבו מספקים גישה לשירותים מנוהלים שפורסמו תלוי בשירות שאליו רוצים להגיע. המודלים השונים של נגישות פרטית הם מודולריים ואורתוגונליים לעיצוב של ערימת האפליקציות.

בהתאם לשירות, אפשר להשתמש ב-Private Service Connect או בגישה לשירותים פרטיים כדי לקבל גישה פרטית. אפשר ליצור מחסנית אפליקציות על ידי שילוב של שירותים מובנים ושירותים שפורסמו על ידי ארגונים אחרים. מערכי השירותים יכולים להיות אזוריים או גלובליים, בהתאם לרמת העמידות הנדרשת ולזמן האחזור האופטימלי לגישה.

אבטחת רשת

לצורך אבטחת עומסי עבודה, מומלץ להשתמש במדיניות חומת אש מ- Google Cloud.

אם הארגון שלכם דורש יכולות מתקדמות נוספות כדי לעמוד בדרישות אבטחה או בדרישות תאימות, אתם יכולים לשלב חומות אש לאבטחת היקף על ידי הוספת מכשירים וירטואליים לרשת (NVA) של חומת אש מהדור הבא (NGFW).

אפשר להוסיף NGFW NVAs בממשק רשת יחיד (מצב single-NIC) או בכמה ממשקי רשת (מצב multi-NIC). מכשירי ה-NVA של NGFW יכולים לתמוך באזורי אבטחה או במדיניות היקפית שמבוססת על Classless Inter-Domain Routing‏ (CIDR). פריסת רשתות חוצות ענן של מכשירי NGFW וירטואליים היקפיים באמצעות VPC מעבר ומדיניות ניתוב של VPC.

המאמרים הבאים

שותפים ביצירת התוכן

מחברים:

תורמי תוכן אחרים: