Cross-Cloud Network לאפליקציות מבוזרות

Last reviewed 2025-01-30 UTC

‫Cross-Cloud Network מאפשרת ארכיטקטורה להרכבה של אפליקציות מבוזרות. ‫Cross-Cloud Network מאפשרת לכם לפזר עומסי עבודה ושירותים בין כמה רשתות ענן ורשתות מקומיות. הפתרון הזה מאפשר למפתחי אפליקציות ולמפעילים ליהנות מחוויה של ענן יחיד בכמה עננים. הפתרון הזה משתמש בשימושים קיימים ברשתות היברידיות ומרובות עננים (multi-cloud) וגם מרחיב אותם.

המדריך הזה מיועד למהנדסי רשתות ולמומחי Cloud Architect שרוצים לתכנן ולבנות אפליקציות מבוזרות ב-Cross-Cloud Network. המדריך הזה מספק הבנה מקיפה של שיקולים לעיצוב רשתות חוצות עננים.

מדריך התכנון הזה הוא סדרה שכוללת את המסמכים הבאים:

הארכיטקטורה תומכת במערכות אזוריות וגלובליות של אפליקציות, והיא מאורגנת בשכבות הפונקציונליות הבאות:

  • פילוח וקישוריות של הרשת: כולל את מבנה הפילוח של הענן הווירטואלי הפרטי (VPC) וקישוריות ה-IP בין רשתות VPC ורשתות חיצוניות.
  • Service networking: פריסה של שירותי אפליקציות, שמתבצעת עם איזון עומסים והופכת את השירותים לזמינים בפרויקטים ובארגונים.
  • אבטחת רשת: מאפשרת לאכוף אבטחה בתקשורת בתוך הענן ובין עננים שונים, באמצעות אבטחת ענן מובנית ומכשירים וירטואליים לרשת (NVA).

סגמנטציה של רשת וקישוריות

המבנה והקישוריות של הפילוח הם הבסיס לעיצוב. בתרשים הבא מוצג מבנה פילוח של VPC, שאפשר להטמיע באמצעות תשתית מאוחדת או תשתית מפולחת. התרשים הזה לא מציג את החיבורים בין הרשתות.

מבנה פילוח של VPC לעיצוב רשת חוצת-ענן

המבנה הזה כולל את הרכיבים הבאים:

  • ‫Transit VPC: מטפל בחיבורים לרשתות חיצוניות ובמדיניות הניתוב. רשת ה-VPC הזו יכולה לספק קישוריות גם בין רשתות VPC אחרות.
  • רשתות VPC עם גישה לשירותים: מכילות נקודות גישה לשירותים שונים. אפשר להגיע לנקודות הגישה לשירותים ברשתות ה-VPC האלה מרשתות אחרות.
  • רשתות VPC של שירותים מנוהלים: מכילות שירותים שנוצרו על ידי ישויות אחרות. הגישה לשירותים מתאפשרת לאפליקציות שפועלות ברשתות VPC באמצעות Private Service Connect או גישה לשירותים פרטיים.
  • רשתות VPC של אפליקציות: מכילות את עומסי העבודה שמרכיבים את שירותי התוכנה שהארגון יוצר ומארח בעצמו.

הבחירה של מבנה הפילוח עבור רשתות ה-VPC של האפליקציות תלויה בהיקף רשתות ה-VPC של האפליקציות שנדרשות, בשאלה אם אתם מתכננים לפרוס חומות אש היקפיות ברשת Cross-Cloud או באופן חיצוני, ובבחירה של פרסום שירות מרכזי או מבוזר.

רשתות חוצות-ענן תומכות בפריסה של מחסניות אפליקציות אזוריות ומחסניות אפליקציות גלובליות. שני הארכיטיפים האלה של חוסן האפליקציה נתמכים על ידי מבנה הפילוח המוצע עם תבנית הקישוריות בין רשתות ה-VPC.

אפשר להשיג קישוריות בין רשתות VPC באמצעות Network Connectivity Center או באמצעות שילוב של קישור בין רשתות שכנות (peering) של VPC ודפוסי רשת מסוג Hub-and-Spoke של HA VPN.

העיצוב של תשתית ה-DNS מוגדר גם בהקשר של מבנה הפילוח, ללא קשר לתבנית הקישוריות.

Service Networking

ארכיטיפים שונים של פריסת אפליקציות מובילים לדפוסים שונים של רשתות שירותים. כשמתכננים רשת חוצת-ענן, כדאי להתמקד בארכיטיפ של פריסה במספר אזורים, שבו מחסנית של אפליקציות פועלת באופן עצמאי במספר אזורים בשניGoogle Cloud אזורים או יותר.

ארכיטיפ פריסה במספר אזורים כולל את התכונות הבאות, שימושיות לתכנון של Cross-Cloud Network:

  • אפשר להשתמש במדיניות ניתוב של DNS כדי לנתב תעבורה נכנסת למאזני עומסים אזוריים.
  • לאחר מכן, מאזני העומסים האזוריים יכולים להפיץ את התעבורה אל מחסנית האפליקציות.
  • אפשר להטמיע יתירות כשל אזורית על ידי עיגון מחדש של מיפויי ה-DNS של סטאק האפליקציות באמצעות מדיניות ניתוב יתירות כשל DNS.

חלופה לארכיטיפ הפריסה הרב-אזורי היא ארכיטיפ הפריסה הגלובלית, שבו נוצרת שכבה אחת במאזני עומסים גלובליים והיא משתרעת על פני כמה אזורים. כשעובדים עם ארכיטקטורת רשת חוצת-ענן, כדאי לשים לב למאפיינים הבאים של הארכיטיפ הזה:

  • מאזני העומסים מחלקים את התעבורה לאזור שהכי קרוב למשתמש.
  • החלקים הקדמיים שפונים לאינטרנט הם גלובליים, אבל החלקים הקדמיים שפונים פנימה הם אזוריים עם גישה גלובלית, כך שאפשר להגיע אליהם בתרחישי מעבר לגיבוי.
  • אפשר להשתמש במדיניות ניתוב של DNS לפי מיקום גיאוגרפי ובבדיקות תקינות של DNS בשכבות השירות הפנימיות של חבילת האפליקציות.

האופן שבו מספקים גישה לשירותים מנוהלים שפורסמו תלוי בשירות שאליו רוצים להגיע. המודלים השונים של נגישות פרטית הם מודולריים ואורתוגונליים לעיצוב של ערימת האפליקציות.

בהתאם לשירות, אפשר להשתמש ב-Private Service Connect או בגישה לשירותים פרטיים כדי לקבל גישה פרטית. אתם יכולים ליצור חבילת אפליקציות על ידי שילוב של שירותים מובנים ושירותים שפורסמו על ידי ארגונים אחרים. מערכי השירותים יכולים להיות אזוריים או גלובליים, בהתאם לרמת העמידות הנדרשת ולזמן האחזור האופטימלי לגישה.

אבטחת רשת

לצורך אבטחת עומסי עבודה, מומלץ להשתמש במדיניות חומת אש מ- Google Cloud.

אם הארגון שלכם דורש יכולות מתקדמות נוספות כדי לעמוד בדרישות אבטחה או בדרישות תאימות, אתם יכולים לשלב חומות אש לאבטחת היקף על ידי הוספה של מכשירים וירטואליים לרשת (NVA) של חומת אש מהדור הבא (NGFW).

אפשר להוסיף NGFW NVAs בממשק רשת יחיד (מצב single-NIC) או בכמה ממשקי רשת (מצב multi-NIC). מכשירי ה-NVA של NGFW יכולים לתמוך באזורי אבטחה או במדיניות היקפית שמבוססת על Classless Inter-Domain Routing‏ (CIDR). פריסת רשתות חוצות ענן של מכשירי NGFW וירטואליים היקפיים באמצעות VPC מעבר ומדיניות ניתוב של VPC.

המאמרים הבאים

שותפים ביצירת התוכן

מחברים:

תורמי תוכן אחרים: